Qué hacer el lunes después de un ataque a tu sitio

El sitio redirige a un casino, el admin no abre o Google avisa de software malicioso. El reflejo es borrar archivos al azar y republicar un respaldo de quién sabe cuándo. Ese reflejo alarga el incidente.

Las primeras cuatro horas

• Pon el sitio en modo mantenimiento o baja el DNS hacia una página estática. Deja de servir el malware.
• No pagues rescates. No instales “limpiadores” que encontraste en un foro.
• Toma una copia forense del estado actual antes de restaurar. Vas a necesitarla.
• Rota contraseñas de hosting, base de datos, FTP, CMS y el correo del administrador. Todas.

Restaurar no es volver atrás y ya

Una copia de hace tres días puede traer el mismo agujero. Restaura, parchea, cambia claves y recorre plugins, temas y usuarios. Si el CMS tiene un usuario “soporte2023” que nadie reconoce, ese era el camino de entrada.

Lo que hay que dejar instalado para que no se repita

WAF, SSL bien configurado, actualizaciones, copias automáticas con una restauración de prueba cada mes, 2FA en el admin. Nada de esto es sofisticado. Lo sofisticado es pretender que “a nosotros no nos pasa” porque el sitio es pequeño. Los bots no leen tu facturación anual.

Search Console tarda en soltar la marca de sitio engañoso. Limpia de verdad, pide revisión y no publiques contenido nuevo encima de un malware a medias.

Hemos recuperado sitios que llevaban 36 horas fuera y otros que llevaban semanas sirviendo spam sin que el dueño lo supiera. El patrón es el mismo: no había un plan el viernes. Si quieres que el próximo lunes no te encuentre improvisando, el trabajo es ahora, con el sitio todavía en pie.