Mi página web fue hackeada: qué hacer hoy mismo

Por José G., fundador de CreaTuPaginaWeb.mx · Actualizado el 3 de octubre de 2026

Si buscaste esto es porque ya viste algo que no debería estar ahí: tu página redirige a un sitio de apuestas, aparecen artículos en otro idioma que tú nunca escribiste, Google muestra este sitio puede ser hackeado junto a tu nombre, o de plano el navegador pone una pantalla roja que espanta a cualquiera. Y mientras tú lees esto, tus clientes están entrando, viendo eso y cerrando la pestaña. Cada hora cuenta y por eso esta es la urgencia que atendemos el mismo día.

Ahora la parte honesta, la que otros no te van a decir: no somos una empresa de ciberseguridad y no te vamos a prometer que en 24 horas eliminamos todo el malware. Nadie serio puede garantizar eso sin ver el servidor, y quien te lo promete por teléfono te está vendiendo humo. Lo que hacemos, y lo que en la práctica funciona mejor para un negocio, es no volver a confiar en un sitio que ya fue vulnerado: rescatamos tu contenido, lo revisamos, y levantamos un WordPress nuevo y limpio desde cero, con todo a tu nombre. Desde $9,900 MXN + IVA, pago único, con factura CFDI. El dominio lo contratas tú y queda a tu nombre; el hosting administrado con SSL lo ofrecemos como servicio adicional.

Qué hacer en las primeras 2 horas (antes de contratar a nadie)

Esto puedes hacerlo tú ahora mismo y no te cuesta un peso. Sirve para frenar el daño mientras decides qué sigue.

• Cambia tus contraseñas. La del panel de WordPress, la del hosting, la del FTP y la del correo asociado. Si usabas la misma en varios lados, cámbialas todas. Es la medida que más daño evita y la que casi nadie hace primero.
• Avisa a tu hosting. Mándales un correo diciendo que detectaste una intrusión. Muchos tienen un respaldo de los días anteriores y ese respaldo puede valer oro. Pídeles la fecha del último respaldo limpio.
• No borres nada. Ni el sitio, ni la base de datos, ni los archivos raros. Es contenido que todavía puede servir para rescatar tus textos y tus productos.
• Revisa los usuarios de WordPress. Entra a Usuarios y busca administradores que tú no creaste. Es la firma clásica de un sitio comprometido.
• Entra a Google Search Console. En la sección de Seguridad viene qué detectó Google exactamente y en qué URLs. Ese reporte es la mejor pista que existe y es gratis.

Por qué reconstruimos en lugar de "limpiar"

La promesa fácil es te limpiamos el malware. Suena bien y a veces hasta funciona. El problema es lo que no ves: cuando alguien entra a un WordPress, casi nunca deja un solo archivo. Deja varios, escondidos en carpetas de plugins, dentro de imágenes, en la base de datos, en el archivo de configuración o en tareas programadas del servidor. Limpias tres, te quedas tranquilo, y a las dos semanas el sitio vuelve a redirigir. Ese es el ciclo que vemos una y otra vez, y cada vuelta te cuesta dinero y reputación.

Reconstruir corta el ciclo. Instalamos WordPress limpio, de la fuente oficial, con un tema legítimo y solo los plugins necesarios; encima ponemos tu contenido rescatado y revisado. Lo que entra al sitio nuevo son tus textos, tus fotos, tus productos y tus artículos, no el código del sitio viejo. Al final tienes algo que sí puedes afirmar con seguridad: el sitio que está en línea es nuevo. No es una promesa de que no queda nada malo escondido; es que no hay dónde esconderlo.

El precio real de quedarse con el sitio infectado

No es solo el susto. Un sitio marcado por Google desaparece de los resultados o aparece con la advertencia, y la gente no da clic. Tu proveedor de hosting puede suspenderte la cuenta —y con ella tus correos— para proteger a los demás clientes del servidor. Si vendes en línea, tu pasarela de pago puede bloquearte. Y si el sitio envía spam desde tu dominio, tu correo corporativo termina en listas negras y tus cotizaciones dejan de llegar. Un negocio puede sobrevivir tres días caído. Tres semanas marcado en Google es otra historia.

El proceso, día por día

Día 1: contención y copia

Cambiamos todas las contraseñas, sacamos una copia completa del sitio comprometido (archivos y base de datos) y revisamos el reporte de Seguridad de Google Search Console para saber qué se detectó y dónde. Si el hosting tiene un respaldo anterior al incidente, lo pedimos: es la vía más limpia para rescatar contenido.

Días 2 y 3: rescate del contenido

Extraemos de la base de datos lo que es tuyo: páginas, entradas de blog, productos, precios, categorías, formularios y la biblioteca de imágenes. Revisamos ese material antes de reutilizarlo. Si el sitio está tan dañado que ya no abre, recuperamos contenido del caché de Google y de los archivos históricos de internet; se pierde formato, pero rara vez se pierde el texto.

Semana 1 y 2: reconstrucción

WordPress nuevo, tema legítimo, plugins mínimos y actualizados, contraseñas nuevas, usuarios revisados, SSL activo y respaldos automáticos diarios configurados desde el primer día. Tu contenido ya cargado y revisado. Si tu sitio viejo era una plantilla vieja y lenta, esta es la oportunidad de dejarlo autoadministrable para que tú puedas actualizarlo sin depender de nadie.

Publicación y revisión de Google

Publicamos, apuntamos el dominio y pedimos la revisión de seguridad en Search Console. Aquí llega el otro momento de franqueza: el plazo de esa revisión lo decide Google, no nosotros. Suele tomar de unos días a un par de semanas, y no hay forma legítima de acelerarlo. Cualquiera que te prometa que Google quita el aviso en 24 horas está inventando. Lo que sí controlamos es entregar un sitio limpio para que, cuando Google revise, no encuentre nada.

Cómo entraron (y cómo se evita la próxima vez)

En los casos que llegan a nosotros, la causa se repite con una monotonía casi aburrida:

• Tema o plugin pirata. El famoso nulled bajado gratis de un blog. Viene con regalo incluido y es la puerta número uno en México.
• WordPress y plugins sin actualizar durante años. Nadie los tocó desde que la agencia entregó el sitio. Cada versión vieja es una vulnerabilidad pública y documentada.
• Contraseñas débiles y usuario admin. Un ataque automatizado prueba miles de combinaciones por hora y no se cansa.
• Hosting compartido con vecinos infectados. Un servidor mal configurado deja que un sitio contamine a otro.

Por eso el sitio nuevo va con actualizaciones al día, sin plugins de origen dudoso, con usuarios limpios y con respaldos automáticos: si algo vuelve a pasar, se restaura en horas y no en semanas. Y si además el problema fue que nunca tuviste los accesos ni el control de tu propio dominio, ese es otro rescate distinto y también lo cubrimos: rescate de páginas web y recuperar tu dominio.

Las promesas que no te vamos a hacer

Este apartado existe porque en este servicio abunda el vendedor que aprovecha tu susto. Que quede claro qué no hacemos: no te prometemos eliminar todo el malware en 24 horas, porque para afirmar eso habría que auditar el servidor completo y no somos una empresa de ciberseguridad. No te damos una fecha para que Google quite el aviso, porque esa decisión y ese plazo son de Google. No hacemos peritaje forense ni te vamos a decir quién te atacó ni desde dónde; si necesitas eso para una denuncia, lo que buscas es un perito, no una agencia web. Y no garantizamos que ningún sitio sea inhackeable, porque no existe tal cosa y quien lo afirme te está mintiendo a la cara.

Lo que sí está en nuestras manos y sí cumplimos: rescatamos el contenido que se pueda rescatar, lo revisamos, y te entregamos un sitio nuevo, limpio, rápido, con software legítimo y actualizado, con respaldos diarios corriendo y con todas las contraseñas en tus manos. Un sitio del que tú tengas las llaves y del que puedas irte cuando quieras. Eso es concreto, es verificable el día de la entrega, y es lo que un negocio necesita para volver a vender esta semana en lugar de seguir esperando un milagro.

Después del susto, aprovecha el sitio nuevo

Un incidente así es horrible, pero deja una oportunidad: casi siempre el sitio hackeado era además un sitio viejo, lento y en una plantilla que nadie sabía tocar. Ya que hay que levantarlo de nuevo, vale la pena que nazca bien. Si tu caso es más de sitio abandonado que de sitio comprometido, mira el rediseño de página web, donde conservamos lo que ya tenías ganado en Google.