¿Web hackeada? Qué hacer en las primeras 24 horas
¿Su web ha sido hackeada? Calma. Señales, primeras 24 horas paso a paso, limpieza, avisos de buscadores y las medidas de protección posteriores.
Equipo de rabbitclipPublicación: 8 min. de lectura
En breve
Si sospecha que su sitio web ha sido hackeado, mantenga la calma y siga una secuencia: retire el sitio de la vista pública si hace falta, conserve una copia de su estado actual y de los registros sin borrar nada, cambie las contraseñas de su alojamiento, panel de administración, base de datos y correo desde un dispositivo limpio, avise a su empresa de alojamiento y solo entonces restaure desde una copia de seguridad limpia o pida a un experto que lo limpie. Borrarlo todo con prisa elimina las huellas que muestran cómo entró el atacante e invita a que la misma intrusión se repita por el mismo hueco.
Un hackeo no siempre se parece a una página de inicio desfigurada. A menudo es silencioso: se añaden enlaces ocultos, se redirige a los visitantes a otra dirección o se usa el servidor para enviar spam. Conocer las señales es la mitad del primer paso.
A continuación encontrará las señales, qué hacer en las primeras 24 horas y en qué orden, cómo avanza la limpieza, cómo tratar un aviso de un buscador y qué medidas de protección necesita después.
¿Cómo sé que mi sitio web ha sido hackeado?
La señal evidente es una página modificada o un mensaje de rescate. Sin embargo, son más comunes las señales silenciosas. Si su título aparece en los resultados de búsqueda con contenido ajeno que usted no escribió, si los visitantes que entran desde el móvil son enviados a otro sitio o si el navegador dice que el sitio puede ser dañino, la situación es grave.
Hay otras señales: un usuario desconocido en el panel de administración, un complemento que nunca instaló, un aviso de recursos o de spam de su empresa de alojamiento, clientes que le dicen que recibieron correos que usted no envió. Una señal no es una prueba, pero si aparecen varias a la vez, dé por hecho lo peor y actúe con cuidado.
- Títulos o descripciones en los resultados de búsqueda que usted no escribió
- Visitantes redirigidos a otro sitio
- Un aviso de sitio dañino del navegador o del buscador
- Un usuario o un complemento desconocidos en el panel de administración
- El servidor se ralentiza inesperadamente, o un aviso de su empresa de alojamiento
¿Qué se hace en las primeras 24 horas y en qué orden?
El objetivo es primero detener el daño, luego proteger las pruebas y después recuperar el control. Poner el sitio tras una página de mantenimiento evita que los visitantes queden expuestos a código malicioso. Después, sin cambiar nada, copie el estado actual de los archivos y de la base de datos a un lugar aparte y conserve también los registros de acceso del servidor. Averiguar cómo entró el atacante depende de esos registros.
A continuación, cambie las contraseñas, pero desde un dispositivo limpio. El ataque pudo empezar desde su propio ordenador, así que analícelo también. Elija valores imposibles de adivinar, uno distinto para cada cuenta; el generador de contraseñas de nuestro sitio puede ayudarle. Por último, escriba a su empresa de alojamiento; puede comprobar si otras cuentas del servidor se vieron afectadas.
- Poner el sitio tras una página de mantenimiento temporal
- Conservar tal cual una copia de los archivos, la base de datos y los registros de acceso
- Cambiar las contraseñas del alojamiento, del panel de administración, de la base de datos, del FTP y del correo desde un dispositivo limpio
- Anotar los usuarios administradores y los complementos desconocidos, y desactivarlos
- Avisar a su empresa de alojamiento
- Analizar su propio ordenador en busca de malware
¿Basta con restaurar una copia de seguridad y cómo se hace la limpieza?
Una copia de seguridad ayuda solo si es anterior al hackeo. Si el código malicioso se instaló hace meses, la propia copia está infectada, así que antes de restaurar debe saber cuál está limpia. Restaurar tampoco basta por sí solo: si el hueco que usó el atacante sigue abierto, volverá por el mismo camino.
Una limpieza correcta sigue este orden: el contenido se traslada a una copia limpia o a una instalación nueva del software, se actualizan el software, el tema y los complementos, se eliminan los que no se usan, se revisan las cuentas de administrador y solo entonces se reabre el sitio. Si en algún momento tiene dudas, es más seguro inspeccionar primero una copia en otro lugar y después ponerla en línea.
¿Cómo se retira un aviso de un buscador o de un navegador?
Una vez limpio el sitio, el aviso puede no desaparecer por sí solo. Las herramientas para webmasters de los buscadores le informan cuando se ha detectado un problema de seguridad y, una vez resuelto, debe solicitar una nueva revisión. La solicitud se hace con una breve explicación de cuál fue el problema y cómo lo solucionó. Los plazos de revisión varían, por lo que no se puede prometer ningún plazo.
Mientras tanto, limpie las páginas ajenas que queden en los resultados de búsqueda: las direcciones que usted no creó deberían desaparecer y el mapa del sitio debería estar limpio. Una vez eliminadas las páginas maliciosas, tarda un tiempo en que dejen de aparecer en la búsqueda.
¿Qué errores se cometen con más frecuencia por pánico?
El primero es borrarlo todo sin hacer una copia, con lo que se pierde el rastro del atacante. El segundo es arreglar solo la página de inicio y dejar la puerta trasera, de modo que el atacante vuelve una semana después. El tercero es cambiar las contraseñas desde el mismo ordenador, que puede estar comprometido.
El cuarto es ocultar el incidente. Si los datos de clientes pueden haberse visto afectados, puede surgir una obligación de notificar; es una cuestión legal y debería consultar a un abogado. En un sitio que guarda datos personales, téngalo en cuenta desde el primer día.
- Borrar antes de copiar
- Arreglar el síntoma visible sin cerrar el hueco
- Cambiar las contraseñas desde un dispositivo posiblemente comprometido
- No valorar con un abogado la posibilidad de que se hayan expuesto datos de clientes
¿Cuándo es mala idea limpiarlo uno mismo?
En un sitio pequeño con una sola instalación y una copia de seguridad limpia, la tarea suele ser abordable. Pero en un sitio con datos de clientes, un flujo de pago o un sistema de socios, o si no logra encontrar dónde está el código malicioso, encargarse solo es una opción arriesgada. Una limpieza deficiente deja restos y el mismo incidente se repite.
En esos casos, acuda al soporte de seguridad de su empresa de alojamiento o al equipo que construyó el sitio. Encontrar la vía que usó el atacante es parte del trabajo tanto como la limpieza. Cualquier reparación hecha antes de encontrarla es solo temporal.
¿Qué medidas de protección evitan que vuelva a ocurrir?
Las medidas de protección son aburridas pero eficaces. Mantenga actualizados el software, los temas y los complementos y elimine los que no use. Use contraseñas robustas y únicas y verificación en dos pasos en las cuentas de administrador, y dé a cada persona solo el acceso que necesita. Guarde las copias de seguridad fuera del servidor, en un lugar aparte, y hágalas con regularidad.
También ayuda revisar el sitio de vez en cuando desde fuera con análisis. Las cabeceras de seguridad y una capa de cortafuegos reducen la superficie de ataque. Ninguna garantiza riesgo cero; el objetivo es dificultar un ataque y recuperarse rápido cuando ocurre.
- Actualizaciones periódicas y eliminación de los complementos sin uso
- Contraseñas robustas y únicas y verificación en dos pasos
- Mínimo privilegio: cada persona recibe solo el acceso que necesita
- Copias de seguridad periódicas y probadas, guardadas fuera del servidor
- Un cortafuegos y cabeceras de seguridad
La regla para las primeras 24 horas tras un hackeo es sencilla: detener, conservar, cambiar las contraseñas, avisar, volver desde una copia limpia y cerrar el hueco. Una limpieza precipitada deja el hueco abierto. El siguiente paso es establecer actualizaciones periódicas y una rutina de copias de seguridad fuera del servidor. Si desea que revisemos juntos la seguridad de su sitio, nos alegrará hablar con usted en una llamada de descubrimiento con rabbitclip.
Preguntas frecuentes
¿Debo desconectar mi sitio de inmediato si ha sido hackeado?
Si los visitantes están expuestos a código malicioso o a redirecciones, una página de mantenimiento temporal es razonable. Pero no borre archivos antes de haber hecho una copia.
¿Limpiará mi empresa de alojamiento el sitio por mí?
Depende de la empresa y de su plan. Algunas ofrecen soporte o un servicio de pago; otras solo revisan la parte del servidor. Pregunte por escrito qué harán y qué no.
He limpiado el sitio, pero el aviso sigue en los resultados de búsqueda. ¿Qué hago?
Indique en las herramientas para sitios del buscador que el problema de seguridad está resuelto y solicite una nueva revisión. No se puede prometer un plazo exacto de retirada.
¿Y si se robaron datos de clientes?
Puede existir una obligación de notificar en materia de datos personales; es una cuestión legal, así que consulte a un abogado de inmediato. También es razonable aconsejar a los usuarios afectados que cambien sus contraseñas.
Si tengo una copia de seguridad, ¿queda resuelto el hackeo?
No. Una copia de seguridad solo devuelve el contenido. Si el hueco que usó el atacante sigue abierto, el sitio puede ser tomado de nuevo, por lo que también hacen falta actualizaciones y cambios de contraseña.
