Abres tu web y en lugar de tu portada hay otra cosa: el mensaje de un supuesto grupo de hackers, una bandera, un texto en árabe o en inglés, o una página negra con música. Es un defacement: alguien ha entrado y ha cambiado tu página de inicio. La primera hora importa, y lo que hagas (y lo que no hagas) marca la diferencia entre un susto de una tarde y un problema que se alarga semanas.
Resumen del orden correcto, por si tienes prisa: guarda pruebas, tapa la web, restaura, y solo entonces respira. Lo que no debes hacer es borrar la página del atacante a toda prisa y volver a publicar como si nada, porque casi seguro dejas su puerta de entrada abierta.
Lo primero: copia del estado actual antes de tocar nada
Sé que la tentación es quitar eso de tu web ya. Aguanta dos minutos. Antes de tocar nada, congela una foto del estado actual:
- Haz capturas de pantalla completas de la página modificada, con la fecha y la hora visibles.
- Guarda el código fuente de esa página. En el navegador, clic derecho y «Ver código fuente de la página», y lo guardas.
- Si puedes, descarga una copia de los ficheros de la web por FTP tal y como están ahora, aunque estén infectados. Esa copia sucia es tu prueba.
¿Por qué? Porque si más adelante denuncias, reclamas a un seguro o simplemente quieres entender cómo entraron, estas pruebas son lo único que no se puede recuperar después. En cuanto restaures, desaparecen.
Qué es un defacement y qué suele venir detrás
Un defacement es la modificación no autorizada del aspecto de una web. Suele ser lo más ruidoso de un ataque, precisamente porque el atacante quiere que se vea: muchas veces busca notoriedad o presumir en foros de su «hazaña».
Pero lo visible casi nunca es lo único. Para poder cambiar tu portada, alguien ha tenido que entrar con permisos suficientes, y quien entra rara vez se conforma con pintar la fachada. Debajo suele haber una o varias puertas traseras para volver cuando quiera. Por eso restaurar solo la portada es un error: quitas el cartel, pero dejas la llave puesta.
Comprobar si solo es la portada o está todo comprometido
Antes de restaurar conviene hacerse una idea del alcance. Comprueba:
- El resto de páginas. ¿Funcionan con normalidad o también están tocadas? Navega por secciones internas.
- El panel de administración. ¿Puedes entrar? ¿Hay usuarios administradores que no reconoces? Un administrador desconocido es señal de que el problema va más allá de la portada.
- Los ficheros recientes. En el administrador de archivos del hosting, ordena por fecha de modificación. Si muchos ficheros cambiaron a la misma hora que tu portada, el compromiso es amplio, no puntual.
Si solo está tocada la portada y no ves nada más raro, puede ser un ataque superficial. Si ves administradores nuevos, ficheros modificados en masa o funciones que fallan, asume que está todo comprometido y trátalo como tal. Ante la duda, lo segundo.
Poner una página de mantenimiento en diez minutos
Mientras investigas y restauras, no dejes la web modificada a la vista del público ni de Google. Ponla en mantenimiento:
- Lo más rápido: renombra el fichero de la portada infectada y sube en su lugar un
index.htmlsencillo con un texto de «Estamos en mantenimiento, volvemos enseguida». - Si el panel te funciona: un plugin de modo mantenimiento te lo pone en dos clics.
- Si el ataque es grave: lo más limpio es que tu hosting deje la web temporalmente inaccesible mientras trabajas. Una web caída unas horas es mejor que una web mostrando contenido de un atacante a tus clientes y a Google.
Esto no arregla nada, pero corta la hemorragia: evita que un cliente vea el destrozo y que los buscadores indexen la página modificada.
Restaurar la portada sin restaurar también la puerta trasera
Aquí está el paso donde más gente tropieza. Restaurar una copia de seguridad anterior parece la solución mágica, pero tiene trampa: si restauras una copia hecha después de que entraran, estás reinstalando también su puerta trasera. Y si solo restauras la portada, dejas intacto todo lo demás que tocaron.
El orden que sí funciona: primero localiza y elimina las puertas traseras y ficheros maliciosos, y después restaura el contenido bueno. Elegir bien qué copia recuperar es una decisión delicada, porque una copia demasiado nueva viene infectada y una demasiado antigua te hace perder trabajo; lo explicamos en detalle en si restaurar una copia arregla de verdad una web hackeada. Y pase lo que pase, cambia todas las contraseñas: panel, FTP, base de datos y hosting.
Guardar pruebas por si hay que denunciar o reclamar al seguro
Aquí es donde te alegras de haber hecho las capturas del principio. Si el ataque ha tenido consecuencias (pérdida de ventas, datos de clientes expuestos, uso de tu web para atacar a otros), puede que quieras denunciar o reclamar a un seguro de ciberriesgo si lo tienes. Para eso necesitas la foto del estado infectado, la fecha aproximada de la intrusión y qué se vio afectado.
Si en el ataque han quedado expuestos datos personales de tus clientes, no es solo un problema técnico: puede haber obligación de notificarlo. Revisa qué te toca en las obligaciones legales cuando tu web es hackeada antes de dar el tema por cerrado.
Avisar a clientes y proveedores: qué decir y qué no
La comunicación mal hecha hace más daño que el propio ataque. Unas pautas:
- Sé sobrio y honesto. «Hemos detectado un incidente de seguridad, la web está en mantenimiento y lo estamos resolviendo» es suficiente. No hace falta dramatizar ni dar detalles técnicos.
- No prometas lo que no sabes. Evita afirmar «no se ha visto afectado ningún dato» si todavía no lo has comprobado. Si luego resulta que sí, pierdes toda la credibilidad.
- Avisa a quien de verdad lo necesita. Si manejas datos de clientes o cobros, tu pasarela de pago y tu proveedor de hosting deben saberlo. El resto del mundo, solo si les afecta.
Un defacement es aparatoso, pero rara vez es el fin del mundo si actúas con orden. Lo importante no es la prisa por quitar el cartel, sino cerrar por dónde entraron. Tienes el proceso completo, paso a paso, en nuestra guía para recuperar una web hackeada.
Cuando hayas restaurado la portada, comprueba gratis qué más han tocado: el escáner revisa tu web desde fuera y te ayuda a confirmar que no quedan páginas ni ficheros del atacante rondando por ahí.