Malware en WordPress: señales para detectarlo a tiempo

Casi nadie descubre el malware de su sitio el día que entra. Lo descubre semanas después, cuando un cliente le manda una captura rara o Google le avisa que su página es peligrosa. Para entonces el daño ya se notó en ventas y en confianza.

La buena noticia es que el malware deja huellas. Muchas se pueden ver desde el celular, sin abrir código y sin saber de servidores. Esta nota es para eso: reconocer las señales temprano.

Por qué tú no lo ves y tus clientes sí

El malware moderno está hecho para esconderse del dueño. Muchas infecciones solo se activan si el visitante llega desde Google, si entra desde un celular o si no ha iniciado sesión en WordPress. Tú entras directo, desde la compu de la oficina y con tu usuario abierto. Ves el sitio normal.

Por eso la primera regla es revisar tu sitio como lo haría un cliente: desde el celular, con los datos móviles, en una ventana de incógnito y entrando desde una búsqueda en Google.

Señales en Google

Resultados que tú no escribiste

Escribe en Google site:tudominio.com.mx (con tu dominio real). Te muestra las páginas que Google tiene registradas de tu sitio. Si aparecen títulos en japonés, ofertas de medicamentos, casinos o réplicas de relojes, alguien está usando tu sitio para publicar spam.

Es de las infecciones más comunes y de las más silenciosas. Tu página de inicio se ve bien, pero hay cientos de páginas ocultas que Google sí encuentra.

Avisos de Search Console o del navegador

Si tienes Google Search Console configurado, revisa la sección de problemas de seguridad. Google avisa ahí cuando detecta contenido dañino. Y si un cliente te dice que Chrome le mostró una pantalla roja de "sitio engañoso" o "sitio peligroso", tómalo en serio aunque a ti no te salga.

Señales al navegar el sitio

• Redirecciones. Das clic en tu sitio desde Google y terminas en otra página: un concurso, una tienda desconocida, una descarga.
• Ventanas emergentes o anuncios que tú nunca pusiste.
• Textos o enlaces nuevos al pie de la página, a veces en letra muy pequeña o del mismo color que el fondo.
• Avisos de "verifica que no eres un robot" que te piden copiar y pegar algo o descargar un archivo. Tu sitio no debería pedir eso nunca.

Señales dentro de WordPress

Entra al panel de WordPress y revisa estas tres cosas. Te toma diez minutos.

1. Usuarios. Ve a Usuarios y filtra por Administrador. Si hay alguno que nadie en tu equipo reconoce, es mala señal. Los atacantes suelen crear cuentas con nombres que parecen técnicos, como "wpadmin" o "support".
2. Plugins. Busca plugins que no instalaste o con nombres genéricos sin autor claro. También fíjate si uno que tenías desactivado aparece activo.
3. Cambios que nadie hizo. Una página editada en una fecha en que nadie trabajó en el sitio, un tema cambiado, ajustes de correo modificados.

Si no sabes quién tiene acceso al panel, ese es el primer problema a resolver. Te sirve la nota sobre quién debe tener cada contraseña de tu sitio.

Señales que vienen del hosting y del correo

Algunas pistas no aparecen en el sitio sino alrededor de él:

• Tu proveedor de hosting te avisa que la cuenta está usando demasiados recursos, sin que hayas tenido más visitas.
• Te llegan rebotes de correos que tú no enviaste, o tus correos normales empiezan a caer en spam de un día para otro. Un sitio infectado puede estar mandando spam desde tu propio servidor.
• El sitio se puso lento de repente y no cambiaste nada.

Ninguna de estas confirma malware por sí sola. Pero si coinciden dos o más, vale la pena revisar a fondo.

El caso que más duele: tiendas en línea

Si vendes con WooCommerce, hay un tipo de malware que copia los datos de tarjeta en la página de pago. El sitio funciona, las ventas entran, y nadie nota nada. La señal suele llegar por fuera: clientes que te escriben porque les aparecieron cargos que no hicieron después de comprarte.

Una zapatería en León que vende por su sitio no tiene forma de ver eso a simple vista. Por eso, si un solo cliente te reporta un cargo raro después de comprar, no lo descartes como coincidencia. Pide que revisen los archivos de la página de pago.

Una revisión mensual de 15 minutos

No necesitas ser técnico para hacer esto una vez al mes. Pon un recordatorio en el calendario:

1. Busca site:tudominio.com.mx en Google y revisa las primeras páginas de resultados.
2. Abre tu sitio desde el celular, con datos móviles y en incógnito, entrando desde una búsqueda.
3. Revisa la lista de administradores en WordPress.
4. Revisa la lista de plugins y que todos estén actualizados.
5. Confirma que tu respaldo más reciente existe y tiene fecha de esta semana.

El último punto importa más de lo que parece. Si encuentras malware, un respaldo limpio de antes de la infección te puede ahorrar días. En cada cuánto respaldar y cómo probar tus respaldos explicamos cómo comprobar que de verdad sirven.

Qué reduce el riesgo

La mayoría de las infecciones en WordPress entran por plugins o temas desactualizados, o por contraseñas débiles. Mantener pocos plugins, todos de autores conocidos, ayuda mucho. Si tu sitio tiene una lista larga que nadie revisa, lee cuántos plugins de WordPress son demasiados.

También ayuda activar la verificación en dos pasos para todos los administradores y borrar las cuentas de personas que ya no trabajan contigo, incluida la agencia que hizo el sitio hace tres años.

Si ya encontraste algo

No borres archivos al azar ni restaures un respaldo sin saber de qué fecha es limpio. Cambia las contraseñas, avisa a tu proveedor de hosting y sigue un orden. Lo explicamos paso a paso en qué hacer en las primeras horas si hackearon tu WordPress.

Si quieres apoyo para tener el sitio vigilado y con el candado en regla, en koode.mx puedes revisar las opciones de certificados SSL y seguridad para tu sitio y preguntar en español qué conviene a tu caso.