¿Tu página web fue hackeada? Qué hacer ahora y cómo la recuperamos

En este orden:

1. Guarda evidencia. Saca capturas de pantalla con fecha y hora de lo que ves: la página cambiada, el aviso de Google, el correo de tu hosting. Descarga una copia completa de los archivos y de la base de datos tal como están, infectados incluidos. Pídele hoy a tu hosting los registros de acceso (los logs): no se guardan para siempre, y ahí está la pista de por dónde entraron.
2. Cambia las claves desde un equipo que sepas limpio. Si el computador con el que administras la web está infectado, la clave nueva se la llevan igual. Cambia todas: el panel del hosting, el acceso por FTP, el administrador de la web (WordPress u otro), la base de datos, el correo asociado y la cuenta donde registraste el dominio. Activa la verificación en dos pasos donde se pueda.
3. No borres archivos todavía. Borrar el archivo raro que encontraste no saca al atacante: muchas veces dejan otra puerta escondida. Y si borras, pierdes la pista de cómo entraron, que es lo único que evita que vuelvan.
4. Revisa los usuarios administradores. Si hay uno que no conoces, cámbiale la clave o bloquéalo. No lo borres: también es evidencia.
5. Si tu web cobra o guarda datos de clientes, como una tienda online, ponla en mantenimiento. Es mejor una web fuera de línea un día que una web que le roba la tarjeta a tus clientes.
6. Avisa a quien corresponda. A tu hosting, siempre. Si el ataque pudo exponer datos de tus clientes, revisa con tu abogado qué te exige la ley. Cuando la Ley 21.719 esté vigente, su artículo 14 sexies obliga a reportar la brecha a la Agencia de Protección de Datos Personales "sin dilaciones indebidas" si hay un riesgo razonable para las personas, y a avisar a los afectados si se expusieron datos sensibles, de menores de 14 años o financieros. Y si tu empresa presta un servicio esencial según el artículo 4 de la Ley 21.663 Marco de Ciberseguridad, el artículo 9 te exige enviar una alerta temprana al CSIRT Nacional en un máximo de 3 horas ante ciertos incidentes.

1. Contención. Aislamos el sitio para que deje de infectar visitantes o de mandar spam.
2. Evidencia. Guardamos el estado del sitio antes de tocar nada.
3. Vía de entrada. Buscamos por dónde entraron: un plugin desactualizado, una clave filtrada, un formulario mal hecho.
4. Limpieza. Sacamos el código malicioso, las puertas traseras y los usuarios falsos.
5. Cierre. Actualizamos y cerramos esa vía de entrada.
6. Credenciales. Cambiamos o te ayudamos a cambiar todas las claves.
7. Restauración. Dejamos el sitio funcionando, desde tu respaldo si tienes uno útil.
8. Google. Si tu web quedó marcada como peligrosa, pedimos la revisión en Search Console.
9. Informe del incidente. Qué pasó, cuándo, por dónde entraron y qué se hizo. Si tienes que reportar el incidente al CSIRT, el informe te sirve; el reporte lo haces tú.

Trabajamos en horario hábil de Chile y no te vamos a prometer plazos fuera de él. El plazo del caso te lo damos después de la primera revisión, cuando sabemos qué tan profunda es la infección.

Hay una parte que no depende de nosotros: si Google marcó tu web como peligrosa, después de la limpieza hay que pedirle una revisión, y Google dice que puede tardar de unos días a varias semanas.