Si tu sitio fue hackeado en hosting compartido, lo primero que debes hacer es aislar el daño y cambiar todas las contraseñas de inmediato. Después, sigue una secuencia ordenada de limpieza y endurecimiento para que no vuelva a ocurrir.
En este artículo encontrarás exactamente qué pasos ejecutar, en qué orden y cómo evitar los errores más comunes que hacen que el sitio quede reinfectado a los pocos días.
Por qué los sitios se hackean en hosting compartido
El hosting compartido coloca varios clientes en el mismo servidor. Si los permisos de carpeta no están correctamente aislados, una cuenta comprometida puede filtrar malware a las vecinas. Los vectores más habituales son:
- Plugins o temas desactualizados en WordPress, Joomla o Drupal.
- Contraseñas débiles en cPanel, FTP o el panel de administración del CMS.
- Formularios de carga sin validación que permiten subir archivos PHP maliciosos.
- Scripts abandonados instalados y nunca borrados (páginas de prueba, instaladores).
Saber el vector te ayuda a cerrar la puerta correcta después de limpiar.
Paso 1 — Contén el daño de inmediato
Antes de tocar cualquier archivo, reduce la superficie de ataque activa:
- Cambia tu contraseña de cPanel desde el panel de tu proveedor (no desde el sitio comprometido).
- Cambia la contraseña FTP de todas las subcuentas FTP ligadas a esa hospedaje.
- Cambia las contraseñas de bases de datos y actualiza el archivo de configuración del CMS (
wp-config.php,configuration.php, etc.). - Revoca sesiones activas: en WordPress ve a Usuarios → Tu perfil y usa "Cerrar sesión en todos los demás dispositivos".
- Si el sitio muestra páginas de pharma, phishing o descarga malware a visitantes, ponlo en modo mantenimiento mientras limpias.
Paso 2 — Identifica los archivos infectados
Desde el Administrador de Archivos de cPanel o por SSH (si tu plan lo incluye), busca los indicadores clásicos:
- Archivos
.phpen carpetas que solo deberían tener imágenes (/uploads/). - Archivos con nombres aleatorios tipo
xzr4b.phpotmp.php. - Código ofuscado con
base64_decode,evalogzinflateal inicio de archivos legítimos. - Modificaciones recientes en archivos core: ordena por fecha de modificación y revisa todo lo que cambió en los últimos días.
Muchos proveedores ofrecen un escáner de malware integrado (Imunify360, SiteLock). Úsalo si está disponible; te dará una lista completa sin tener que revisar archivo por archivo.
Paso 3 — Restaura desde un respaldo limpio
La forma más segura de limpiar es restaurar desde un backup anterior a la infección. En cPanel, busca Copias de seguridad o Jetbackup:
- Identifica el respaldo más reciente anterior a la fecha del hackeo (revisa los logs de acceso para detectar cuándo ocurrió).
- Restaura los archivos del sitio y, si la base de datos también fue alterada, restáurala también.
- Después de restaurar, no te detengas aquí: aplica todas las actualizaciones pendientes antes de volver a poner el sitio en línea.
Si no tienes respaldo, tendrás que limpiar manualmente. Reinstala el core del CMS desde cero, borra y reinstala los plugins desde repositorios oficiales y revisa cada archivo de tema línea por línea.
Paso 4 — Endurece la configuración para que no regrese
Limpiar sin endurecer casi garantiza una reinfección. Las medidas mínimas en hosting compartido son:
- Actualiza todo: CMS, plugins, temas. Si no puedes actualizar un plugin, desinstálalo.
- Permisos de carpeta: directorios a
755, archivos a644. Nunca777. - Protege wp-config.php / configuration.php con una regla en
.htaccessque deniegue acceso directo. - Activa autenticación de dos factores en el panel de administración del CMS.
- Instala un plugin de seguridad (Wordfence, Sucuri, iThemes Security) con escaneo automático y bloqueo de IPs.
- Limita intentos de login a 3-5 intentos antes de bloqueo temporal.
Si tu proveedor no te ofrece aislamiento de cuentas ni escáneres de malware, es momento de evaluar un proveedor de hosting más robusto.
Conclusiones clave
- Actúa rápido: cambia contraseñas antes de tocar cualquier archivo.
- Restaurar desde un backup limpio es más seguro que limpiar manualmente.
- Limpiar sin endurecer casi siempre resulta en reinfección.
- Los vectores más comunes son plugins desactualizados y contraseñas débiles.
- Un buen proveedor de hosting ofrece escáneres de malware, aislamiento de cuentas y backups diarios.
Si después de seguir estos pasos tu sitio sigue dando problemas, o quieres una revisión profesional de seguridad, el equipo de elenlace.com puede auditarlo y dejarlo blindado antes de que sufras otro ataque.
Preguntas frecuentes
¿Cuánto tiempo tarda en limpiar un sitio hackeado?
Con un respaldo limpio disponible, el proceso toma entre 1 y 3 horas. Sin respaldo y con infección profunda, puede llevar un día completo de trabajo manual.
¿Mi hosting es responsable de que me hackearon?
Depende. Si la vulnerabilidad era un plugin tuyo desactualizado, la responsabilidad es tuya. Si el hosting no aisló correctamente las cuentas y una cuenta vecina infectó la tuya, el proveedor tiene co-responsabilidad. En ambos casos, tú debes resolver el problema.
¿Debo avisar a Google si mi sitio fue hackeado?
Sí. Si Google detecta el malware antes que tú, marcará tu sitio con una advertencia roja. Después de limpiar, entra a Google Search Console → Seguridad y Acciones manuales y solicita una revisión para que eliminen la advertencia.
¿Vale la pena contratar un servicio de limpieza profesional?
Si no tienes experiencia técnica, sí. Servicios como Sucuri o una agencia especializada pueden hacer la limpieza en pocas horas y garantizar el resultado. El costo suele ser menor que el daño reputacional de dejar el sitio infectado un día más.
¿Prefieres que lo hagamos por ti? En El Enlace resolvemos hosting y desarrollo web profesional.
Para saber más
Otros proveedores y guías que vale la pena comparar:
