Un cambio inesperado de contenido, una cuenta administradora desconocida o archivos PHP sospechosos pueden indicar una intrusión. Lo prioritario es reducir riesgos sin borrar las pistas necesarias para investigar.
Contener sin destruir indicios
Restringe o aísla el entorno según el impacto comercial. Conserva copias de archivos, base y registros con sus fechas antes de limpiar. Borrar a ciegas archivos desconocidos puede eliminar pruebas sin acabar con puertas traseras.
Identificar posibles vías de acceso
Investiga extensiones vulnerables, credenciales reutilizadas, FTP comprometido, sesiones administrativas y fallos del alojamiento. Examina cambios y registros. Que una página se haya roto no demuestra que el ordenador de un cliente esté infectado: separa hipótesis de evidencias.
Cambiar credenciales en el orden correcto
Desde un dispositivo de confianza, renueva accesos de hosting, SFTP, base y administradores y revoca sesiones o claves cuando proceda. Activa autenticación multifactor. Si sospechas del ordenador utilizado, revísalo antes de confiar en las claves nuevas.
Restaurar a partir de componentes seguros
Recupera una copia limpia comprobada o reinstala núcleo y extensiones desde orígenes oficiales. Verifica también la base: pueden existir usuarios, tareas e inserciones maliciosas que sobrevivan al cambio de archivos. Prueba la recuperación fuera de producción.
Revisar todo el alcance del incidente
Comprueba otros sitios del mismo alojamiento, directorios compartidos, usuarios de base, correo y tareas programadas. Evalúa si pudieron verse afectados datos personales y consulta los deberes de notificación aplicables.
Evitar nuevas intrusiones
Actualiza los componentes vulnerables, elimina cuentas sobrantes, limita permisos y comprueba las copias. Vigila cambios inesperados de archivos y usuarios. Documenta el incidente para reconocer la causa, no repetir limpiezas superficiales.
Preguntas frecuentes
¿Un archivo sospechoso demuestra que el ordenador del cliente está infectado?
No. Es una posibilidad entre varias; hacen falta registros y análisis antes de atribuir la causa.
¿Basta con eliminar archivos maliciosos?
No siempre. También pueden quedar cuentas, tareas automáticas e inyecciones en la base.
Guías relacionadas en Concepty
- Copias de seguridad web: por qué probar una restauración es imprescindible
- Actualizar WordPress con mínimas interrupciones: un proceso fiable
- Buenas prácticas de seguridad WordPress
Para una adaptación o comprobación de compatibilidad, consulta los servicios Concepty o contacta con Concepty.