Página web hackeada: ¿qué hacer?

¿Web hackeada? Cómo detectarlo y comprobarlo

No todos los ataques son visibles de inmediato. Los signos típicos son contenidos ajenos o páginas de spam en su web, redirecciones inesperadas, avisos de advertencia en el navegador o en los resultados de búsqueda de Google, cuentas de administrador desconocidas en el CMS o un servidor de pronto llamativamente lento. A menudo también avisan clientes a quienes algo les ha parecido extraño, o su proveedor de alojamiento bloquea el paquete por actividad inusual.

Una primera pista la ofrece Google Search Console: en el informe de problemas de seguridad, Google notifica el software malicioso o los contenidos hackeados detectados. También una búsqueda de “site:sudominio.de” puede dejar ver páginas ajenas con términos de spam. Esto no sustituye un diagnóstico fiable: la revisión a fondo de archivos, base de datos y cuentas de usuario debe asumirla un especialista. También las entradas inusuales en las estadísticas de acceso de su proveedor de alojamiento pueden ser un indicio.

• Contenidos, enlaces o páginas de spam ajenos
• Redirecciones a sitios web desconocidos
• Avisos de advertencia en el navegador o en Google
• Cuentas de usuario desconocidas en el CMS
• El proveedor de alojamiento avisa de anomalías o bloquea el paquete
• Los correos de su dominio acaban de repente en la carpeta de spam

Los primeros pasos: mantener la calma e informar al proveedor de alojamiento

El primer paso más importante parece trivial: mantener la calma y no borrar nada con precipitación. Quien elimina archivos presa del pánico o restaura sin revisar una copia de seguridad antigua destruye rastros importantes para buscar la causa, y la brecha sigue abierta. En su lugar, anote qué ha observado, desde cuándo ocurre y qué avisos o indicaciones ha recibido.

A continuación, informe a su proveedor de alojamiento. Puede guardar los registros, bloquear la web temporalmente o ponerla en modo de mantenimiento, y sabe si hay otros paquetes afectados. Si hay un proveedor de servicios responsable de su web, involúcrelo de inmediato. Retire la web de la red si los visitantes pudieran correr peligro, por ejemplo por código malicioso o formularios manipulados.

Hacer cambiar los accesos, pero desde un dispositivo seguro

Tras un ataque, todos los datos de acceso deben considerarse comprometidos: la cuenta de cliente del alojamiento, los accesos FTP o SFTP, la base de datos, los administradores del CMS y los buzones de correo del dominio. Cambie estos accesos o haga que los cambie su proveedor de servicios, y hágalo desde un dispositivo que esté demostrablemente limpio. Si su propio equipo está infectado, las contraseñas nuevas acabarán también en manos del atacante.

Utilice para cada acceso una contraseña propia y robusta y active, siempre que sea posible, la autenticación en dos factores. Compruebe en el CMS qué usuarios existen y elimine las cuentas desconocidas o que ya no se necesiten. También los antiguos empleados, las agencias anteriores o los freelancers con accesos aún activos son un riesgo que debería cerrar ahora.

Reparar una web hackeada: copia, limpieza, búsqueda de la causa

Antes de limpiar, conviene guardar el estado actual: archivos, base de datos y registros. Esta copia sirve para el análisis y, en su caso, como prueba, no para la restauración. Después, los especialistas aclaran si existe una copia de seguridad limpia de antes del ataque, por qué vía entraron los atacantes y si han quedado accesos ocultos.

Restaurar una copia de seguridad sin conocer la causa suele servir solo durante poco tiempo: si la brecha sigue abierta, la web puede volver a ser infectada. Las causas frecuentes son plugins, temas o extensiones obsoletos, componentes sin mantenimiento y contraseñas débiles o reutilizadas. Con nuestra ayuda en caso de web hackeada nos encargamos de la limpieza, el análisis de la causa y la protección, para que el ataque siga siendo un caso aislado.

Notificar una web hackeada: protección de datos, policía y Google

Si se ven afectados datos personales, como datos de clientes, entradas de formularios o cuentas en una tienda, puede existir un deber de notificación conforme al art. 33 del RGPD. La notificación a la autoridad de protección de datos competente debe realizarse entonces, si es posible, en un plazo de 72 horas desde que se tiene conocimiento, salvo que sea improbable que la violación suponga un riesgo para los afectados. Si el riesgo es alto, también hay que informar a los afectados.

Haga que su delegado de protección de datos o un abogado examine pronto esta cuestión. Con independencia de ello, puede presentar una denuncia ante la policía; las oficinas de policía criminal de los estados federados alemanes (Landeskriminalämter) ofrecen a las empresas puntos de contacto propios para el cibercrimen. Si Google ha marcado su web como peligrosa, solicite en Search Console una revisión tras la limpieza completa. Estas indicaciones no sustituyen el asesoramiento jurídico.

Web hackeada: ¿quién responde?

Como propietario, usted es en principio responsable de su web, también de que los datos personales estén protegidos mediante medidas técnicas y organizativas adecuadas, como exige el art. 32 del RGPD. Si a través de una web hackeada se difunde software malicioso o se sustraen datos, pueden surgir reclamaciones de terceros o medidas de las autoridades. La magnitud del riesgo depende mucho de las circunstancias.

Si un proveedor de servicios responde también o no depende del contrato: quien se haya encargado, por ejemplo, del mantenimiento y de las actualizaciones de seguridad debe prestarlos también. Compruebe además si existe un seguro cibernético y qué plazos de notificación prevé. Informe a clientes o socios si se han enviado correos sospechosos en su nombre. Solo un asesoramiento jurídico ofrece respuestas vinculantes sobre la responsabilidad; esta sección no lo sustituye.

He visitado una web hackeada: ¿y con qué rapidez amenaza un ataque?

Si como visitante ha abierto una web hackeada, cierre la página, no descargue nada y no introduzca datos. Ejecute un antivirus actualizado y mantenga el navegador y el sistema operativo al día. Si ha introducido allí datos de acceso, cámbielos de inmediato. Al propietario puede localizarlo a través de los datos de contacto del aviso legal (Impressum).

Para los propietarios rige lo siguiente: programas automatizados rastrean internet de forma continua en busca de webs accesibles y vulnerabilidades conocidas. Una web nueva y accesible públicamente puede, por tanto, recibir los primeros intentos de acceso poco después de su puesta en línea, con independencia de lo conocida que sea la empresa. Las actualizaciones periódicas, los accesos seguros, las copias de seguridad separadas y un análisis de vulnerabilidades no son un extra, sino el equipamiento básico.