7 señales de que tu sitio web fue hackeado y qué hacer primero

Un cliente te escribe para avisarte que, al buscar tu negocio en Google, le aparece una advertencia de “sitio peligroso”. O simplemente notas que tu sitio está más lento de lo normal y no sabes por qué. Cualquiera de las dos puede ser la primera señal de que alguien entró a tu sitio sin permiso.

Un sitio hackeado no siempre se ve roto. Muchas veces sigue funcionando con normalidad para ti mientras, por detrás, sirve contenido distinto a buscadores o a ciertos visitantes. Estas son las señales más comunes y los primeros pasos para reaccionar bien, sin perder lo que necesitas para entender qué pasó.

1. Google o tu navegador muestran una advertencia

Si al entrar a tu sitio ves un aviso como “Sitio engañoso” o “Este sitio puede dañar tu computadora”, es porque el sistema de Safe Browsing de Google lo marcó. Puedes revisar el estado de tu dominio sin necesidad de recibir la advertencia primero, desde el verificador de Safe Browsing en el Reporte de Transparencia de Google.

2. Search Console te muestra un problema de seguridad

Si tienes tu sitio verificado en Google Search Console, ahí es donde Google avisa primero. El reporte de problemas de seguridad clasifica lo que encuentra en categorías como “contenido pirateado” (hacked content) —código, enlaces o páginas que alguien agregó sin tu permiso explotando una falla de seguridad— y “malware”. Si nunca has revisado esta sección, hazlo ahora, aunque no veas ninguna otra señal.

3. Aparecen páginas que tú no creaste

Busca en Google site:tudominio.com (con tu dominio real) y revisa el listado completo de páginas indexadas. Si ves títulos sobre temas que no tienen nada que ver con tu negocio —medicamentos, apuestas, réplicas de marcas— es una de las formas más comunes de hackeo: inyección de contenido para aprovechar la reputación de tu dominio en los resultados de búsqueda. Como explica la guía de Google sobre cómo saber si tu sitio fue hackeado, a veces esas páginas solo se muestran a Google y no a ti como visitante normal (una técnica llamada cloaking), por lo que revisar el site: es más confiable que solo mirar tu sitio a simple vista.

4. Visitantes reportan redirecciones o ventanas inesperadas

Si alguien te dice que al entrar a tu sitio lo mandó a otra página, o le aparecieron anuncios o ventanas emergentes que tú no pusiste, no lo ignores aunque a ti no te pase. Estas redirecciones a veces solo ocurren para quien llega desde un resultado de búsqueda, o solo desde el celular.

5. Hay usuarios o accesos que no reconoces

Revisa la lista de administradores o usuarios con acceso a tu sitio, a tu panel de hosting y a tu dominio. Una cuenta de administrador que nadie de tu equipo creó, o cambios de contenido que nadie de tu equipo hizo, son de las señales más confiables de que alguien más tiene acceso.

6. Hay archivos que no reconoces o que cambiaron sin que tú lo hicieras

Si administras tu propio hosting (por ejemplo, un sitio en WordPress), revisa los archivos del sitio ordenados por fecha de modificación. Un archivo con extensión .php en una carpeta de subida de imágenes, o archivos del núcleo de tu plataforma modificados en una fecha en la que tú no actualizaste nada, apuntan a que alguien subió código.

7. Tu hosting te avisa, o el sitio se vuelve lento o deja de responder

Muchos proveedores de hosting detectan actividad anormal (consumo de recursos fuera de lo normal, envío masivo de correo, tráfico saliente sospechoso) antes que tú, y suspenden el sitio o te notifican. Un sitio repentinamente lento, que se cae seguido, o que empieza a enviar correos que tú no programaste, puede tener ese mismo origen.

Qué hacer primero

Si reconoces una o más de estas señales, el orden importa: actuar rápido sin preservar nada puede dejarte sin la información que necesitas para cerrar la puerta por la que entraron.

1. No borres nada todavía. Antes de limpiar o restaurar, toma nota de lo que ves: qué archivos, páginas o cuentas son nuevos y desde cuándo. Esa información ayuda a tu proveedor de hosting o a quien te apoye a encontrar cómo entraron.
2. Avisa a tu proveedor de hosting de inmediato. Muchos tienen herramientas para aislar el sitio, revisar registros de acceso y, en algunos casos, ya identificaron el problema antes que tú.
3. Cambia las contraseñas de tu panel de hosting, tu CMS, tu dominio y el correo asociado, desde un equipo que sepas que está limpio. Si tienes activada la verificación en dos pasos, revisa que no se haya desactivado; si no la tienes, es el momento de activarla (te explicamos cómo en nuestro artículo de ciberseguridad).
4. Restaura desde un respaldo limpio, de antes de que notaras el problema, si lo tienes. Si no tienes uno o no sabes desde cuándo está comprometido el sitio, tu proveedor de hosting o un servicio especializado en limpieza de sitios hackeados puede revisar archivo por archivo.
5. Revisa el reporte de problemas de seguridad en Search Console para ver ejemplos de URL afectadas; te ayuda a confirmar que la limpieza cubrió todo.
6. Pide una revisión a Google solo después de limpiar por completo. El mismo reporte de Search Console explica cómo solicitarla. Pedirla antes de resolver el problema puede alargar la revisión.

Un sitio hackeado no es solo un problema técnico: mientras esté marcado, pierdes visitas, confianza de tus clientes y, si tu negocio depende de ventas en línea, ingresos. Si quieres revisar la seguridad de tu sitio antes de que esto pase, o necesitas ayuda para limpiarlo y cerrar la puerta por la que entraron, en nuestro servicio de ciberseguridad revisamos ambas partes.