¿Sitio web hackeado? Reconocer las señales y reaccionar correctamente

Una sitio web hackeado suele detectarse por nuevos archivos o archivos modificados, cuentas de usuario desconocidas, redirecciones a páginas ajenas o páginas de spam en los resultados de Google. Quien sospeche un ataque debería actuar en este orden: asegurar las evidencias, desconectar el sitio de la red, cambiar los accesos, encontrar y cerrar la causa, y restaurar todo de forma limpia. Si se ven afectados datos personales, por lo general hay que informar a la autoridad de protección de datos en un plazo de 72 horas.

Tras vulnerabilidades críticas como PHP2Shell, los atacantes intentan de forma masiva y automatizada tomar el control de servidores sin parchear. A menudo, en el proceso crean una llamada Webshell a partir de: un pequeño archivo mediante el cual pueden controlar el servidor más adelante, incluso después de una actualización.

Señales de un ataque

• Nuevos archivos PHP o archivos PHP modificados recientemente que nadie ha creado, especialmente en carpetas de subida o de caché.
• Administradores o usuarios desconocidos en el CMS.
• Redirecciones a páginas de publicidad, casino o farmacia, a menudo solo para visitantes de Google o de dispositivos móviles.
• Páginas ajenas en los resultados de Google bajo su dominio (búsqueda «site:ihre-domain.de»).
• Avisos de Google, de su proveedor de hosting o de su navegador.
• Mensajes de error frecuentes o fallos, carga del servidor repentinamente alta.
• En el servidor: shells, herramientas de descarga como curl o wget u otros procesos iniciados por el servidor web.

El BSI menciona para PHP2Shell precisamente estos indicadores generales: procesos sospechosos del servidor web, archivos PHP nuevos o modificados y posibles webshells, así como solicitudes de carga llamativas en los registros, seguidas de errores de memoria o errores repetidos con código 500.

Lo que debe hacer de inmediato

1. Mantener la calma y documentar: ¿Qué se ha observado, cuándo y por quién?
2. Asegurar las evidencias: Guardar los archivos de registro y una copia de los archivos antes de borrar nada. Se necesitarán para investigar la causa.
3. Retirar el sitio web de la red o ponerlo en modo mantenimiento para evitar más daños.
4. Cambiar todos los accesos: administradores del CMS, hosting, FTP/SFTP, base de datos, correo electrónico. Lo ideal es hacerlo desde un dispositivo limpio.
5. Encontrar y cerrar la causa: ¿PHP, plugin o tema desactualizado? Sin eso, el atacante volverá.
6. Restaurar correctamente: desde una copia de seguridad anterior al ataque y luego instalar todas las actualizaciones. Eliminar solo el código malicioso rara vez es suficiente.
7. Observar: En las semanas posteriores, vigilar los registros y los archivos.

Obligación de notificación según el RGPD

Si los atacantes han podido acceder a datos personales —por ejemplo, datos de clientes en la tienda, formularios de contacto o candidaturas—, puede tratarse de una violación de la protección de datos. Según el art. 33 del RGPD debe notificarse sin demora y, en la medida de lo posible, en un plazo de 72 horas a la autoridad de control competente, salvo que probablemente no suponga un riesgo para las personas afectadas. Involucre pronto a su delegado de protección de datos. Este artículo no sustituye el asesoramiento jurídico.

Prevenir es más barato

La mayoría de los ataques a sitios web de pymes aprovechan vulnerabilidades conocidas en software desactualizado. Las actualizaciones periódicas, las copias de seguridad separadas y unos pocos accesos bien protegidos evitan la mayoría de los incidentes. Las medidas más importantes están en Seguridad web para pymes: 10 medidas.

¿No está seguro de si su sitio web, su tienda online o sus dispositivos están afectados? Póngase en contacto con nosotros. Revisamos sus sistemas, instalamos actualizaciones y le decimos con honestidad qué hay que hacer, incluso si resulta que todo está en orden. Para empezar, basta con una breve conversación.

Preguntas frecuentes

¿Cómo reconozco que mi sitio web ha sido hackeado?

Por archivos o usuarios desconocidos, redirecciones a páginas ajenas, páginas de spam en los resultados de Google, avisos de Google o del proveedor de hosting y procesos inusuales en el servidor.

¿Basta con eliminar el código malicioso?

Rara vez. Los atacantes suelen dejar varias puertas traseras. Más seguro es restaurar desde una copia de seguridad limpia, cerrar la causa y cambiar todos los accesos.

¿Tengo que notificar un ataque de hackers?

Si pueden haberse visto afectados datos personales, por lo general sí: ante la autoridad de control de protección de datos competente, sin demora y, en la medida de lo posible, dentro de las 72 horas desde que se tuvo conocimiento (art. 33 del RGPD). En caso de delitos, además puede ser útil presentar una denuncia ante la policía.

Estado: octubre de 2026. Sin asesoramiento jurídico. Fuente de indicadores: Aviso de seguridad del BSI sobre PHP2Shell.