Artículo de: Raquel MartínMi web ha sido hackeada: qué hacer ahora (y cómo evitar que vuelva a pasar)
Si te ha pasado seguro que te estás preguntando ¿Por qué mi web? Si soy una empresa pequeña…
Por qué hackean webs pequeñas si «no hay nada que robar»
Es la pregunta que más nos hacen los clientes. Si no guardas tarjetas de crédito ni datos sensibles, ¿qué interés tiene tu web? La respuesta es que casi nunca hay una persona detrás tecleando tu dominio a propósito. Los ataques a webs pequeñas están automatizados: bots que rastrean internet buscando plugins o temas desactualizados con vulnerabilidades conocidas y, cuando encuentran uno, entran solos. No es personal, es estadística.
Y aunque tu web no tenga «nada que robar», sí tiene cosas muy valiosas para un ciberdelincuente:
Tu autoridad en Google.
Si tu dominio lleva años online y tiene cierta confianza, la usan para colocar enlaces ocultos hacia webs ilegales (apuestas, farmacia sin receta, productos falsificados). Cuando Google lo detecta, penaliza tu web y te hunde en los resultados de búsqueda.
Tu servidor:
Lo usan para enviar spam masivo o para lanzar ataques a otras webs.
Tus visitas:
Redirigiendo a tus usuarios hacia webs fraudulentas o instalando malware en sus dispositivos.
Mi web WordPress ha sido hackeada: qué hacer ahora
- Cambia todas las contraseñas.Empieza por el usuario administrador de WordPress, y sigue por el hosting, el FTP y la base de datos. Si compartes contraseñas entre servicios, cámbialas todas.
- Pon la web en mantenimiento o desconéctala temporalmente. Mientras esté comprometida, sigue siendo un riesgo para quien la visite.
- Revisa usuarios administradores. Es habitual que un ataque cree un usuario nuevo con permisos de administrador para mantener el acceso aunque cambies la contraseña principal. Elimina cualquiera que no reconozcas.
- Restaura una copia de seguridad limpia, si la tienes (de antes de la fecha estimada del ataque) esta es con diferencia, la forma más rápida y segura de volver a tener la web operativa.
- Si no tienes copia de seguridad limpia, hay que hacer una limpieza manual de archivos y base de datos, o recurrir a un profesional. Es el escenario más largo y el que más conviene evitar teniendo backups al día.
- Notifica a Google Search Console si tu web ha sido marcada como insegura, y solicita una revisión una vez limpia.
- Actualiza absolutamente todo (core de WordPress, plugins, tema) antes de volver a publicar la web, para no dejar abierta la misma puerta por la que entraron.
Cómo proteger tu web WordPress para que no vuelva a pasar
La buena noticia es que la mayoría de estos ataques son evitables. La inmensa mayoría de los hackeos en WordPress no entran por el núcleo del CMS (que es bastante seguro), sino por plugins y temas desactualizados. Muchas veces no prestamos atención a lo importante que es el mantenimiento técnico de un wordPress y aquí es donde de verdad se juega la seguridad de tu web:
Mantenimiento básico preventivo, pero constante
- Actualiza WordPress, plugins y temas en cuanto haya una nueva versión disponible.
- Elimina plugins y temas que no uses. Cada uno que tienes instalado, lo uses o no, es una puerta potencial.
- Usa plugins solo de fuentes fiables (repositorio oficial o proveedores reconocidos), nunca versiones «premium» descargadas gratis de páginas de dudosa procedencia.
Accesos
- Contraseñas robustas y distintas para WordPress, hosting y FTP.
- Activa la verificación en dos pasos en el acceso de administrador.
- Limita los intentos de inicio de sesión fallidos (existen plugins específicos para esto).
- Cambia el usuario «admin» por defecto por uno personalizado; es el primero que prueba cualquier bot.
Copias de seguridad
- Backups automáticos y periódicos, guardados fuera del propio servidor (si hackean el servidor, no quieres que también se lleven tu única copia de seguridad).
- Comprueba de vez en cuando que esas copias realmente se pueden restaurar.
Ir un paso más allá en la seguridad de tu web
- Certificado SSL activo (el famoso «https») en todo momento.
- Firewall a nivel de aplicación (WAF), que filtra tráfico malicioso antes de que llegue a tu web.
- Un hosting que se tome en serio la seguridad, no solo el precio.
No es solo un problema técnico, es un problema de negocio
Una web caída o marcada como insegura no solo hace daño en lo que el problema se soluciona técnicamente. Mientras dura, pierdes visitas, Google penaliza tu posicionamiento y tus clientes reciben una señal de que algo no funciona bien en tu empresa.
Recuperar la confianza y el posicionamiento perdido, en muchos casos, cuesta más que el propio ataque.
Por eso, en A2colores incluimos la seguridad como parte del mantenimiento técnico de las webs que gestionamos: actualizaciones periódicas, copias de seguridad y monitorización, para que este susto no llegue a producirse.
Si ya te ha pasado, o si simplemente prefieres dejar de cruzar los dedos cada vez que entras en tu web, hablamos.
0 comentarios