¿Tu WordPress está hackeado? 6 señales para comprobarlo

Un WordPress hackeado casi nunca se ve hackeado. El que lo atacó no quiere romperte la web: quiere usarla. Para mandar visitas a una farmacia trucha, para colgar páginas de spam que posicionen en Google, para enviar correos desde tu servidor. Y hace todo lo posible para que vos, que entrás a tu web todos los días desde la computadora de la oficina, no notes nada.

Por eso la pregunta útil no es «¿mi web se ve bien?», sino «¿mi web se comporta igual para todos?». Estas son las seis señales que conviene revisar, de la más visible a la más silenciosa, con el lugar exacto donde mirar cada una.

Cómo saber si tu WordPress está hackeado: la respuesta corta

• +Las seis señales: redirecciones que solo ven otros, páginas en Google que no escribiste, usuarios administradores que nadie creó, avisos de Google o del hosting, archivos que no subiste y correos que no mandaste.
• +Muchos hackeos se esconden del dueño: redirigen solo desde el celular o solo a quien llega desde Google, y a vos te muestran la web normal o un error 404.
• +Se revisa en 15 minutos con herramientas gratuitas: una búsqueda site: en Google, el informe de problemas de seguridad de Search Console, la lista de usuarios de WordPress y el estado de Navegación segura de Google.
• +El 91 % de las vulnerabilidades nuevas de WordPress que registró Patchstack en 2025 estaban en plugins y el 9 % en temas. El núcleo tuvo seis. La puerta de entrada casi siempre es un plugin viejo o una contraseña robada.
• +Si encontrás una señal, no borres el archivo raro y sigas de largo: hacé una copia, cambiá todas las contraseñas y buscá la puerta trasera. Un hackeo limpiado a medias vuelve.

1. Tu web redirige a otra página, pero no cuando entrás vos

Es una de las señales más frecuentes y la más traicionera. Un cliente te dice que entró a tu web y terminó en un casino, un sorteo falso o una tienda de relojes. Vos entrás y está todo bien. No es que el cliente se equivocó: muchos hackeos redirigen solo a quien llega desde un buscador, solo a los celulares o solo la primera vez que alguien entra, justamente para que el dueño no lo vea. Google lo documenta como redirecciones engañosas en móviles: la versión de escritorio se ve normal y los usuarios de celular terminan en otro dominio.

Cómo revisarlo: desde el celular, con los datos móviles (no el wifi de la oficina) y en una pestaña de incógnito, buscá el nombre de tu empresa en Google y tocá tu resultado. Repetilo con dos o tres páginas internas. Si en Google Analytics ves que el tiempo en la página de los usuarios de celular se desplomó de un día para otro, también es una pista.

2. Google muestra páginas tuyas que nunca escribiste

El hackeo de spam crea cientos o miles de páginas dentro de tu dominio, con texto autogenerado y enlaces a productos falsificados o farmacias. Un caso muy documentado por Google es el de las palabras clave en japonés: páginas en carpetas con nombres al azar, como tudominio.com/ltjmnjp/341.html. A veces esas páginas te muestran un error 404 a vos y el contenido de spam a Google. Se llama cloaking (encubrimiento) y existe para que pienses que no pasa nada.

Cómo revisarlo: escribí site:tudominio.com en Google y recorré los resultados. Buscá títulos en otro idioma, nombres de marcas que no vendés, palabras como «viagra», «casino» o «réplica», y direcciones con carpetas raras. Si una página sospechosa te da 404 al abrirla, pegala en la herramienta de inspección de URLs de Search Console: muestra lo que ve Google, no lo que ves vos. Ojo: site: es una muestra, no la lista completa de páginas indexadas; el informe de Páginas de Search Console es más completo.

3. Hay usuarios administradores que nadie creó

Lo primero que hace un atacante que entró es asegurarse de poder volver. La forma más simple es crearse un usuario administrador, a veces con un nombre que parece del sistema, como «wpadmin», «support» o «backup». La documentación oficial de WordPress pone la creación de usuarios no autorizados entre los indicadores claros de un hackeo.

Cómo revisarlo: en el panel, andá a Usuarios y filtrá por el rol Administrador. Tiene que haber solo gente que conocés, y cada uno con su propio usuario. Mirá también Search Console, en Configuración, Usuarios y permisos: en el hackeo de las palabras clave en japonés, el atacante suele agregarse como propietario de la propiedad para manejar tu sitemap y tu segmentación geográfica.

4. Google, el navegador o el hosting te están avisando

A veces el aviso llega de afuera, y conviene saber dónde aparece antes de que lo vea un cliente:

• +Search Console tiene un informe de problemas de seguridad que avisa de tres tipos: contenido hackeado, malware o software no deseado e ingeniería social (páginas que engañan al visitante para que haga algo peligroso).
• +Navegación segura de Google: si tu web está marcada, Chrome y otros navegadores muestran una pantalla roja de advertencia antes de entrar, y en los resultados de búsqueda puede aparecer el aviso de que el sitio puede estar hackeado. Podés consultar el estado de tu dominio en el informe de transparencia de Google. Que salga limpio no significa que la web esté limpia: el propio Google advierte que algunos hackeos de spam nunca quedan marcados.
• +El hosting suspendió la cuenta, te mandó un aviso de malware o te dice que tu sitio consume muchos más recursos de lo normal.
• +Clientes que te cuentan que su antivirus bloqueó tu web.

Cualquiera de estos avisos es serio, porque ya no es una sospecha tuya: es la etiqueta que otros sistemas le están poniendo a tu web, y afecta a cada persona que intenta entrar.

5. Hay archivos que no subiste o que cambiaron solos

Esta señal es más técnica, pero es la que confirma el resto. Lo que conviene mirar:

• +Plugins o temas que nadie instaló, a veces con nombres genéricos o desactivados para pasar desapercibidos.
• +Archivos .php dentro de wp-content/uploads. Esa carpeta guarda las imágenes y documentos que subís; un archivo de código ahí es una alarma.
• +Cambios en el archivo .htaccess, que es uno de los preferidos para meter redirecciones, y en index.php, header.php, footer.php o functions.php, porque afectan a todas las páginas a la vez.
• +Código ilegible dentro de los archivos: bloques largos de letras y números mezclados, junto a funciones como base64_decode o eval, que son las que usan los atacantes para esconder lo que hace su código.

Si tu hosting tiene WP-CLI, el comando wp core verify-checksums compara los archivos del núcleo de WordPress con los originales publicados en WordPress.org y avisa de cada uno que no coincide. Sirve para el núcleo; los plugins y temas hay que revisarlos aparte.

6. Tu dominio manda correos que no enviaste

Un servidor hackeado es un servidor que sirve para mandar spam. Las consecuencias se notan en el correo antes que en la web: clientes que reciben mensajes raros desde tu dominio, respuestas automáticas de rebote de correos que nunca enviaste, o tus propios mensajes que empiezan a caer en la carpeta de spam. La documentación de WordPress lo marca como una de las consecuencias más serias de un hackeo hoy: la dirección IP del servidor termina en listas negras de correo, y si tu correo sale por ese mismo servidor, te arrastra.

Cómo revisarlo: preguntale al hosting si hubo un pico de envíos desde tu cuenta y fijate si la IP de tu servidor aparece en las listas negras más usadas. Si el correo de tu empresa vive en el mismo hosting que la web, es una buena razón para separarlos. Un matiz: los correos que solo parecen salir de tu dominio pueden ser suplantación, sin ningún hackeo de por medio. Eso se arregla con SPF, DKIM y DMARC en el DNS, no limpiando la web.

Las seis señales en una tabla

Lo que no es una señal (por sí solo)

No todo lo que anda mal es un hackeo. Una web lenta suele ser un hosting flojo, imágenes pesadas o demasiados plugins. Un plugin que se rompió después de actualizar es una incompatibilidad. Y ver en el registro de seguridad cientos de intentos de entrar al panel es lo normal: cualquier WordPress público recibe intentos automáticos todo el tiempo. Que intenten no significa que hayan entrado. Lo que importa es si alguno de esos intentos terminó en una de las seis señales de arriba.

Encontraste una: los primeros pasos

La guía oficial de WordPress para sitios hackeados arranca con un consejo que parece obvio y no lo es: mantené la calma y documentá. El orden importa más que la velocidad:

• +Anotá qué viste, cuándo y qué cambiaste en los días anteriores: un plugin nuevo, un tema actualizado, un acceso que le diste a alguien. Es la base de cualquier diagnóstico.
• +Hacé una copia completa de los archivos y la base de datos tal como están, aunque estén infectados. Si la limpieza sale mal, es tu red de seguridad, y es la evidencia de cómo entraron.
• +Cambiá todas las contraseñas, no solo la del panel: hosting, FTP o SFTP, base de datos y cada usuario administrador. Regenerá las claves secretas de wp-config.php para cerrar las sesiones abiertas. Y escaneá tu computadora: a veces la contraseña se robó desde ahí.
• +Borrá los usuarios que no reconocés, en WordPress y en Search Console.
• +Avisale al hosting. Puede confirmar si es un hackeo o una caída, y en un hosting compartido el problema puede venir de otra cuenta del mismo servidor.

Lo que no conviene hacer: borrar el archivo sospechoso que encontraste y dar el tema por cerrado. Los atacantes dejan puertas traseras repartidas en varios lugares, y la opción de reinstalar desde el propio panel solo reemplaza los archivos que ya existían, no los que agregó el atacante. La limpieza completa (reemplazar el núcleo, revisar plugins y temas uno por uno, limpiar la base de datos, cerrar la puerta por la que entraron, volver a cambiar las contraseñas al final y pedirle a Google la revisión en Search Console) es un trabajo en sí mismo, y si tu web vende o recibe consultas, conviene que lo haga alguien que ya lo hizo.

Por dónde entran casi siempre

WordPress en sí es bastante seguro: en 2025 se reportaron seis vulnerabilidades en el núcleo, todas de prioridad baja, según el informe anual de Patchstack. El problema está alrededor. De las 11.334 vulnerabilidades nuevas que registró ese informe, el 91 % estaba en plugins y el 9 % en temas, y el 46 % no tenía arreglo del desarrollador cuando se hizo pública. Las puertas de entrada habituales son tres: plugins o temas sin actualizar (o abandonados por su autor), temas y plugins pagos descargados «gratis» de sitios piratas, que muchas veces ya vienen con código malicioso, y contraseñas débiles o reutilizadas sin un segundo factor de autenticación.

Un WordPress con 40 plugins no tiene 40 funciones: tiene 40 proveedores de los que depende tu seguridad.

La prevención es aburrida y funciona: los plugins justos, todo actualizado, contraseñas largas y únicas con doble factor para los administradores, copias de seguridad que se guardan fuera del servidor y que alguna vez probaste restaurar, y Search Console configurado para que el aviso de Google te llegue a vos antes que a tus clientes.

En loco22 rescatamos WordPress heredados: los auditamos, los limpiamos y los dejamos con un plan de mantenimiento que incluye actualizaciones, seguridad y copias de seguridad. Si viste alguna de estas señales en tu web, o simplemente no sabés cuándo fue la última vez que alguien actualizó tus plugins, escribinos por WhatsApp y lo revisamos.