Protocolo WB-18

Me han hackeado la web: redirige a otra página, sale spam o Google avisa

Casi siempre es un WordPress con un plugin sin actualizar. Limpiar es la mitad: si no cierras la puerta, a las semanas vuelve a pasar.

~145 min en total 5 pasos Revisado el 23/10/2026

En 30 segundos

Cambia todas las contraseñas · 20 min
Actualiza todo y quita lo abandonado · 20 min
Restaura o limpia · 60 min
Pide a Google que la revise · 15 min
Si había datos de usuarios, evalúa la brecha · 30 min

Ayuda gratuita y confidencial: 017 de INCIBE. Para denunciar: Policía Nacional (091) o Guardia Civil (062).

Antes de nada

Haz una copia de cómo está ahora la web (archivos y base de datos) antes de tocar nada: es la prueba de lo que pasó.

¿Cómo sé si me ha pasado?

La web redirige a otra página, sobre todo desde el móvil o desde Google.
En Google aparecen páginas tuyas con textos de spam o en japonés.
Google o el navegador avisan de que «este sitio puede haber sido hackeado».

Cambia todas las contraseñas
20 min
Hosting, FTP o SFTP, base de datos y todos los administradores de la web. Borra los usuarios administradores que no reconozcas.
Hecho
Actualiza todo y quita lo abandonado
20 min
Núcleo, tema y plugins a la última versión. Elimina los plugins que no uses o que nadie actualiza desde hace años: suelen ser la puerta.
Hecho
Restaura o limpia
60 min
Si tienes una copia de antes del ataque, restáurala y vuelve a actualizar. Si no, compara los archivos con los originales y busca ficheros PHP donde no debería haberlos, como la carpeta de subidas.
Hecho
Pide a Google que la revise
15 min
En Google Search Console, sección Problemas de seguridad, solicita una revisión cuando esté limpia. Así se quita el aviso del buscador.

Google Search Console
Hecho
Si había datos de usuarios, evalúa la brecha
30 min
Formularios, pedidos o cuentas de clientes: si han podido verse, puede que tengas que notificarlo a la AEPD en 72 horas.
Hecho

No hagas esto

No te limites a borrar el código malicioso que veas: casi siempre dejan una segunda puerta.
No reinstales la misma copia vieja sin actualizar después: entrarán igual.

Ahora, blíndalo

Actualizaciones automáticas de plugins de seguridad.
Doble factor para los administradores.
Copias diarias guardadas fuera del hosting.

Preguntas frecuentes

¿Por qué mi web redirige a otra página?

Suele ser código malicioso inyectado aprovechando un plugin o tema sin actualizar. A menudo solo redirige a quien llega desde Google o desde el móvil, para que el dueño no lo vea.

¿Cómo quito el aviso de «sitio hackeado» de Google?

Limpia la web, cierra la vulnerabilidad y solicita una revisión en Google Search Console, en la sección Problemas de seguridad.

¿Por qué vuelven a hackear mi web después de limpiarla?

Porque la puerta sigue abierta: un plugin vulnerable, una contraseña robada o una puerta trasera que no se encontró.

Fuentes oficiales

Publicado por el equipo de inteligencia de QuantumSec (Quantumsec S.L.). Canales oficiales comprobados el 23/10/2026. ¿Ves algo desactualizado? Escríbenos a contacto@quantumsec.es.

Cuando ya estés a salvo

Repórtalo y denuncia

Denunciar sirve aunque creas que no recuperarás nada: el banco y las plataformas te la pedirán, y muchas veces es la misma banda con cientos de víctimas. Reportarlo a INCIBE ayuda a tumbar la web falsa antes de que caiga otra persona.

1 · Pide consejo

017 · INCIBE

Te orientan gratis sobre qué hacer y cómo denunciar. de 8:00 a 23:00, todos los días del año. También por WhatsApp (900 116 117) y Telegram (@INCIBE017).

Llamar al 017

2 · Reporta el incidente

INCIBE-CERT

Es el equipo de respuesta de referencia para empresas en España. Escribe a incidencias@incibe-cert.es o usa su formulario. Si hay datos personales afectados, notifica además a la AEPD en 72 horas.

Reporta tu incidente

3 · Denuncia

Policía Nacional

Por internet en su Oficina Virtual de Denuncias o en cualquier comisaría, abierta 24 horas. La denuncia por internet solo es válida si la firmas en la comisaría que elijas, como mucho 72 horas después.

Denunciar por internet Llamar al 091

3 · O denuncia en

Guardia Civil

Su sede electrónica admite denunciar estafas y cargos fraudulentos por internet. Con firma electrónica (certificado digital), y no hace falta ir después en persona. Adjunta el extracto del banco si hubo cargos. Dudas: 900 101 062.

Denunciar por internet Llamar al 062

¿Está pasando ahora? Llama al 112, al 091 (Policía Nacional) o al 062 (Guardia Civil).

Antes de denunciar, guarda: capturas de los mensajes y de la web (con la dirección visible), el número o el email que te escribió, los justificantes de pago y la hora a la que pasó. No borres la conversación. Guía completa para denunciar →