Qué hacer si tu sitio web es hackeado

Descubrir que su sitio web ha sido hackeado es un momento impactante. Las páginas que construyó cuidadosamente son desfiguradas, redirigen a otro lugar o silenciosamente sirven malware a sus visitantes; los clientes pueden estar viendo advertencias; y su primer instinto es probablemente el pánico. Sin embargo, las empresas que superan un incidente de seguridad con el menor daño casi nunca son las que reaccionaron más rápido por miedo, sino las que respondieron con calma y metódicamente, siguiendo un plan claro.

Esta guía le proporciona ese plan. Explica qué hacer si su sitio web es hackeado, paso a paso, desde los primeros momentos de contención hasta la limpieza, restauración y seguridad del sitio, para evitar que se repita. Está escrita para propietarios de negocios en lugar de ingenieros de seguridad, por lo que los pasos son prácticos y se explican claramente. Complementa nuestras guías sobre conceptos básicos de seguridad de sitios web y la guía de mantenimiento de sitios web más amplia.

Primero, reconozca las señales

A veces, un hackeo es obvio: su página de inicio es reemplazada por el mensaje de otra persona. A menudo, sin embargo, es sutil. Las señales reveladoras incluyen redirecciones inesperadas a sitios desconocidos, nuevas páginas extrañas o ventanas emergentes, una caída repentina del tráfico, advertencias de su navegador o consola de búsqueda de que el sitio puede ser dañino, cuentas de usuario desconocidas, o que su host suspenda el sitio por enviar spam. Si algo no se siente bien, tome en serio la posibilidad en lugar de esperar que se resuelva solo.

La mentalidad más importante es actuar rápidamente pero sin imprudencia. Cada hora que un sitio comprometido permanece activo, puede estar dañando a los visitantes, dañando su reputación con los motores de búsqueda y dando más tiempo al atacante. Pero los cambios apresurados y de pánico también pueden destruir evidencia de cómo ocurrió la violación o dificultar la recuperación. Los pasos a continuación equilibran la velocidad con el cuidado, en el orden aproximado en que debe seguirlos.

Paso uno: contener el daño

Su primera prioridad es detener la hemorragia. Si el sitio está dañando activamente a los visitantes —sirviendo malware, redirigiéndolos o robando datos—, desconéctelo o póngalo en modo de mantenimiento inmediatamente. Una página de espera temporal es mucho menos dañina que un sitio en vivo que propaga malware a sus clientes y a cualquiera a quien los motores de búsqueda adviertan.

Al mismo tiempo, póngase en contacto con su proveedor de alojamiento. Los hosts tratan con sitios comprometidos rutinariamente, a menudo pueden ver lo que está sucediendo a nivel del servidor y es posible que ya hayan detectado el problema. Pueden asesorar sobre la contención inmediata y, en algunos casos, ayudar con la limpieza. No se avergüence de preguntar; esto es una parte normal del funcionamiento de los sitios web, y su host es su aliado aquí.

Paso dos: asegurar el acceso

Una vez contenido el daño inmediato, corte el acceso del atacante. Cambie las contraseñas de todo lo conectado al sitio: su cuenta de alojamiento, su sistema de gestión de contenido, su base de datos, acceso FTP o de archivos, y cualquier correo electrónico conectado o servicios de terceros. Utilice contraseñas nuevas, fuertes y únicas para cada uno, y donde la autenticación multifactor esté disponible, habilítela ahora.

Revise la lista de cuentas de usuario con acceso a su sitio y elimine cualquier cosa que no le sea familiar; los atacantes a menudo crean nuevas cuentas de administrador para mantener una forma de volver a entrar. Revocar el acceso de forma exhaustiva es esencial, porque limpiar el sitio es inútil si el atacante puede volver a entrar simplemente a través de una credencial o cuenta que usted pasó por alto.

Paso tres: limpiar o restaurar el sitio

Ahora viene la recuperación real, y aquí generalmente tiene dos caminos. El primero y generalmente el más limpio es restaurar desde una copia de seguridad tomada antes del compromiso. Si tiene una copia de seguridad reciente y limpia, restaurarla devuelve el sitio a un estado conocido y bueno sin el minucioso trabajo de rastrear cada pieza de código malicioso. Es precisamente por eso que las copias de seguridad confiables son tan importantes: nuestra guía sobre cómo hacer una copia de seguridad de su sitio web explica cómo mantenerlas listas para este momento exacto.

El segundo camino, si no tiene una copia de seguridad utilizable, es limpiar el sitio en su lugar: identificar y eliminar el código malicioso, borrar cualquier archivo que el atacante haya agregado y reparar lo que se cambió. Esto es más difícil y propenso a errores, porque omitir incluso una sola puerta trasera oculta permite que el atacante vuelva a entrar directamente. Para un compromiso grave o persistente, este es el punto en el que es prudente buscar ayuda profesional; los especialistas en seguridad pueden identificar y eliminar amenazas de manera más confiable que un no experto que trabaja bajo presión. Cualquiera que sea el camino que tome, escanee a fondo el sitio limpio o restaurado antes de considerarlo seguro.

Paso cuatro: cerrar la brecha que los dejó entrar

Restaurar un sitio limpio es solo la mitad del trabajo. Si no corrige la debilidad que permitió la violación, simplemente estará esperando ser hackeado nuevamente, a menudo en cuestión de días, por el mismo ataque automatizado. Identifique cómo entró el atacante, lo que generalmente se reduce a un conjunto conocido de culpables: software obsoleto con una vulnerabilidad sin parchear, una contraseña débil o reutilizada, o un plugin o tema comprometido.

Sea cual sea la causa, abórdela ahora. Actualice todo a las últimas versiones, fortalezca la autenticación, elimine cualquier software que no necesite y aplique los fundamentos de seguridad descritos en nuestra guía de conceptos básicos de seguridad y las ampliamente respetadas recomendaciones de OWASP. Cerrar la brecha específica es lo que convierte un incidente único en una recuperación genuina en lugar de una pesadilla recurrente.

Paso cinco: restaurar el servicio y monitorear de cerca

Con el sitio limpio, seguro y la vulnerabilidad parcheada, puede volver a ponerlo en línea. Pero el trabajo aún no ha terminado. Durante un período posterior, monitoree el sitio de cerca para detectar cualquier signo de reinfección o actividad inusual, ya que los atacantes a veces dejan puertas traseras inactivas que se activan más tarde. Preste especial atención a las nuevas cuentas de usuario, los cambios de archivos y los patrones de tráfico en las semanas siguientes al incidente.

También vale la pena solicitar una revisión a los motores de búsqueda si su sitio fue marcado o incluido en una lista negra, para que cualquier advertencia mostrada a los visitantes se elimine una vez que se confirme que el sitio está limpio. Restaurar no solo el sitio sino también su reputación —tanto con los clientes como con los motores de búsqueda— es parte de una recuperación completa, y protege la visibilidad de búsqueda que se ha esforzado en construir.

Prevención del próximo incidente

Cada hackeo conlleva la misma lección subyacente: la prevención es mucho más barata y menos estresante que la recuperación. Las empresas que se recuperan rápidamente son abrumadoramente aquellas que tenían copias de seguridad actualizadas y software actualizado implementado de antemano, y la forma de ser una de ellas es mantener las disciplinas básicas de manera constante en lugar de después de una crisis.

Eso significa mantener el software actualizado con prontitud, mantener una autenticación fuerte, realizar copias de seguridad probadas regularmente y seguir una rutina de mantenimiento constante como la de nuestra lista de verificación de mantenimiento. Estos hábitos previenen la gran mayoría de los incidentes y aseguran que el raro que se escapa sea rápido de recuperar. Un hackeo es aterrador, pero con preparación es superable; sin ella, puede ser devastador. La asimetría entre el pequeño costo de la prevención y el gran costo de la recuperación es el argumento más fuerte que existe para tomarse el mantenimiento en serio antes de que algo salga mal.

Preguntas frecuentes

Puntos clave

• Actúe con rapidez pero con calma. Una respuesta metódica limita el daño mucho mejor que el pánico; la secuencia es contener, asegurar, limpiar, cerrar la brecha.
• Contenga primero. Desactive un sitio dañino y llame a su host antes de intentar cualquier limpieza.
• Restaurar es mejor que reparar. Una copia de seguridad limpia y reciente es la ruta más rápida para volver; sin una, limpiar en el lugar es más difícil y puede necesitar ayuda profesional.
• Cierre siempre la brecha. Parchear la vulnerabilidad que causó la violación es lo que previene una repetición inmediata.
• La prevención es mucho más barata. Las copias de seguridad actuales y el software actualizado convierten una catástrofe potencial en un incidente manejable.

Conclusión

Un sitio web hackeado es alarmante, pero rara vez es el final de la historia cuando se responde bien. Contenga el daño, bloquee el acceso, restaure desde una copia de seguridad limpia o limpie el sitio a fondo, cierre la brecha que permitió la entrada del atacante y monitoree de cerca después. Siga esa secuencia y la mayoría de los sitios se recuperarán por completo. Sin embargo, la lección más profunda es que la preparación previa —copias de seguridad, actualizaciones y una rutina de mantenimiento constante— es lo que hace que la recuperación sea rápida en lugar de ruinosa. Trate esta guía como un plan que espera no necesitar nunca, y los hábitos de mantenimiento como el seguro que hace que la necesidad de ella sea mucho menos probable.

Si prefiere que la protección y la recuperación rápida sean gestionadas por otros, puede ver lo que cubre un plan de mantenimiento continuo o preguntar qué necesitaría su sitio.

Referencias

1. Astra Security. "Small Business Cyber Attack Statistics." getastra.com.
2. OWASP Foundation. "OWASP Top Ten Web Application Security Risks." owasp.org.