Cómo contratar a un experto para eliminar malware de WordPress tras un hackeo

Tu web de WordPress redirige a los visitantes a una página de spam, Google muestra “Este sitio puede haber sido pirateado” bajo tu resultado o tu hosting ha suspendido la cuenta.

Puede parecer que la web está perdida, pero las entradas, las páginas y los pedidos suelen seguir en la base de datos. El mayor riesgo es que la limpieza elimine el spam visible pero deje una puerta trasera por la que vuelva la misma infección.

Aquí tienes lo que reviso en los primeros diez minutos y cómo contratar a un experto para eliminar malware de WordPress sin darle más acceso del que necesita para hacer el trabajo.

Qué señales suele dar una web de WordPress hackeada

Puedes encontrarte con redirecciones a páginas de spam o estafas, a veces solo si entras desde Google o usas el móvil. Google puede mostrar páginas que nunca escribiste, a veces en otro idioma. También puedes ver un aviso rojo en el navegador, usuarios administradores nuevos o un aviso de suspensión de tu hosting.

Estas son las vías de entrada, más o menos en el orden en que me las encuentro:

• Plugin o tema desactualizado Tiene un fallo de seguridad conocido. Es, con diferencia, la vía más común.
• Contraseña robada o débil Alguien consiguió las credenciales de WordPress, de la cuenta de hosting o de SFTP. A veces las roba un malware instalado en el propio ordenador del dueño.
• Plugin o tema premium pirata Una copia “gratis” de un plugin o tema de pago a menudo viene ya con una puerta trasera dentro.
• Otra web infectada en el mismo hosting Una web de pruebas olvidada puede infectar a todas las demás webs alojadas junto a ella.

En muchos hackeos se añade código sin borrar el contenido. Lo difícil es encontrar la puerta trasera: un archivo oculto o unas pocas líneas de código que permiten al atacante volver cuando el spam visible ya no está.

Si la web muestra un error crítico o una pantalla en blanco y ninguna de las señales anteriores, lo más probable es que se trate de un fallo, no de un hackeo. Es un trabajo distinto: cómo contratar a alguien para arreglar una web de WordPress que falla.

Prueba esto primero (10 minutos)

No empiezo borrando archivos infectados. Los primeros diez minutos sirven para limitar el daño y conservar las pruebas.

1. No borres nada todavía. Esos archivos pueden mostrar cómo entró el atacante. Si los borras o reinstalas plugins, puedes eliminar las pistas y dejar la puerta trasera donde está.
2. Anota lo que ves y cuándo. Haz capturas de la redirección o del aviso, apunta cuándo lo notaste y haz una lista de los cambios recientes, como un plugin nuevo, una modificación del tema o un usuario nuevo.
3. Cambia las contraseñas expuestas. Cambia las contraseñas de tu cuenta de hosting, de los usuarios SFTP y de cada administrador de WordPress desde un ordenador de confianza. Si sospechas que te robaron los accesos, analiza ese ordenador en busca de malware. Vuelve a cambiar las contraseñas después de la limpieza.
4. Revisa Google Search Console. Abre Seguridad y acciones manuales → Problemas de seguridad para ver lo que ha encontrado Google y algunas URL de ejemplo. No pulses “Solicitar revisión” hasta que la limpieza esté terminada.

Contacta también con tu hosting. Puede que ya hayan encontrado archivos infectados y, si la cuenta está suspendida, pueden explicarte qué hace falta para recuperarla.

No intentes limpiarla por tu cuenta si tienes una tienda que guarda datos de clientes, si la web está enviando correos de spam o si el hosting la ha suspendido. Experimentar con una web infectada en producción puede extender la infección y hacer que el aviso de seguridad siga apareciendo durante más tiempo.

Si prefieres no tocar archivos en tu hosting, para aquí. Cada cambio adicional complica el trabajo del desarrollador. El siguiente paso es elegir quién la limpia.

Dónde contratar a un desarrollador

Recomiendo Fiverr Pro para limpiar una web de WordPress hackeada, con el trabajo bien definido y un precio cerrado. Fiverr revisa de forma manual la experiencia, el portfolio y el historial de trabajo de los profesionales antes de concederles la insignia Pro. Trabajo en Fiverr, así que sé cómo funcionan sus pedidos, pagos y reseñas.

Cuánto cuesta

El precio depende de lo que incluya la limpieza, no de lo mal que parezca estar la web. En el momento de escribir esto, los precios de Fiverr Pro para eliminar malware de WordPress se reparten en tres niveles:

Fiverr también añade una pequeña tarifa de servicio al pagar. La entrega más rápida suele costar más.

Qué suelen dejar fuera los paquetes más baratos

Lee con atención el paquete Básico: es el que menos servicios incluye de todos los que ofrece el vendedor. Una limpieza básica puede bastar para una infección sencilla, pero a menudo deja fuera:

• la base de datos, donde los enlaces de spam y los scripts inyectados suelen esconderse en entradas y ajustes
• la puerta trasera y la vía de entrada, así que el mismo hackeo vuelve
• la retirada de la lista de advertencias de Google y de otras listas negras
• las actualizaciones y el refuerzo de seguridad después de la limpieza
• unas semanas de seguimiento por si reaparece la infección

Si el hackeo ya ha vuelto una vez, pagaría al menos por el paquete intermedio.

Cómo dar acceso de forma segura

Puede que algunas credenciales de una web hackeada ya hayan quedado expuestas. Dale al desarrollador solo los accesos que necesite para el trabajo, con cuentas que controles tú, y retíralos cuando termine.

1. Haz primero tu propia copia de seguridad, aunque esté infectada. Descarga los archivos y la base de datos desde el panel de tu hosting y guarda la copia fuera del servidor. Si la limpieza sale mal, puedes usarla para recuperar la web. Llámala “infectada” para que nadie la restaure por error.
2. Crea un administrador de WordPress aparte para el desarrollador en lugar de compartir tu cuenta.
3. Da acceso a los archivos con un usuario SFTP aparte. Créalo en el panel de tu hosting. El desarrollador necesita acceso a los archivos para buscar código que un plugin de escaneo puede pasar por alto. Nunca compartas la contraseña de tu cuenta de hosting.
4. Quédate algunos accesos para ti: el registrador de tu dominio, Stripe o PayPal, y el buzón del correo de administración de la web.
5. Comparte las contraseñas de forma segura y solo después de hacer el pedido. Usa un enlace de un gestor de contraseñas para compartirlas, en lugar de escribirlas directamente en el chat.
6. Retira los accesos cuando termine el trabajo. Borra los usuarios de WordPress y SFTP del desarrollador, vuelve a cambiar todas las contraseñas y revisa Usuarios → Administrador por si hay cuentas que no reconoces. Pide al desarrollador que cambie la contraseña de la base de datos, la actualice en wp-config.php y sustituya las claves de seguridad de WordPress. Las claves nuevas cierran la sesión de todos los que sigan conectados, también la del atacante.

Hay una regla que te protege más que todas las demás: mantén el hosting y el dominio a tu nombre. Quien los controla, controla la web.

Qué enviar antes de que empiece el trabajo

Envía esto antes de hacer el pedido o pégalo en los requisitos del pedido de Fiverr:

• la URL de tu web
• lo que ves: la redirección, el texto del aviso o las páginas de spam, con capturas, y dónde aparece (solo en móviles, solo desde Google)
• cuándo lo notaste y qué cambió justo antes
• qué te han indicado Google Search Console o tu hosting, con URL de ejemplo
• tu hosting, la versión de WordPress y la de PHP (Herramientas → Salud del sitio → Información, si el escritorio funciona)
• tu tema o maquetador, los plugins principales y cualquier plugin premium que hayas conseguido fuera de la tienda oficial
• si es una tienda que guarda datos de clientes
• qué copias de seguridad tienes, con fechas, y cuál podría ser de antes del hackeo
• lo que ya has hecho (cambiar contraseñas, borrar archivos, pasar un escáner)
• qué acceso estás dispuesto a dar

En Fiverr, los requisitos del pedido dejan constancia de lo que el vendedor aceptó entregar. Describe el resultado con palabras sencillas: “análisis sin malware detectado, sin páginas de spam inyectadas, ayuda con la revisión del aviso de Google y una explicación de cómo entró el atacante”.

Cómo elegir al desarrollador adecuado

Borrar los archivos infectados es solo una parte del trabajo. Elige a alguien que también encuentre y cierre la vía de entrada.

Busca reseñas sobre el mismo problema

Busca reseñas que mencionen “hacked”, “redirect”, “spam pages” o “blacklist”, en lugar de fijarte solo en la valoración general. Lee las reseñas de una a tres estrellas y las respuestas del vendedor. Una reseña que dice “volvió a las dos semanas” te cuenta más que diez que dicen “entrega rápida”.

Lee qué incluye cada paquete

Compara los paquetes línea a línea: limpieza de la base de datos, retirada de listas negras, refuerzo de seguridad, días de soporte tras la entrega. Un paquete llamado “eliminación de malware” puede no ser más que un escaneo.

Pregunta cómo encuentran la vía de entrada

Un buen vendedor te explica en una o dos frases cómo lo hace: compara tus archivos con copias limpias y revisa las versiones de los plugins, los usuarios y los registros del servidor. Un simple “pasaré un escáner” suele significar una limpieza superficial.

No le des demasiada importancia al nivel del vendedor

En Fiverr, el nivel de un vendedor refleja su historial de pedidos, no lo que sabe de seguridad. Para una tienda o un hackeo que vuelve una y otra vez, elegiría a alguien con reseñas sobre ese mismo tipo de trabajo.

Qué preguntaría antes de hacer el pedido

• ¿Limpias también la base de datos o solo los archivos?
• ¿Me dirás cómo entró el atacante?
• ¿Harás una copia de seguridad antes de cambiar nada?
• ¿Solicitarás la retirada de la lista de advertencias de Google o me enseñarás a hacerlo?
• ¿Qué pasa si el malware vuelve en menos de 30 días?
• ¿Qué acceso necesitas exactamente?

Señales de alarma

• Te piden la contraseña de tu cuenta de hosting o el acceso a tu dominio cuando bastaría con un usuario de WordPress y acceso SFTP.
• Quieren llevar el chat o el pago fuera de Fiverr. Fiverr pide a los compradores que mantengan ambos en la plataforma, y su soporte solo puede ayudar con pedidos hechos allí.
• Prometen que tu web “no volverá a ser hackeada nunca”. Un vendedor honesto habla de reducir el riesgo.
• Te ofrecen gratis un plugin de seguridad premium. Eso es una copia pirata, y los plugins piratas pueden traer malware.
• Piensan borrarlo todo y reinstalar sin copia de seguridad, o sin decirte qué perderías.
• Te ofrecen un descuento a cambio de una reseña de cinco estrellas.

Después de la limpieza: revisa, acepta y evita otro hackeo

En Fiverr tienes tres días para revisar una entrega. Después, el pedido se completa solo. Revisa el trabajo el mismo día:

• abre la web en una ventana de incógnito y en el móvil, y entra también desde los resultados de Google (algunas redirecciones solo aparecen para quien llega desde Google o usa el móvil)
• busca en Google site:tudominio.com y fíjate en las páginas que no escribiste
• pasa un escáner remoto gratuito, como Sucuri SiteCheck (en inglés)
• comprueba que en Usuarios solo aparecen cuentas que conoces
• pregunta cómo entró el atacante y anótalo
• pide cualquier cambio a través de Fiverr antes de aceptar la entrega

Si Google marcó la web, solicita una revisión en Search Console cuando esté limpia. Google dice que una revisión puede tardar desde unos días hasta unas semanas, y volver a enviarla mientras hay una pendiente puede hacer que la siguiente tarde más.

Después, retira los accesos que diste (mira más arriba). Actualiza plugins y temas, elimina los que no uses, evita los plugins premium piratas, activa el inicio de sesión en dos pasos para los administradores y guarda copias de seguridad automáticas fuera del servidor. Si el mantenimiento regular te parece un segundo trabajo, suele costar menos que otra limpieza.

Resumen

Eliminar malware de WordPress suele ser un trabajo pequeño y a precio cerrado, pero una limpieza que solo borra lo que se ve a menudo hace que el hackeo se repita. Conserva las pruebas, cambia tus contraseñas y elige a un vendedor que limpie la base de datos y te explique cómo entró el atacante. Para reducir el riesgo, crea una cuenta aparte y retira el acceso cuando termine el trabajo.