«Me hackean una y otra vez»: monitorización post-incidente para que no se repita

Por PathSentinel · Jesús Macías Rubiales — Investigación de seguridad web

Pocas frases resumen mejor la frustración de un responsable de e-commerce que «me hackean una y otra vez». Limpian la web, la restauran desde backup, cambian contraseñas y, a las dos semanas, vuelve el redirect a un casino o el phishing sobre el checkout. Si tu objetivo es evitar que vuelvan a hackear tu web, tienes que entender una cosa incómoda: la reinfección casi nunca es mala suerte, es la consecuencia predecible de una limpieza que trató el síntoma y no la causa. Este artículo forma parte de nuestra guía de SOC gestionado, monitorización 24/7 y cumplimiento, y se centra en la fase que casi todo el mundo se salta: lo que hay que hacer después de apagar el fuego.

Por qué evitar que vuelvan a hackear tu web es un problema de vigilancia, no de limpieza

Cuando una web reincide, suele fallar al menos uno de estos tres frentes. Primero, la puerta de entrada sigue abierta: la credencial de administrador robada por un infostealer sigue siendo válida, el plugin vulnerable no se ha actualizado, o el usuario de FTP comprometido nunca se desactivó. Segundo, queda persistencia oculta: un usuario administrador fantasma, una tarea programada (cron), un mu-plugin malicioso o una shell enterrada en wp-content/uploads que ningún antivirus de escritorio detecta. Tercero, y el más grave, nadie está mirando. La web se restaura y vuelve al mismo estado ciego en el que estaba antes del incidente.

En incidentes reales que hemos investigado, el vector no era una hazaña sofisticada, sino una credencial legítima filtrada meses antes en un equipo infectado. Mientras esa credencial siga viva y nadie vigile los inicios de sesión, la reinfección es cuestión de tiempo. Por eso el marco de referencia del sector, el NIST Cybersecurity Framework, no termina en «Proteger»: incluye las funciones de Detectar, Responder y Recuperar como parte del mismo ciclo continuo.

Los cuatro pasos de una erradicación real

Una limpieza que de verdad rompe el ciclo de reinfección sigue un orden. Saltarse un paso es la razón número uno de que el atacante vuelva.

• Contención antes que limpieza. Rotar todas las credenciales (panel, base de datos, FTP/SSH, claves de API), invalidar sesiones activas y bloquear el acceso del atacante. Limpiar ficheros mientras el atacante mantiene una sesión abierta es tirar agua en un cubo agujereado.
• Identificación de la causa raíz. No basta con saber qué ficheros estaban infectados; hay que saber cómo entró. Revisar logs de acceso, correlacionar la primera modificación maliciosa con una IP y un usuario, y determinar si el origen fue un plugin, una credencial robada o un equipo de un tercero (agencias y proveedores son un vector clásico).
• Erradicación de la persistencia. Enumerar y eliminar administradores no reconocidos, tareas programadas, reglas de reenvío de correo, webhooks e integraciones sospechosas, y cualquier código inyectado en la base de datos (no solo en ficheros).
• Endurecimiento y verificación. Aplicar principio de mínimo privilegio, MFA en todos los accesos y confirmar que el sistema queda en un estado limpio verificable, no solo «aparentemente funcional».

Si tu incidente afecta a datos personales o a un entorno con datos de tarjeta, la limpieza técnica se cruza además con obligaciones legales de plazo estricto; lo desarrollamos en Brecha de datos y RGPD: tienes 72 horas para notificar a la AEPD.

La monitorización post-incidente: la pieza que rompe el ciclo

Aquí está el cambio de mentalidad. La seguridad no es un evento («ya nos limpiaron»), es un estado que hay que mantener. Una vez erradicada la amenaza, la vigilancia continua es lo único que detecta un reintento antes de que se convierta en el siguiente titular. En la práctica, monitorizar de forma útil significa vigilar:

• Integridad de ficheros: alertas ante cualquier modificación no autorizada del core, plugins o temas, especialmente en carpetas de subida.
• Creación de usuarios y escaladas de privilegio: un administrador nuevo a las 3 de la madrugada es una señal, no una casualidad.
• Inicios de sesión anómalos: geolocalización imposible, fuerza bruta, uso de credenciales que deberían estar revocadas.
• Reglas persistentes nuevas: reenvíos de correo, cron, filtros o integraciones que aparecen sin que nadie los haya creado.
• Reputación e indicadores externos: aparición en listas de bloqueo, avisos de Google Safe Browsing o cambios en el contenido servido a los visitantes.

Este es el corazón de un SOC gestionado: no depender de que alguien mire los logs cuando ya hay quejas de clientes, sino tener un centinela que correlaciona señales y avisa en minutos. Nuestro enfoque combina un agente ligero en cada sitio con un mecanismo de «hombre muerto» (dead-man switch): si el centinela deja de reportar, eso también es una alerta. Atendemos desde pymes y tiendas online hasta entornos exigentes como banca y comercios con datos de tarjeta, donde una reinfección no es una molestia sino un incidente con consecuencias regulatorias.

De la reacción a la prevención estructural

Restaurar un backup te devuelve al día antes del hackeo, incluida la vulnerabilidad que lo permitió. Para salir del bucle de verdad conviene ir un paso más allá y reducir la superficie de confianza: segmentar accesos, verificar cada petición y no dar por buena una credencial solo porque «ya estaba dentro». Ese principio, formalizado en NIST SP 800-207 (Zero Trust), es especialmente rentable para organizaciones pequeñas que no pueden permitirse un equipo de seguridad interno. Lo aterrizamos sin jerga ni grandes presupuestos en Zero Trust para pymes: qué es y cómo aplicarlo sin un gran presupuesto.

La conclusión es sencilla: si te han hackeado varias veces, deja de pagar limpiezas de una en una. Cierra la causa raíz, erradica la persistencia y, sobre todo, pon vigilancia continua. La monitorización post-incidente no es un lujo; es la única parte del proceso que responde a la pregunta «¿y cómo sé que no ha vuelto?». ¿Necesitas que revisemos tu caso concreto? Escríbenos a través de contacto y te decimos qué está fallando.