Cómo revisar si tu WordPress fue hackeado y quitar lo que dejó el atacante

Cuando un WordPress es hackeado, el atacante casi siempre deja tres rastros para volver a entrar: un administrador nuevo, un plugin falso y archivos PHP escondidos. En esta guía te mostramos dónde buscarlos y cómo quitarlos.

Antes de borrar, haz una copia. Si algo sale mal, puedes restaurar archivos con JetBackup o restaurar la base de datos.

Paso 1: Revisa los administradores

Entra a tu WordPress, abre Usuarios y filtra por Administrador. Revisa la lista con cuidado: en el ejemplo hay uno que nadie creó, soporte-wp, con un correo extraño. Los atacantes usan nombres que parecen de soporte o del sistema, como adminbackup o support_….

Paso 2: Borra el usuario desconocido

Pasa el cursor sobre ese usuario y pulsa Borrar. Si tiene contenido, elige Atribuir todo el contenido a tu usuario y confirma el borrado.

Paso 3: Desactiva y borra el plugin falso

Abre Plugins y busca uno que no hayas instalado. Los falsos usan nombres que parecen oficiales, como WP Compatibility Patch, y a veces dicen que su autor es «WordPress». Pulsa Desactivar y luego Borrar.

Paso 4: Revisa la carpeta uploads

En tu panel, abre el Administrador de archivos y entra a domains › tu-dominio.com › public_html › wp-content › uploads, y a sus carpetas por año y mes (como 2026/10). Esa carpeta es solo para imágenes y documentos: un archivo .php ahí es sospechoso. En el ejemplo, thumb-cache.php.

Paso 5: Borra el archivo .php

Marca el archivo, abre Más, elige Remove y confirma.

Después de limpiar

Si no estás seguro de haberlo quitado todo, restaura una copia anterior con JetBackup, de una fecha anterior al hackeo. Después, protege el sitio con Vigilante y cambia la dirección de acceso con WPS Hide Login.

¿Necesitas ayuda? Escríbenos a [email protected] y con gusto te ayudamos.