La mayoría de los dueños de pequeñas empresas no se enteran de que su sitio fue hackeado por una alerta de seguridad. Se enteran porque Google marca el sitio como peligroso en los resultados de búsqueda, un cliente manda un mail preguntando por qué el sitio intentó descargar algo en su teléfono, o el hosting suspende la cuenta sin avisar. Para cuando pasa cualquiera de esas cosas, el daño ya viene ocurriendo desde hace semanas, por lo general.
Esa demora es el verdadero problema. Un sitio comprometido casi nunca lo anuncia. Sigue cargando, la página de inicio se ve bien, y no hay ninguna razón obvia para sospechar. Mientras tanto, el atacante está haciendo algo más silencioso: inyectando enlaces de spam en las páginas para mejorar el SEO de otro sitio, redirigiendo a una parte de los visitantes hacia una estafa, recolectando lo que la gente envía en los formularios, o usando el servidor para mandar spam masivo. Nada de eso se nota si no sabés dónde mirar.
Esto es lo que hay que revisar en serio, porque "a mí el sitio me parece que está bien" no es lo mismo que "el sitio está bien".
1. Buscá tu propio dominio en Google con "site:tudominio.com" y revisá los resultados en busca de páginas que vos no creaste, en especial las que tienen en el título palabras relacionadas con fármacos, apuestas o productos falsificados. Es una de las señales más comunes de un hackeo y una de las más fáciles de chequear, en unos treinta segundos.
2. Fijate si hay contenido que cambia según quién lo mire. Los atacantes suelen mostrar el spam inyectado solo a Googlebot, o solo a quienes llegan desde los resultados de búsqueda, así que el sitio se ve completamente normal para el dueño que entra desde su navegador de siempre. Revisar Google Search Console en busca de una advertencia de "problemas de seguridad" suele ser la forma más rápida de detectar esto, muchas veces antes de que algo se vea raro a simple vista.
3. Revisá si hay cuentas de administrador nuevas, archivos desconocidos en las carpetas de plugins o temas del CMS, o tareas programadas que nadie del equipo configuró. Suelen dejarse ahí a propósito, para que el atacante pueda volver a entrar aunque ya se haya limpiado el problema visible.
4. Prestá atención a una caída repentina del tráfico de búsqueda sin otra explicación. Google baja el ranking, y con el tiempo bloquea, a los sitios que marca como comprometidos, y eso aparece en las analíticas antes de que la mayoría de los dueños note cualquier otra cosa rara.
5. Preguntale directamente al proveedor de hosting si hubo un pico reciente en el correo saliente o en el uso de recursos. Un sitio comprometido suele usarse para mandar spam en volumen, y la mayoría de los hostings monitorea justamente eso, aunque no le avisen al cliente de forma proactiva hasta suspender la cuenta.
Si alguno de estos puntos revela algo, este es el orden que realmente importa en la primera hora. No es un manual completo de respuesta a incidentes, es solo lo que frena la hemorragia.
Cambiá todas las contraseñas de administrador de inmediato, incluyendo la cuenta de hosting y cualquier credencial de FTP o base de datos, no solo el login del CMS. Una contraseña reutilizada de otro lado es cómo empiezan la mayoría de estos hackeos.
Bajá el sitio o ponelo en modo mantenimiento en lugar de dejarlo activo mientras investigás. Un sitio comprometido que sigue en línea sigue dañando el posicionamiento y a cualquiera que lo visite mientras tanto.
Restaurá un backup anterior al hackeo, si existe y está realmente limpio. Por eso justamente un plan de mantenimiento que prueba sus backups vale más que uno que solo dice tenerlos. Restaurar casi siempre es más rápido y más seguro que buscar y sacar a mano cada archivo inyectado.
Corregí lo que le permitió entrar al atacante antes de volver a poner el sitio en línea. La mayoría de estos hackeos entran por un plugin, un tema o una versión del CMS desactualizada, no por algo sofisticado. Si no se corrige el punto de entrada, restaurar el backup solo reinicia el reloj hasta que pase lo mismo otra vez.
Pedí una revisión en Google Search Console una vez que el sitio esté realmente limpio, para que se levante la advertencia de "sitio peligroso" en lugar de que siga costando tráfico en silencio durante semanas después de que el arreglo ya esté hecho.
Las empresas que se recuperan rápido de esto casi nunca son las que tienen las herramientas de seguridad más sofisticadas. Son las que ya tenían backups limpios y probados, que conocían lo suficientemente bien cómo era lo "normal" en su propio sitio como para notar que algo andaba mal, y que tenían a quién llamar para que actuara de inmediato en lugar de abrir un ticket y esperar.
Ese es el punto real del soporte continuo: no un servicio en el que nadie piensa hasta que lo necesita, sino alguien que ya conoce tu sitio, que ya tiene acceso, y que atiende el teléfono en lugar de mandarte a una cola cuando algo se rompe. Si ahora mismo no estás seguro de si tu propio sitio pasaría los chequeos de arriba, vale la pena averiguarlo antes de que lo averigüe un atacante, o Google, por vos.
¿Tienes un proyecto en mente?
Iniciar un proyecto