¿Tiene virus mi web? Cómo saberlo en 15 minutos sin instalar nada

«Creo que mi web tiene un virus.» Es la forma más natural de decirlo, porque es la palabra que todos conocemos. En una web, eso que llamamos virus suele ser código malicioso que alguien ha añadido para aprovecharse de tus visitas o de tu posición en Google. No se instala en tu ordenador por visitar tu propia web: vive en tu servidor y trabaja para otro.

La buena noticia es que puedes comprobar bastante sin instalar nada, sin tocar el servidor y en unos quince minutos. Aquí tienes qué buscar, qué herramientas usar y cómo interpretar un resultado limpio.

Qué es un «virus» en una web (y qué no lo es)

Google, en su informe de Problemas de seguridad, lo divide en tres tipos: contenido pirateado (páginas o enlaces que alguien ha metido aprovechando una vulnerabilidad), malware y software no deseado (código que perjudica a quien visita la web) e ingeniería social (páginas que engañan para que des datos o descargues algo). En la práctica se ve así:

• Tu web salta a casinos, farmacias o falsos premios: mi web redirige a otra página.
• En Google aparecen páginas en japonés o de spam que no has creado: páginas que no he creado en mi web.
• Tus visitas ven anuncios o ventanas emergentes que no has puesto: mi web muestra anuncios que no he puesto.
• Un script copia las tarjetas en el pago: sospecho que roban tarjetas en mi tienda.
• Hay una puerta trasera para volver a entrar: cómo encontrar una puerta trasera.

Y hay cosas que asustan pero no son un virus en tu web: el aviso «No es seguro» por un certificado caducado, una web lenta por el hosting, o ventanas emergentes que vienen del ordenador de quien mira. Google explica en la ayuda de Chrome que si aparecen anuncios emergentes y pestañas que no se cierran, o la página de inicio del navegador cambia sola, puede ser software no deseado en ese ordenador.

Por qué el antivirus de tu ordenador no te lo va a decir

Muchos «escáneres de virus online» analizan archivos o el equipo desde el que navegas, no tu web. Tu antivirus puede avisarte si una página intenta descargarte algo peligroso, pero no revisa los ficheros de tu servidor ni sabe qué le enseña tu web a Google.

Además, el código malicioso de una web puede esconderse de su dueño. Google lo explica en su página sobre ingeniería social: los atacantes pueden desactivar el ataque si creen que quien visita la web es el propietario, y por eso recomienda revisarla desde un ordenador ajeno a la red de la web. En la ayuda de Search Console añade que a menudo solo atacan a ciertos navegadores o a quien llega desde determinados sitios, como un resultado de Google.

Tampoco el antivirus del servidor lo ve todo. En el caso SMILODON que documentamos, 13 plugins falsos pasaron unos doce meses en 8 WordPress sin que el sistema de seguridad comercial del servidor los detectara; aparecieron en una revisión manual.

Las señales que puedes ver tú

La lista larga está en cómo saber si tu web está hackeada. Estas son las que dan más pistas sin tocar nada:

• Google muestra un aviso junto a tu web en los resultados, o Chrome enseña una pantalla roja al entrar.
• Al buscar tu dominio salen títulos en otro idioma o de productos que no vendes.
• Alguien te dice que tu web le lleva a otra página, sobre todo desde el móvil o desde Google.
• Tus visitas ven publicidad o ventanas que no has contratado.
• El hosting te avisa de malware, tus correos empiezan a rebotar o un antivirus bloquea tu dominio.
• En el panel hay usuarios administradores que no reconoces.

Cómo comprobarlo en 15 minutos sin instalar nada

1. Búscate en Google con site:tudominio.es y recorre varias páginas de resultados. Títulos en japonés, casino, farmacia o réplicas son contenido inyectado.
2. Consulta el Estado del sitio de Navegación segura en el Informe de transparencia de Google: te dice si Google considera ahora mismo peligrosa tu web.
3. Entra en Search Console, si tienes la web verificada: Seguridad y acciones manuales > Problemas de seguridad. Es gratis y muestra lo que Google ha detectado en tu web.
4. Visítala como un desconocido: desde un móvil con datos, en una ventana de incógnito y llegando desde un resultado de Google en lugar de escribir la dirección.
5. Pásale un escáner externo que compare lo que ve Google con lo que ve un visitante. PathScan lo hace en unos segundos; si quieres contrastar, en la comparativa de escáneres gratis tienes qué ve cada uno.
6. Mira el código fuente de la portada (Ctrl+U) y busca script: fíjate en los que cargan desde dominios que no reconoces. Google sugiere buscar también términos como eval, base64_decode o unescape, que aparecen a menudo en código malicioso pero también en código legítimo.

Si sale limpio pero sigues notando algo raro

Un resultado limpio significa que no se ha encontrado nada en lo que se ha analizado, hoy. No es un certificado de salud. Si el síntoma sigue (un cliente insiste en que le redirige, Google mantiene el aviso, el hosting vuelve a escribirte), el problema puede estar donde ningún escáner externo llega: ficheros del servidor, base de datos, usuarios ocultos o tareas programadas.

Ahí toca revisar desde dentro, con acceso al hosting, como explicamos en cómo encontrar una puerta trasera en tu web, o encargar un análisis con acceso a ficheros y base de datos.

Si confirmas que tiene «virus»: los tres primeros pasos

1. No borres nada todavía. Haz una copia del estado actual (ficheros, base de datos y registros de acceso) y guárdala aparte: es lo que te dirá por dónde entraron. El resto de las primeras horas está en qué hacer cuando tu web está hackeada.
2. Cambia las contraseñas desde un ordenador que sepas limpio: hosting, FTP o SFTP, base de datos, administradores de la web y correo.
3. Decide quién lo limpia. Una web sencilla con una copia de seguridad buena puede arreglarse siguiendo la guía de limpieza; si es una tienda, hay datos de clientes o ya se reinfectó una vez, mejor un profesional. Lo contamos sin rodeos en quién limpia una web hackeada y en cuánto cuesta limpiarla; si prefieres que lo hagamos nosotros, este es nuestro servicio de limpieza.

Si necesitas orientación gratuita, la línea 017 de INCIBE atiende a empresas y profesionales de 8 de la mañana a 11 de la noche, todos los días del año.

Preguntas frecuentes

¿Si mi web se ve normal, significa que está completamente segura?

No. Google advierte en su guía «Necesito ayuda, creo que me hackearon» de que los hackeos suelen ser invisibles para los usuarios: hay código que sirve el spam solo a Google, que redirige solo en móvil o que se desactiva si detecta al propietario. Que la veas bien desde tu ordenador es una buena señal, pero no una prueba.

¿Por qué no veo el problema en mi propio ordenador?

Porque el código puede elegir a quién se muestra: por navegador, por dispositivo, por la página desde la que llegas o por si ya has visitado la web antes. Google recomienda comprobarlo desde un equipo que no esté en tu red y con herramientas que simulen otros visitantes.

¿Un antivirus o plugin de seguridad no detecta todo esto?

Detectan bastante, pero no todo. Un antivirus de escritorio protege tu equipo, no tu servidor, y un plugin corre dentro de la misma web que el atacante ha comprometido. Lo explicamos en si sirven los plugins de seguridad para limpiar una web.

¿Puede Google detectar que mi sitio ha sido hackeado?

Sí. Según Google, Navegación segura también avisa a los propietarios cuando detecta que su web ha sido comprometida, y las páginas afectadas pueden mostrar avisos en los resultados de búsqueda o una página de advertencia en el navegador. El detalle lo verás en el informe Problemas de seguridad de Search Console.

¿Cómo sé si mi web ya está limpia?

Cuando vuelves a hacer las comprobaciones de arriba y todo sale bien, Search Console no muestra problemas y, sobre todo, el síntoma no vuelve en las semanas siguientes. Si reaparece, algo se quedó dentro.

Fuentes consultadas

• Google: informe de Problemas de seguridad, ingeniería social, software malicioso y no deseado y ayuda de Chrome sobre software no deseado.
• INCIBE: Tu Ayuda en Ciberseguridad (017).