Web WordPress infectada con malware: cómo limpiar y cerrar la causa raíz

La infección de malware en WordPress: un problema operativo que paraliza a muchas pymes

Una pequeña empresa que depende de su sitio web para generar contactos, vender productos o ofrecer información puede verse totalmente bloqueada cuando su WordPress se infecta con malware. El síntoma más visible suele ser una alerta de Google Safe Browsing, una página en blanco o la aparición de scripts sospechosos que ralentizan la carga. En el día a día, el propietario percibe:

Pérdida de visitas porque los navegadores advierten “Sitio peligroso”.
Caída de conversiones al impedir que los clientes completen formularios o compras.
Daño reputacional cuando los usuarios comparten la alerta en redes sociales.
Costes inesperados en tiempo y recursos para intentar “arreglar” la web por su cuenta.

Ejemplo realista

María, autónoma de diseño gráfico, tiene una web WordPress donde muestra su portafolio y recibe consultas a través de un formulario. Un lunes recibe un correo de Google avisando que su sitio está marcado como “infectado”. Al intentar acceder, el navegador muestra una página en blanco con código JavaScript oculto. María elimina los archivos sospechosos siguiendo un tutorial gratuito, pero la alerta persiste y, peor aún, el sitio vuelve a infectarse al día siguiente.

Este caso ilustra el error más común: limpiar sin investigar la causa.

Por qué la limpieza sin diagnóstico deja el problema abierto

Causas más frecuentes

Problema	Causa probable	Revisión necesaria	Solución definitiva
Malware visible en archivos	Plugins o temas desactualizados o de origen dudoso	Revisar versiones y procedencia de cada extensión	Actualizar o sustituir con alternativas seguras
Infección recurrente	Credenciales FTP/SSH comprometidas	Analizar logs de acceso y cambiar contraseñas	Implementar autenticación fuerte y monitorizar accesos
Redirecciones a sitios externos	Inyección de código en la base de datos (tabla wp_options)	Escanear la base de datos y buscar cadenas sospechosas	Limpiar la base y aplicar reglas de firewall
Pérdida de SEO y tráfico	Penalización por contenido malicioso	Verificar la consola de Search Console de Google	Solicitar revisión a Google tras la limpieza completa

1. Plugins y temas desactualizados

Los complementos que no reciben actualizaciones pierden parches de seguridad. Un plugin de formularios que lleva años sin actualizarse es una puerta de entrada fácil para los atacantes.

2. Credenciales comprometidas

Muchos propietarios reutilizan contraseñas o las almacenan sin cifrar. Si un atacante accede al servidor vía FTP, puede volver a subir el malware después de cada limpieza.

3. Inyección en la base de datos

El malware no siempre se aloja en archivos; a menudo se inserta código PHP dentro de la tabla wp_options o wp_posts. Al limpiar solo los archivos, el código sigue activo y se vuelve a ejecutar.

4. Configuración de servidor insegura

Permisos demasiado laxos (por ejemplo, 777 en carpetas) permiten que scripts subidos por terceros se ejecuten sin control.

Un enfoque sostenible: diagnóstico, limpieza y prevención

Paso 1: Análisis exhaustivo

Escaneo de archivos y base de datos
Utiliza una herramienta de escaneo especializada (por ejemplo, Sucuri SiteCheck o Wordfence) que identifique tanto archivos modificados como código inyectado en la base de datos.
Revisión de logs
Analiza los logs de acceso del servidor web y los logs de FTP para detectar intentos de acceso sospechosos o patrones de subida masiva de archivos.
Comprobación de versiones
Lista todos los plugins y temas instalados, verifica su fecha de última actualización y compáralos con los repositorios oficiales.

Paso 2: Limpieza controlada

Acción	Detalle de la tarea
Copia de seguridad completa	Antes de tocar nada, genera una copia de la web y la BD.
Reemplazo de archivos core	Descarga la última versión de WordPress y sobrescribe `/wp-admin` y `/wp-includes`.
Desactivación de plugins sospechosos	Renombra la carpeta `plugins` y vuelve a activarlos uno a uno.
Limpieza de la base de datos	Busca y elimina código PHP dentro de `wp_options`, `wp_posts` y `wp_usermeta`.
Restablecimiento de contraseñas	Cambia todas las credenciales de acceso al servidor y a la base de datos.

Paso 3: Fortalecimiento y monitorización

Actualizaciones automáticas controladas
Configura WordPress para que actualice automáticamente los parches críticos, pero mantén la revisión manual de los plugins.
Política de contraseñas robustas
Usa gestores de contraseñas y habilita la autenticación de dos factores (2FA) en el panel de administración.
Firewall a nivel de aplicación
Implementa un WAF (Web Application Firewall) que bloquee peticiones maliciosas antes de que lleguen al servidor.
Monitorización continua
Programa escaneos diarios y alertas por correo cuando se detecte cualquier archivo modificado. En nuestro blog tienes una guía completa sobre cómo gestionar incidencias de email corporativo en pequeñas empresas, que incluye recomendaciones de monitorización que también aplican a la web.
Revisión de hosting
Si el servidor actual no ofrece medidas de seguridad básicas (sandbox, aislamiento de cuentas), considera migrar a un hosting especializado. Lee nuestra guía sobre cambiar de hosting o arreglar la web para decidir el mejor camino.

Automatización inteligente: el papel de la IA y los scripts

Aunque la intervención humana sigue siendo esencial, la automatización permite reducir el tiempo de detección y minimizar errores. Algunas acciones que pueden ser automatizadas de forma segura:

Escaneos programados: scripts que ejecuten Wordfence o ClamAV cada 24 h y envíen un informe a tu correo.
Comparación de hashes: herramientas que comparen el hash de los archivos core con la versión oficial y alerten de cualquier desviación.
Revisión de logs mediante IA: algoritmos de aprendizaje automático pueden identificar patrones de acceso anómalos (p.ej., intentos de login desde IPs desconocidas) y generar alertas tempranas.

Estas soluciones no sustituyen el diagnóstico humano, pero aceleran la identificación de la causa raíz, evitando que la limpieza sea un proceso repetitivo y costoso.

Caso práctico: recuperación completa en 5 pasos

Backup inmediato – Se crea una copia de seguridad completa en un almacenamiento externo.
Escaneo integral – Se ejecuta Wordfence y se revisan los logs de Apache/Nginx.
Desinfección de la base de datos – Se elimina cualquier cadena eval(base64_decode(...)) encontrada.
Actualización y endurecimiento – Se actualizan todos los componentes y se refuerzan permisos de archivo (755 para carpetas, 644 para archivos).
Monitorización post‑recuperación – Se habilita un WAF y se programa un escaneo diario durante 30 días.

Al final del proceso, la web vuelve a estar libre de malware y, gracias a las medidas preventivas, el riesgo de reinfección se reduce drásticamente.

Preguntas frecuentes

¿Puedo limpiar la web yo mismo?
Sí, si tienes conocimientos técnicos y sigues una metodología estructurada. Sin embargo, la mayoría de los propietarios de pymes prefieren delegar el proceso a un especialista para evitar errores que puedan empeorar la situación.

¿Cuánto tiempo lleva la recuperación?
Depende de la gravedad. Un caso sencillo puede resolverse en 4–6 horas; una infección profunda que afecta la base de datos y el servidor puede requerir 1–2 días.

¿Qué pasa con el SEO?
Google retira la advertencia una vez que la web está limpia y se ha solicitado la revisión a través de Search Console. Mantener una monitorización constante acelera este proceso.

Conclusión

Limpiar una web WordPress infectada sin investigar la causa es como tapar una grieta sin reparar la tubería: el problema vuelve a aparecer. Un diagnóstico exhaustivo, una limpieza controlada y la implantación de medidas preventivas son la única forma de garantizar la continuidad operativa de tu negocio online.

Si tu empresa está experimentando alguno de los síntomas descritos, no esperes a que el daño sea mayor. Solicita nuestro soporte especializado, revisa tu plan de mantenimiento o pide un presupuesto sin compromiso. Estamos preparados para:

Realizar auditorías técnicas completas.
Implementar copias de seguridad automáticas y monitorización 24/7.
Migrar tu web y correo a un hosting más seguro sin perder datos (consulta nuestra guía para migrar web y correo sin perder datos).

¡Actúa ahora y protege la presencia digital de tu empresa!