Si hackearon tu web WordPress, en las primeras 24 horas tienes que hacer cuatro cosas en este orden: contener el daño sin borrar evidencia (poner la web en mantenimiento y cambiar las contraseñas desde un equipo limpio), averiguar si se expusieron datos de clientes, limpiar o restaurar desde un backup sano y cerrar los frentes externos: Google, tus anuncios, tus clientes y, si hubo datos personales comprometidos de forma grave, la Autoridad Nacional de Protección de Datos Personales, que debe recibir la notificación en un máximo de 48 horas.
Esta guía está escrita para el dueño o el gerente, no para el técnico. La limpieza del código la hará tu proveedor o tu equipo; tu trabajo es tomar decisiones rápidas, coordinar a las personas correctas y cumplir las obligaciones que la ley pone sobre tu empresa. Para la parte técnica tenemos el protocolo de emergencia técnico para un WordPress hackeado; aquí te damos el plan de decisiones, hora por hora.
Actualizado: octubre de 2026
Lo esencial
- No borres nada en la primera hora: los archivos modificados y los registros de acceso son la evidencia para encontrar cómo entraron.
- Cambia las contraseñas desde una computadora distinta a la que usas siempre, por si el origen fue un equipo infectado.
- La pregunta clave del día es si se expusieron datos personales: de eso dependen las obligaciones legales.
- Un incidente grave con datos personales se notifica a la autoridad y a los afectados en 48 horas (artículo 34 del D.S. 016-2024-JUS).
- Google puede tardar desde varios días hasta algunas semanas en revisar una web marcada como peligrosa: pide la revisión solo cuando todo esté limpio.
- Restaurar un backup sin cerrar la puerta de entrada es invitar al atacante a volver.
Antes de empezar: confirma que es un hackeo
No todo problema es un ataque. Una web caída puede ser un plugin que se actualizó mal, el hosting saturado o un dominio vencido. Las señales que sí apuntan a un hackeo:
- Google o el navegador muestran una advertencia de sitio peligroso.
- La web redirige a páginas de apuestas, farmacias o contenido para adultos, a veces solo desde el celular o solo al llegar desde Google.
- Aparecen en Google páginas tuyas que nunca creaste, a menudo en otros idiomas.
- Hay usuarios administradores que nadie reconoce.
- Tu hosting te avisó de archivos maliciosos o suspendió la cuenta.
- Tus clientes reciben correos o mensajes extraños desde tu dominio.
- Google Ads desaprobó tus anuncios por «sitio comprometido».
Tenemos una lista más completa en 10 señales de que tu web está hackeada. Si ves al menos una de estas, actúa como si fuera un hackeo hasta descartarlo.
Quién hace qué: el equipo de crisis de una MYPE
En una empresa pequeña, el equipo de crisis son dos o tres personas. Lo importante es que cada una sepa qué le toca desde el primer minuto.
| Rol | Responsabilidad | Quién suele ser |
|---|---|---|
| Coordinador | Toma decisiones, aprueba comunicaciones, lleva la bitácora | Dueño o gerente general |
| Técnico | Contiene, investiga, limpia o restaura | Agencia, programador o soporte del hosting |
| Comunicación | Responde a clientes, redes sociales y WhatsApp con mensajes aprobados | Encargado de ventas o atención |
| Legal y datos | Evalúa si hay que notificar y redacta el aviso | Oficial de datos, abogado o el mismo gerente con asesoría |
Abre una bitácora desde el primer minuto: un documento simple con hora, qué se vio, qué se hizo y quién lo hizo. La necesitarás para la notificación, para el informe interno y si decides denunciar.
Hora 0 a 1: contener sin destruir evidencia
El instinto es borrar todo lo raro y reinstalar. Resiste ese impulso durante la primera hora.
- Pon la web en mantenimiento o restringe el acceso. Si está redirigiendo a visitantes a sitios maliciosos o robando datos de pago, cada minuto cuenta. Tu hosting puede bloquear el acceso público mientras se trabaja.
- Avisa a tu hosting. Pídeles que conserven los registros de acceso del servidor y que te digan si detectaron archivos maliciosos. Muchos hostings guardan pocos días de registros.
- Cambia contraseñas desde un equipo limpio. Panel de WordPress, hosting, FTP o SFTP, base de datos, correo del administrador y registrador del dominio. Activa el doble factor donde no lo tengas.
- Cierra sesiones activas. En WordPress, cambiar las claves de seguridad del archivo de configuración fuerza el cierre de todas las sesiones, incluida la del atacante.
- Copia el estado actual. Antes de limpiar, pide una copia completa de archivos y base de datos tal como están. Es la evidencia y, a veces, la única forma de recuperar pedidos o formularios recientes.
Hora 1 a 6: medir el daño
Con la web contenida, la pregunta central es qué alcanzó el atacante. La respuesta define todo lo que sigue.
¿Qué datos personales tenía la web?
Haz el inventario rápido: envíos de formularios guardados en la base de datos, pedidos de WooCommerce con nombres, DNI, direcciones y teléfonos, cuentas de clientes registrados, currículums de postulantes y registros del Libro de Reclamaciones virtual.
¿Hubo acceso a esos datos?
El técnico debe revisar los registros del servidor y, si existe, el registro de actividad de WordPress: exportaciones de pedidos, consultas a la base de datos, archivos nuevos que permiten ejecutar comandos. No siempre se puede saber con certeza. Si el atacante tuvo acceso de administrador o a la base de datos, asume que pudo ver todo lo que había ahí.
¿Tocaron los pagos?
Si tu tienda usa una pasarela con formulario alojado por el proveedor o redirección (lo habitual con Izipay, Niubiz, Culqi o Mercado Pago), los datos de tarjeta no pasan por tu servidor. Pero hay ataques que inyectan un script en la página de pago para capturar lo que escribe el cliente. Si el checkout fue modificado, avisa de inmediato a tu pasarela: ellos tienen protocolos para estos casos.
Al cerrar esta etapa debes poder escribir una frase: «El incidente afectó o no afectó datos personales de aproximadamente tantas personas, de tal tipo». Si no puedes, anota qué falta averiguar.
Hora 6 a 12: limpiar o restaurar
Aquí entra el trabajo técnico, y la decisión principal es si se limpia la web actual o se restaura un backup anterior al ataque.
| Opción | Cuándo conviene | Riesgo |
|---|---|---|
| Restaurar un backup sano | Tienes un respaldo fechado antes del ataque y la web cambia poco | Pierdes pedidos o formularios posteriores; si no cierras la vulnerabilidad, vuelve a pasar |
| Limpiar la web actual | No hay backup confiable o hay muchos datos recientes que no puedes perder | Es más lento y puede quedar código malicioso escondido |
| Combinar | Restaurar archivos limpios y rescatar pedidos recientes de la base actual | Requiere más experiencia técnica |
En cualquier caso, el técnico debe identificar por dónde entraron: un plugin vulnerable, una contraseña filtrada, un usuario antiguo, un archivo subido por un formulario mal configurado. Si no se cierra esa puerta, la limpieza dura poco. Las opciones detalladas están en limpieza de malware en WordPress: tú o el profesional y en la guía para limpiar un WordPress hackeado paso a paso.
Si el backup más reciente también está infectado, no es raro: muchos ataques se quedan semanas dormidos. Por eso es útil conservar varias versiones de backup, como explicamos en la estrategia de backups 3-2-1.
Hora 12 a 24: Google, anuncios y correo
Con la web limpia, toca recuperar la reputación técnica.
Google Search Console
Abre el informe de Problemas de seguridad de Search Console. Si Google marcó tu web, ahí verás el tipo de problema y ejemplos de URL. Corrige todo el sitio, no solo los ejemplos, y luego solicita la revisión explicando qué pasó y qué hiciste. Google indica que estas revisiones pueden tardar desde varios días hasta algunas semanas, y que pedirla sin haber limpiado todo puede alargar la siguiente. Revisa también si aparecieron páginas falsas indexadas y solicita su eliminación.
Google Ads y Meta
Si tus anuncios fueron desaprobados, la política de Google sobre sitios comprometidos explica cómo identificar los anuncios afectados y qué revisar. Pausa las campañas mientras la web no esté limpia: pagar por enviar tráfico a una web infectada es perder dinero y confianza. Cuando esté resuelto, solicita la revisión de los anuncios.
Correo del dominio
Si el ataque envió spam desde tu servidor, tu dominio puede haber caído en listas negras y tus correos legítimos terminarán en la carpeta de spam de tus clientes. Revisa con tu proveedor de correo y configura SPF, DKIM y DMARC si no los tenías.
Las obligaciones legales: 48 horas y una posible denuncia
Si el incidente comprometió datos personales, el nuevo reglamento de la Ley 29733, el D.S. 016-2024-JUS, establece reglas concretas:
- Notificación a la autoridad. Si el incidente involucra grandes volúmenes de datos, afecta a muchas personas, incluye datos sensibles o causa un perjuicio evidente, debes notificarlo a la Autoridad Nacional de Protección de Datos Personales como máximo dentro de las 48 horas de haberlo conocido. Si tardas más, debes explicar por qué (artículo 34).
- Aviso a los afectados. Si el incidente afecta a los titulares, también debes informarles en ese plazo.
- Entorno digital. Cuando el incidente ocurre en medios digitales, el reglamento pide notificar además al Centro Nacional de Seguridad Digital.
- Documentación. Todo incidente se documenta, aunque no requiera notificación (artículo 35). Tu bitácora es el punto de partida.
No notificar cuando corresponde es una infracción grave según el reglamento. Con la UIT de 2026 en S/ 5,500, las infracciones graves de la Ley 29733 van de más de S/ 27,500 a S/ 275,000. Si dudas sobre si tu caso es «grave», consulta con un abogado ese mismo día: el plazo corre desde que conoces el incidente. Para el contexto general de la norma, revisa nuestra guía de la Ley 29733 de protección de datos personales.
¿Conviene denunciar?
El acceso ilícito a sistemas informáticos es delito según la Ley 30096, Ley de Delitos Informáticos. Puedes presentar la denuncia ante la Policía Nacional, que tiene una división especializada en delitos de alta tecnología, o ante el Ministerio Público. En la práctica, identificar al atacante es difícil, pero la denuncia documenta que fuiste víctima, lo que puede ser útil frente a clientes, aseguradoras o la propia autoridad de datos.
Cómo comunicarlo a tus clientes
El silencio rara vez funciona. Si tus clientes ven la advertencia de Google o reciben correos raros, van a preguntar. Mejor que se enteren por ti, con un mensaje claro y sin dramatismo.
Un aviso razonable incluye:
- Qué pasó, en lenguaje simple y sin tecnicismos.
- Cuándo ocurrió y cuándo lo detectaste.
- Qué datos pudieron verse afectados y cuáles no (por ejemplo, «los datos de tarjeta no se guardan en nuestra web»).
- Qué hiciste para resolverlo.
- Qué puede hacer la persona: desconfiar de mensajes que pidan pagos o claves, cambiar su contraseña si tenía cuenta.
- Un canal de contacto para dudas.
Ejemplo de mensaje (adaptable): «El 14 de octubre detectamos un acceso no autorizado a nuestra página web. Bloqueamos el acceso, limpiamos el sitio y reforzamos la seguridad. Los datos que pudieron verse expuestos son nombre, correo y teléfono de quienes nos escribieron por el formulario. No guardamos datos de tarjetas. Si recibes un mensaje a nuestro nombre pidiendo pagos o claves, no respondas y escríbenos a este número.»
Prepara una versión corta para WhatsApp y redes sociales, y asegúrate de que todo el equipo de atención use el mismo mensaje.
Después de las 24 horas: la primera semana
Superada la emergencia, la semana siguiente define si el problema vuelve:
- Informe de causa. Pide al técnico un informe breve: por dónde entraron, qué hicieron y qué se cambió.
- Vigilancia reforzada. Escaneos diarios, alertas de nuevos usuarios administradores y monitoreo de cambios en archivos.
- Actualizaciones al día y eliminación de plugins o temas que no usas. Revisa cómo enterarte de vulnerabilidades de plugins.
- Accesos depurados. Un usuario por persona, roles mínimos y doble factor.
- Backups externos verificados, con varias versiones guardadas.
- Revisión del contrato con tu agencia o proveedor de mantenimiento: qué cubría, qué no y qué cambiarás.
Cuánto cuesta recuperarse y quién lo paga
El costo de un hackeo no es solo la limpieza. Incluye horas sin ventas, campañas pausadas, posiciones perdidas en Google mientras la web estuvo marcada y el tiempo de tu equipo atendiendo clientes preocupados. En muchos casos, la factura indirecta es mayor que la técnica.
Sobre quién paga, revisa tu contrato. Si tienes un plan de mantenimiento que incluye seguridad, la limpieza podría estar cubierta. Si tu web no tenía mantenimiento, lo habitual es que el proveedor cobre la limpieza como un trabajo aparte. En qué incluye un buen plan de mantenimiento web explicamos qué preguntar antes de contratar uno.
Si necesitas rehacer tu web sobre una base segura
A veces, después de un hackeo, lo más sensato es rehacer la web: el tema estaba abandonado, los plugins eran demasiados o nadie sabe qué tiene instalado. En KOM construimos webs en WordPress con usuarios nominales, HTTPS, backups configurados y formularios que cumplen la normativa peruana. Los planes de diseño web de KOM empiezan en S/ 1,250 + IGV (Plan Profesional) e incluyen hosting, dominio .com, SSL y correos corporativos el primer año.
Preguntas frecuentes
¿Puedo seguir vendiendo mientras limpian mi web?
Sí, pero no a través de la web afectada. Mientras dura la limpieza, atiende por WhatsApp, teléfono o redes sociales, y pausa las campañas que envían tráfico a la web. Si tienes una tienda, puedes publicar una página temporal de mantenimiento con tus canales de contacto. Lo que no conviene es dejar la web abierta si está redirigiendo a sitios maliciosos o si el checkout fue modificado.
¿Mi hosting tiene la culpa de que me hackearan?
Depende de cómo entraron. La mayoría de hackeos en WordPress aprovecha plugins o temas desactualizados, contraseñas débiles o accesos que nadie retiró, y eso es responsabilidad de quien administra la web. El hosting responde si la falla estuvo en su servidor o si otra cuenta del mismo servidor contagió la tuya. Pide los registros de acceso y un informe para saberlo con certeza.
¿Tengo que avisar a todos mis clientes aunque no esté seguro de que robaron sus datos?
Si el atacante tuvo acceso a la base de datos donde estaban sus datos y el incidente puede afectarlos, lo prudente es informar, explicando con honestidad qué se sabe y qué no. El reglamento de la Ley 29733 pide avisar a los titulares afectados en 48 horas cuando el incidente los perjudica. Consulta con un abogado para decidir el alcance, pero no esperes a tener certeza total.
¿Cuánto tarda Google en quitar la advertencia de sitio peligroso?
Después de limpiar la web y solicitar la revisión en Search Console, Google indica que el proceso puede tomar desde varios días hasta algunas semanas. Recibirás un correo cuando termine. Para no alargarlo, pide la revisión solo cuando todo el sitio esté limpio, explica qué pasó y qué corregiste, y no envíes nuevas solicitudes mientras haya una pendiente.
¿Un hackeo hace que pierda mis posiciones en Google para siempre?
Normalmente no. Si limpias la web, eliminas las páginas falsas que el atacante creó y Google retira la advertencia, las posiciones suelen recuperarse en las semanas siguientes. El daño es mayor cuando la web estuvo infectada mucho tiempo sin que nadie lo notara, porque Google indexó contenido basura y los usuarios aprendieron a desconfiar del sitio. Detectarlo rápido es lo que más protege tu posicionamiento.
Este contenido es informativo y no reemplaza la asesoría legal o tributaria.
