Web WordPress infectada con malware: cómo actuar y por qué la limpieza sin diagnóstico deja el problema abierto

Una página WordPress comprometida por malware es una de las incidencias más comunes entre pymes y autónomos. El daño no se limita a la pérdida de reputación; también afecta al posicionamiento SEO, a la confianza de los clientes y, en casos graves, puede generar sanciones legales por la filtración de datos.

En muchos casos, la reacción inmediata es “limpiar la web y seguir adelante”. Sin embargo, esa solución puntual suele dejar la puerta abierta a nuevas infecciones. En este artículo explicamos, con ejemplos reales, qué hacer cuando una web WordPress se infecta, y por qué es imprescindible revisar la causa antes de limpiar.

Un problema operativo que conocen muchas empresas

Ejemplo: Una tienda online de productos artesanales gestiona su catálogo en WordPress y depende del correo profesional para recibir pedidos. Un día, los clientes empiezan a recibir mensajes con enlaces a sitios de phishing. El propietario revisa el panel de WordPress, ve archivos modificados y elimina los archivos sospechosos. La web vuelve a funcionar, pero al cabo de una semana vuelve a aparecer el mismo comportamiento.

Este escenario ilustra tres puntos críticos:

Problema	Causa probable	Revisión necesaria	Solución definitiva
Mensajes de phishing enviados desde la web	Plugin desactualizado con vulnerabilidad conocida	Analizar plugins y temas instalados	Actualizar o reemplazar plugin, aplicar parches
Redirecciones a sitios externos	Archivo .htaccess modificado	Revisar reglas de reescritura	Restaurar .htaccess limpio y reforzar permisos
Inserción de código malicioso en la base de datos	Inyección SQL mediante formulario vulnerable	Auditar tablas de la base de datos	Limpiar entradas contaminadas y aplicar firewall de aplicaciones web

¿Por qué la limpieza sin diagnóstico suele fallar?

1. El malware vuelve a instalarse
   La mayoría de los ataques aprovechan vulnerabilidades que siguen sin corregirse (plugins, temas o versiones de WordPress). Si solo se borran los archivos infectados, el atacante sigue teniendo acceso y vuelve a cargar el código malicioso.

2. Persistencia en la base de datos
   Algunas puertas traseras se ocultan en tablas de la base de datos (por ejemplo, en la tabla wp_options). Limpiar únicamente los archivos deja esas “cargas útiles” intactas.

3. Credenciales comprometidas
   Si el atacante ha robado usuarios o contraseñas, podrá volver a entrar aunque la web esté limpia. Sin una revisión de accesos, el riesgo persiste.

4. Redes de bots y scripts automatizados
   Los bots que escanean la web en busca de vulnerabilidades pueden volver a explotar la misma brecha en cuestión de minutos.

Por todo ello, la limpieza sin diagnóstico solo trata los síntomas, no la enfermedad.

Diagnóstico paso a paso

1. Aislar la web

• Desactivar temporalmente el sitio mediante una página de mantenimiento.
• Cambiar las credenciales de acceso (FTP, cPanel, base de datos, panel de WordPress) a contraseñas robustas.

2. Identificar la fuente de la infección

Fuente	Señales típicas	Herramientas recomendadas
Plugin vulnerado	Archivos modificados en wp-content/plugins/	Escáner de vulnerabilidades, revisión de cambios de archivo
Tema comprometido	Código sospechoso en functions.php o header.php	Comparar con la versión original del tema
Acceso FTP no autorizado	Logs de conexión desconocidos	Analizar logs de FTP/SFTP
Inyección en base de datos	Opciones desconocidas en wp_options, usuarios extraños	phpMyAdmin o herramientas de auditoría DB

3. Revisar los logs del servidor

Los archivos access.log y error.log revelan patrones de peticiones sospechosas (por ejemplo, intentos de ejecución de wp-admin/admin-ajax.php con parámetros inusuales).

4. Escanear con herramientas especializadas

• Plugins de seguridad como Wordfence o Sucuri (versión gratuita) pueden detectar archivos modificados y código oculto.
• Servicios externos de análisis de malware (por ejemplo, VirusTotal) permiten subir archivos sospechosos para una segunda opinión.

Para profundizar en la detección de plugins con riesgos, consulta nuestro artículo sobre abusar de plugins WordPress y los peligros que conlleva.

Proceso de limpieza sostenible

Una vez identificada la causa, el proceso de limpieza se divide en tres fases:

Fase 1 – Eliminación completa

1. Restaurar archivos originales desde una copia de seguridad limpia o descargar la versión oficial del plugin/tema.
2. Eliminar archivos desconocidos que no pertenezcan al núcleo de WordPress.
3. Limpiar la base de datos: buscar y borrar entradas sospechosas (SELECT * FROM wp_options WHERE option_name LIKE '%malware%';).

Fase 2 – Refuerzo de la seguridad

• Actualizar WordPress, plugins y temas a sus versiones más recientes.
• Aplicar parches de seguridad: algunos plugins ofrecen versiones “security patch” antes de una actualización mayor.
• Configurar un firewall de aplicaciones web (WAF) para bloquear patrones de ataque comunes.
• Limitar permisos de archivos (por ejemplo, 644 para archivos y 755 para carpetas).

Fase 3 – Monitorización y prevención

• Programar auditorías periódicas (mensuales o bimensuales) que incluyan revisión de logs y escaneo de malware.
• Implementar copias de seguridad automáticas y almacenar al menos dos versiones en ubicaciones distintas.
• Utilizar una bolsa de horas de soporte para disponer de asistencia rápida ante cualquier alerta.

Si necesitas conocer el coste medio de una limpieza profesional, visita nuestro artículo sobre cuánto cuesta limpiar un WordPress hackeado.

Automatización sin depender de IA

La automatización puede acelerar la detección y corrección de vulnerabilidades sin requerir intervención humana constante. Algunas prácticas recomendables:

• Scripts de backup y verificación de integridad que, al final de cada día, comparen hashes de archivos críticos con una lista blanca.
• Cron jobs que ejecuten escaneos de seguridad (por ejemplo, wp-cli security scan) y envíen un informe por correo al responsable.
• Alertas de cambios en archivos mediante herramientas como inotifywait en servidores Linux, que notifican al administrador cuando se modifica cualquier archivo bajo wp-content.

Estas soluciones son simples, no requieren IA ni plataformas externas, y se integran fácilmente en cualquier plan de hosting.

Buenas prácticas de mantenimiento preventivo

Acción	Frecuencia	Beneficio
Actualizar núcleo, plugins y temas	Semanal (cuando haya avisos)	Cierra vulnerabilidades conocidas
Revisar permisos de archivos y carpetas	Mensual	Reduce superficie de ataque
Realizar copias de seguridad completas	Diario (incrementales)	Garantiza recuperación rápida
Ejecutar escáner de malware	Quincenal	Detecta infecciones tempranas
Revisar logs de acceso y error	Semanal	Identifica patrones sospechosos

Mantener una bolsa de horas de soporte permite actuar con rapidez cuando se detecta una anomalía, evitando que un pequeño incidente se convierta en una crisis de reputación.

¿Cuándo es necesario acudir a un especialista?

• Infección recurrente después de varias limpiezas.
• Pérdida de datos o alteración de la base de datos que afecta al negocio.
• Necesidad de migrar a un hosting más seguro o configurar DNS profesional para correos.
• Falta de tiempo interno para seguir el proceso de auditoría y monitorización.

En esos casos, nuestro equipo de Mantenimiento Web ofrece:

• Revisión completa de seguridad (incluye diagnóstico de la causa).
• Limpieza profunda de archivos y base de datos.
• Configuración de copias de seguridad y monitorización 24/7.
• Plan de mantenimiento preventivo adaptado a la pyme o al autónomo.

Para una guía paso a paso sobre cómo limpiar un WordPress hackeado, consulta nuestro artículo cómo limpiar WordPress hackeado paso a paso.

Si la urgencia es máxima, revisa nuestro post sobre limpieza urgente de malware en WordPress.

Llamada a la acción

¿Tu web WordPress muestra signos de infección? No esperes a que el problema vuelva a aparecer.

• Solicita una revisión de mantenimiento gratuita desde nuestro sitio.
• Revisa tu plan de mantenimiento y asegura la continuidad operativa de tu negocio.
• Pide presupuesto para una limpieza completa y la puesta en marcha de copias de seguridad automáticas.

Haz clic en “Solicitar soporte” y deja que los expertos de Mantenimiento Web protejan tu presencia online.

Conclusión

Limpiar una web WordPress infectada sin identificar la causa es como tapar una grieta sin reparar la tubería: el agua volverá a filtrarse. Un enfoque estructurado que combine diagnóstico, eliminación, refuerzo y monitorización garantiza que el malware desaparezca para siempre y que la web mantenga su disponibilidad, velocidad y seguridad.

Invertir en mantenimiento preventivo y en una bolsa de horas de soporte es la mejor estrategia para que pymes y autónomos puedan centrarse en su negocio, sin preocuparse por interrupciones inesperadas.

¡Actúa ahora y protege tu sitio antes de que el siguiente ataque te sorprenda!