Sitio web hackeado: síntomas y solución

01¿Cómo sé si mi sitio ha sido hackeado?

Algunos ataques se hacen notar de inmediato: en la página de inicio aparece el mensaje del atacante o el sitio deja de abrirse por completo. Pero la mayoría de los ataques son silenciosos. El atacante, en lugar de estropear el sitio, quiere usarlo sin que se note: coloca enlaces de spam, redirige a los visitantes a otros sitios o utiliza el servidor para enviar correo.

Por eso es importante conocer los síntomas. Cualquiera de los siguientes es motivo de sospecha seria; si coinciden varios, lo más probable es que haya habido una intrusión.

• Aparece una alerta de seguridad en el navegador o en los resultados de búsqueda
• Los visitantes son redirigidos a otros sitios, sobre todo desde el móvil o al llegar desde Google
• En los resultados de búsqueda aparecen páginas de productos, juegos de azar o medicamentos que nada tienen que ver con el nombre de su sitio
• Usuarios desconocidos en el panel de administración o contraseñas que han cambiado
• Archivos nuevos en el servidor cuyo nombre desconoce, y archivos antiguos con fecha de última modificación reciente
• Avisos de spam o de uso de recursos por parte de la empresa de alojamiento
• El sitio se ralentiza de forma notable o da errores con frecuencia

02Qué hacer en la primera hora

En el momento en que se da cuenta de que le han hackeado, el objetivo es limitar el daño y conservar las huellas necesarias para la investigación. Borrar archivos con prisa dificulta entender cómo se produjo el ataque y deja abierta la misma vulnerabilidad.

1. Ponga el sitio en modo de mantenimiento o ciérrelo temporalmente a los visitantes
2. Haga una copia de los archivos y de la base de datos del estado actual del sitio y guárdela en otro lugar
3. Informe a su empresa de alojamiento; solicite los registros (logs) del servidor
4. Desde un dispositivo limpio, cambie las contraseñas del panel de administración, FTP/SFTP, base de datos, alojamiento y cuenta del dominio
5. Desactive las cuentas de administrador que no reconozca
6. Si los datos de clientes o de tarjetas pueden haberse visto afectados, valore con su asesor jurídico las obligaciones de notificación

03¿Por dónde entró el ataque?

Antes de limpiar hay que encontrar la vía de entrada; de lo contrario, el atacante volverá por la misma puerta en pocos días. Los registros de acceso del servidor, el historial de inicios de sesión del panel de administración y las fechas de modificación de los archivos responden a esta pregunta.

Las vías de entrada más frecuentes son: vulnerabilidades conocidas en software y componentes sin actualizar, contraseñas de administrador débiles o filtradas en otro sitio, zonas de subida de archivos poco seguras, páginas de prueba antiguas y olvidadas y credenciales FTP robadas de un ordenador comprometido.

find /var/www/site -type f -name '*.php' -mtime -7 -ls

grep -rnE 'eval\(|base64_decode|gzinflate' /var/www/site --include='*.php'

04Limpieza del código malicioso

Para la limpieza del código malicioso hay dos caminos: depurar uno a uno los archivos infectados o reconstruir el sitio a partir de una fuente limpia. Lo segundo es casi siempre más seguro, porque los atacantes suelen dejar varias puertas traseras y encontrarlas todas a mano es difícil.

Volver a una copia limpia

Si tiene una copia anterior a la fecha del ataque y está seguro de que está limpia, esta es la solución más rápida. Pero si después de restaurar la copia no se cierra la vía de entrada, el sitio volverá a ser hackeado; por eso la restauración debe hacerse junto con la actualización y el cambio de contraseñas. Explicamos cómo hacer copias de seguridad periódicas y probadas en nuestra guía sobre cómo hacer copias de seguridad.

¿Y si no hay copia?

Si no hay una copia limpia, el código del sitio se obtiene de nuevo de una fuente fiable y el contenido y las imágenes se trasladan revisándolos uno a uno. En la base de datos también hay que buscar usuarios añadidos por el atacante, enlaces ocultos y scripts incrustados en el contenido de las páginas. Este proceso es laborioso, pero cuesta mucho menos que una limpieza a medias.

05Cómo quitar la alerta de seguridad de Google

Google puede mostrar con una advertencia, en los resultados de búsqueda y en el navegador, los sitios en los que detecta contenido dañino. Esa advertencia hace que la mayoría de los visitantes den la vuelta sin entrar en el sitio, por lo que debe retirarse cuanto antes una vez completada la limpieza.

Puede comprobar el estado de su sitio en la página de estado de Navegación segura de Google. Tener su sitio verificado en Search Console facilita este proceso.

1. Abra en Search Console el informe de Problemas de seguridad y revise los problemas detectados
2. Compruebe que las direcciones que el informe muestra como ejemplo están limpias
3. Envíe una solicitud de revisión explicando brevemente las correcciones que ha realizado
4. Espere el resultado; el plazo de revisión varía según el tipo de problema
5. Si se crearon páginas de spam, asegúrese de que esas direcciones devuelven 404 o 410

06Reparar el daño al SEO

Los atacantes suelen añadir a su sitio miles de páginas de spam o colocar enlaces ocultos en las páginas existentes. Tras la limpieza, estas huellas pueden seguir apareciendo durante un tiempo en los resultados de búsqueda. Vigilar los informes de índice de Search Console le permite seguir la salida del índice de las direcciones no deseadas.

Vuelva a enviar el mapa del sitio, compruebe que las páginas importantes se muestran correctamente y siga durante varias semanas la evolución del tráfico orgánico. Si observa una caída persistente, conviene que un especialista revise la estructura técnica; el trabajo de SEO y analítica se centra en recuperar la visibilidad perdida en este proceso.

07Para que no vuelva a ocurrir

Un sitio limpiado vuelve a ser objetivo si los hábitos no cambian. Las medidas siguientes dificultan notablemente el trabajo del atacante.

• Actualización periódica del software del sitio, del servidor y de todos los componentes
• Contraseña única en el panel de administración y verificación en dos pasos
• Una cuenta propia para cada usuario y solo los permisos necesarios
• SFTP en lugar de FTP y cierre de los accesos que no se usan
• Control del tipo y del tamaño en las zonas de subida de archivos
• Copias de seguridad diarias, guardadas fuera del sitio y probadas
• Un sistema de alertas sencillo que vigile los cambios en los archivos y la disponibilidad

¿Hace falta cambiar de infraestructura?

Si el ataque se debió a una debilidad del propio entorno de alojamiento, o si el proveedor no ofrece medidas de seguridad actualizadas, puede plantearse trasladar el sitio a una infraestructura más sólida. Para una migración sin interrupciones, consulte nuestra guía sobre la migración de hosting. Explicamos que medidas similares sirven también contra los ataques que cifran los archivos en nuestro artículo sobre el ransomware.

08¿Cuándo recurrir a un experto?

Eliminar un simple enlace de spam puede ser algo que haga el propio propietario del sitio. Pero en un sitio que procesa datos de clientes o de pagos, en un sistema hackeado varias veces o cuando no encuentra la vía de entrada, recurrir a un experto reduce la pérdida de tiempo y de reputación.

Sobre todo en una plataforma e-commerce que recibe pedidos, un incidente de seguridad supone directamente pérdida de ventas y de confianza. En las soluciones de software a medida de una empresa, como se conoce todo el código, la revisión y la corrección definitiva pueden hacerse más rápido. En los sitios ya publicados, las actualizaciones, el control de copias y el seguimiento del rendimiento pueden integrarse en una rutina de mantenimiento regular dentro de la gestión de velocidad y rendimiento.