Un sitio de WordPress comprometido rara vez lo anuncia. El atacante quiere permanecer invisible el mayor tiempo posible, porque cada d\u00eda extra de acceso es m\u00e1s oportunidad para enviar spam, abusar de tu alojamiento o construir posicionamiento en buscadores sobre tu dominio. Cuanto antes detectes una intrusi\u00f3n, menos da\u00f1o causa. Aqu\u00ed tienes doce se\u00f1ales de alerta pr\u00e1cticas que conviene revisar en cualquier sitio de WordPress que poseas o gestiones.<\/p>\n\n\n\n
WordPress coloca sus archivos en un conjunto conocido de carpetas. Cualquier cosa fuera de wp-admin, wp-content, wp-includes y los archivos del n\u00facleo est\u00e1ndar en la ra\u00edz debe investigarse. Una auditor\u00eda reciente en el sitio de una agencia de S\u00eddney revel\u00f3 cinco directorios nuevos en la ra\u00edz, cada uno nombrado para imitar p\u00e1ginas reales de WordPress. Los archivos que conten\u00edan eran todo el ataque. Las propias carpetas eran la pista.<\/p>\n\n\n\n
La carpeta uploads es para archivos multimedia. PHP no deber\u00eda ejecutarse ah\u00ed. Si encuentras archivos .php en el \u00e1rbol de uploads, sobre todo con nombres extra\u00f1os o fechas de modificaci\u00f3n recientes, tr\u00e1talos como sospechosos hasta que se demuestre lo contrario. La excepci\u00f3n es un peque\u00f1o conjunto de archivos stub intencionados que a\u00f1aden algunos plugins de refuerzo para bloquear el acceso directo. Cualquier cosa m\u00e1s all\u00e1 de esos merece investigaci\u00f3n.<\/p>\n\n\n\n
Abre Usuarios en tu panel de WordPress. F\u00edjate en cada cuenta con el rol de administrador. Si aparece alguien que no reconoces, con un correo en un dominio que no conoces, o con una fecha de registro que no coincide con ning\u00fan alta que recuerdes, eso es una se\u00f1al de alerta. Los atacantes suelen crear una cuenta de administrador de puerta trasera para poder volver incluso despu\u00e9s de cerrar el punto de entrada original.<\/p>\n\n\n\n
Google Search Console es el sistema de alerta temprana que la mayor\u00eda de los propietarios ignora. Ca\u00eddas repentinas de impresiones o posiciones pueden indicar que se ha aplicado una acci\u00f3n manual. Picos repentinos de impresiones para consultas que no tienen nada que ver con tu negocio pueden significar que Google ahora posiciona contenido encubierto bajo tu dominio. En cualquier caso, investiga a fondo.<\/p>\n\n\n\n
En Search Console, el informe de Cobertura lista todas las URL que Google ha indexado bajo tu dominio. Si ves URL que no creaste, sobre todo en idiomas extranjeros o con rutas inusuales, es un fuerte indicio de que tu dominio aloja contenido encubierto. El caso de S\u00eddney que mencionamos antes se manifest\u00f3 primero en URL indexadas que el propietario nunca hab\u00eda visto.<\/p>\n\n\n\n
Un salto repentino de ancho de banda o almacenamiento en tu factura de alojamiento, sin un cambio correspondiente de tr\u00e1fico o contenido en el sitio, puede indicar que el servidor se est\u00e1 usando para algo distinto de tu sitio. A veces los atacantes usan sitios de WordPress comprometidos para alojar p\u00e1ginas de phishing, malware o contenido spam, y ese ancho de banda aparece en tus estad\u00edsticas de uso.<\/p>\n\n\n\n
Si tienes filtrado de spam instalado pero el spam aparece de todos modos, sobre todo comentarios que se aprueban autom\u00e1ticamente o registros de usuario que saltan tu configuraci\u00f3n, algo ha evitado el flujo normal de WordPress. Puede ser una mala configuraci\u00f3n de un plugin, pero tambi\u00e9n puede ser una intrusi\u00f3n que ha desactivado o eludido tus protecciones.<\/p>\n\n\n\n
Los archivos de wp-admin y wp-includes forman parte del n\u00facleo de WordPress. Los propietarios nunca deber\u00edan editarlos, y las actualizaciones rutinarias deber\u00edan dejarlos en un estado conocido y correcto. Un plugin de seguridad reputado como Wordfence puede comparar tus archivos del n\u00facleo con las versiones oficiales y decirte cu\u00e1les se han modificado. Cualquier modificaci\u00f3n que no puedas explicar es una se\u00f1al de alerta.<\/p>\n\n\n\n
Si tu plugin de seguridad o tu proveedor ofrece un registro de actividad, l\u00e9elo. Inicios de sesi\u00f3n desde pa\u00edses en los que no operas, inicios de sesi\u00f3n a horas que no encajan con los patrones habituales de tu equipo, cambios de configuraci\u00f3n que no hiciste, plugins que se instalan o activan fuera de las ventanas de mantenimiento rutinario. Cada uno de estos merece investigaci\u00f3n.<\/p>\n\n\n\n
Haz clic en tu propio sitio desde un resultado de Google, idealmente desde una sesi\u00f3n de navegador nueva o un dispositivo m\u00f3vil. Si acabas en un dominio distinto, en una p\u00e1gina de destino desconocida, o en una p\u00e1gina que no coincide con el t\u00edtulo en el que hiciste clic, algo est\u00e1 interceptando el tr\u00e1fico de b\u00fasqueda. Los atacantes a menudo escriben reglas de redirecci\u00f3n que solo se activan para visitantes que llegan desde buscadores, por eso la misma URL parece normal cuando la escribes directamente.<\/p>\n\n\n\n
Chrome, Firefox y Safari muestran una p\u00e1gina de advertencia roja si Google Safe Browsing ha marcado tu dominio como distribuidor de malware o phishing. Si alguien informa de haber visto una advertencia as\u00ed en tu sitio, tr\u00e1talo como una intrusi\u00f3n confirmada hasta que se demuestre lo contrario. En la gran mayor\u00eda de los casos, la advertencia no es un falso positivo.<\/p>\n\n\n\n
A veces el detector m\u00e1s fiable es un cliente confundido. Si alguien te contacta para preguntar por qu\u00e9 tu sitio muestra contenido no relacionado, anuncia productos que no vendes o pide credenciales en un formulario desconocido, escucha con atenci\u00f3n. Los clientes ven la cara p\u00fablica de tu sitio en condiciones que quiz\u00e1 no est\u00e9s probando.<\/p>\n\n\n\n
Si aparece cualquiera de estas se\u00f1ales de alerta, no entres en p\u00e1nico ni intentes limpiar antes de comprender el alcance. El primer paso m\u00e1s importante es tomar una instant\u00e1nea del estado actual, incluida una copia de seguridad completa de archivos y base de datos, para que una auditor\u00eda forense pueda ver qu\u00e9 hizo el atacante. Luego cambia todas las credenciales. Despu\u00e9s empieza una limpieza sistem\u00e1tica, idealmente con la ayuda de alguien que ya lo haya hecho antes.<\/p>\n\n\n\n
Limpiar demasiado r\u00e1pido destruye las pruebas que necesitas para encontrar el punto de entrada. Sin encontrar el punto de entrada, el atacante volver\u00e1 en cuesti\u00f3n de d\u00edas.<\/p>\n\n\n\n