Mi sitio fue hackeado: qué hacer en las primeras horas
Si tu sitio fue hackeado, lo más importante es no improvisar y seguir un orden: primero contener (que el daño no siga), luego cerrar accesos, después limpiar o restaurar, y al final pedir a Google que quite cualquier advertencia. Borrar a ciegas archivos sospechosos sin saber por dónde entraron casi siempre termina en un segundo hackeo a los pocos días.
Cómo saber si de verdad te hackearon
Antes de entrar en pánico, confirma. Señales típicas:
- Tu página redirige a otro sitio (apuestas, farmacia, estafas), a veces solo desde el celular.
- Chrome muestra una pantalla roja de “sitio engañoso” o “contiene malware”.
- Aparecen páginas o usuarios que no creaste.
- Tu hosting te suspendió por spam o malware.
- En una app hecha con IA: registros en tu base de datos que nadie metió, usuarios borrados o datos de clientes publicados.
Para confirmar con herramientas gratuitas, sigue nuestra guía de cómo escanear tu página web por virus.
Qué hacer si tu sitio fue hackeado: pasos en orden
1. Contén el daño
- Pon el sitio en modo mantenimiento o pide a tu hosting que lo aísle temporalmente. Es mejor estar fuera unas horas que seguir infectando visitantes.
- Si tienes una tienda o cobras en línea, pausa los cobros mientras revisas.
- No borres todavía nada. Haz una copia del estado actual (archivos y base de datos). Sirve para entender qué pasó y como evidencia.
2. Cambia todos los accesos
Desde una computadora que sepas que está limpia, cambia contraseñas y activa la verificación en dos pasos en:
- Panel del hosting y FTP/SFTP.
- Administrador del sitio (WordPress, Shopify, etc.).
- Base de datos (Supabase, MySQL).
- Cuenta del dominio (donde lo compraste) y DNS (por ejemplo, Cloudflare).
- Correo asociado a todo lo anterior: si te robaron el correo, pueden recuperar cualquier otra cuenta.
- GitHub, si tu código está ahí.
Si tu app usa llaves de API (Supabase, Stripe, OpenAI), rótalas: genera llaves nuevas y revoca las viejas. Te explicamos cómo en qué hacer si tu API key quedó expuesta.
3. Encuentra por dónde entraron
Las puertas más comunes:
| Tipo de sitio | Entrada más frecuente |
|---|---|
| WordPress | Plugin o tema desactualizado, contraseña de admin débil |
| Hosting compartido | Credenciales de FTP o del panel filtradas |
| App hecha con Lovable/Bolt + Supabase | Tablas sin RLS o llave service_role en el frontend |
| Cualquier sitio | Correo del dueño comprometido |
Para apps con Supabase hechas con IA hay un caso documentado: la vulnerabilidad CVE-2025-48757 (mayo 2025) encontró que 170 de 1,645 apps de la vitrina de Lovable dejaban leer o escribir sus tablas con la llave pública anon. Si tu app es de ese tipo, revisa qué es RLS antes que cualquier otra cosa.
Revisa también los registros (logs) de tu hosting o de Supabase: ahí ves desde qué IP y a qué hora hubo actividad rara.
4. Limpia o restaura
- Si tienes un respaldo de antes del hackeo, restáuralo, pero aplica las correcciones del paso 3 antes de volver a publicar.
- Si no tienes respaldo, reinstala el CMS desde la fuente oficial, reinstala plugins desde cero y revisa la base de datos en busca de usuarios, scripts o enlaces inyectados.
- En apps con código en GitHub, compara el código desplegado contra tu repositorio. Si alguien cambió algo, se nota en el historial.
A partir de aquí, ten respaldos automáticos. Lo explicamos en cómo hacer una copia de seguridad de tu página web.
5. Pide a Google que quite la advertencia
- Entra a Google Search Console.
- Abre el informe de Problemas de seguridad (en Seguridad y acciones manuales; el nombre puede variar).
- Confirma que ya corregiste todo y pulsa Solicitar revisión, describiendo qué limpiaste y qué cambiaste.
Google documenta este proceso en su guía de sitios hackeados. La revisión puede tardar varios días.
6. Revisa si se expusieron datos de personas
Si se filtraron nombres, correos, teléfonos o datos de pago de tus clientes, hay obligaciones legales. En México la Ley Federal de Protección de Datos Personales en Posesión de los Particulares contempla informar a los titulares cuando una vulneración afecta de forma significativa sus derechos. Esto es tema legal: consúltalo con un abogado.
Errores comunes después de un hackeo
- Cambiar contraseñas desde la misma computadora infectada. Si el origen fue un malware en tu equipo, te las vuelven a robar.
- Restaurar el respaldo y no corregir nada. Vuelven a entrar por el mismo hueco.
- Pagar a quien te pide rescate por tus datos o tu sitio. No hay garantía de nada.
- No rotar las llaves de API. Cambiar la contraseña del panel no invalida una llave robada.
- Dejar plugins “desactivados”. Un plugin desactivado sigue en el servidor y puede ser explotado. Bórralo.
Cuándo pedir ayuda
Si no sabes por dónde entraron, si hay datos de clientes de por medio o si ya te limpiaron una vez y volvió a pasar, conviene que lo revise alguien con experiencia en seguridad. Una auditoría de seguridad web después del incidente te dice qué otras puertas siguen abiertas.
En Black Engine te ayudamos a contener, encontrar la causa y dejar tu sitio o app de IA cerrada. Escríbenos por WhatsApp y lo revisamos contigo.
Preguntas frecuentes
¿Qué hago primero si mi sitio fue hackeado?
Contén el daño: pon el sitio en mantenimiento o pide al hosting que lo aísle, y cambia todas las contraseñas (hosting, panel, base de datos, correo y dominio) desde un equipo limpio.
¿Basta con restaurar un respaldo?
Sirve si el respaldo es de antes del hackeo, pero no basta. Si no cierras la puerta por donde entraron (plugin vulnerable, contraseña filtrada, llave expuesta), te vuelven a hackear.
¿Cómo quito la advertencia roja de Google?
Primero limpia el sitio por completo. Después, en Google Search Console, abre el informe de problemas de seguridad y solicita una revisión explicando qué corregiste.
¿Tengo que avisar a mis clientes?
Si se expusieron datos personales, probablemente sí. En México la ley de protección de datos personales obliga a informar a los titulares cuando una vulneración afecta de forma significativa sus derechos. Consulta con un abogado.