Una página web comprometida no siempre deja de funcionar ni muestra un mensaje evidente. Muchos ataques intentan permanecer ocultos para mantener el acceso, insertar contenido, enviar spam o redirigir únicamente a determinados visitantes.
Por este motivo, detectar una intrusión puede requerir observar pequeños cambios en el comportamiento de la página, los usuarios, los archivos o el servidor.
Ninguna de las siguientes señales demuestra por sí sola que una web haya sido hackeada, pero todas justifican una revisión técnica.
1. Redirecciones hacia páginas desconocidas
Una de las señales más visibles es que la web envíe al visitante hacia otro dominio sin una razón legítima.
La redirección puede aparecer solamente desde dispositivos móviles, al acceder desde un buscador o durante la primera visita. Esto permite que el comportamiento malicioso resulte más difícil de reproducir por parte del propietario.
Si algunos usuarios informan de redirecciones, conviene recopilar toda la información posible:
- Dirección a la que fueron enviados.
- Página desde la que accedieron.
- Dispositivo y navegador utilizados.
- Momento aproximado del incidente.
- Buscador, enlace o anuncio de procedencia.
No debe descartarse el aviso simplemente porque el problema no aparezca durante una prueba rápida.
2. Nuevos usuarios con permisos administrativos
Un atacante que obtiene acceso puede crear una cuenta administrativa para mantener el control aunque se cambie la contraseña comprometida inicialmente.
Es recomendable revisar periódicamente la lista de usuarios y comprobar quién necesita realmente permisos elevados.
Presta atención a:
- Cuentas que nadie reconoce.
- Nombres similares a usuarios legítimos.
- Direcciones de correo desconocidas.
- Cambios de rol sin una explicación.
- Cuentas antiguas que deberían estar desactivadas.
Eliminar una cuenta sospechosa puede ser necesario, pero no resuelve por sí solo el incidente. También hay que investigar cómo se creó y si existen otros mecanismos de acceso.
3. Contenido o enlaces que no has publicado
Algunas intrusiones se utilizan para insertar enlaces, páginas de spam o contenido destinado a manipular resultados de búsqueda.
En ocasiones, ese contenido no aparece en los menús ni resulta visible durante una navegación normal. Puede descubrirse al buscar el dominio en Google o revisar las páginas indexadas.
Señales frecuentes:
- Páginas sobre productos que no ofrece la empresa.
- Fragmentos en otros idiomas.
- Enlaces ocultos en el pie de página.
- Títulos extraños en los resultados de búsqueda.
- Publicaciones creadas sin autorización.
Además del problema de seguridad, este tipo de modificación puede perjudicar la reputación y el posicionamiento de la web.
4. Archivos modificados inesperadamente
Los archivos de una web pueden cambiar durante una actualización legítima, pero las modificaciones que no coinciden con tareas realizadas merecen atención.
Un atacante puede alterar archivos existentes o añadir otros nuevos para ejecutar código, recuperar el acceso o cargar contenido malicioso.
Al revisar los archivos conviene observar:
- Fechas de modificación inusuales.
- Archivos con nombres parecidos a componentes legítimos.
- Código ofuscado o difícil de interpretar.
- Archivos ejecutables en directorios donde no deberían existir.
- Cambios en la configuración principal.
Antes de eliminar archivos sospechosos, resulta recomendable preservar una copia para analizarlos. Pueden contener información útil para identificar la vía de entrada y el alcance del incidente.
5. Lentitud o consumo de recursos sin explicación
Una web puede volverse lenta por muchos motivos: tráfico elevado, consultas pesadas, falta de optimización o limitaciones del alojamiento.
Sin embargo, un aumento repentino del consumo también puede estar relacionado con procesos maliciosos, envío de correo, generación masiva de páginas o abuso de recursos.
Conviene comparar el momento en el que comenzó el problema con:
- Cambios y actualizaciones recientes.
- Registros de acceso.
- Aumento de solicitudes.
- Procesos ejecutados en el servidor.
- Alertas del proveedor de alojamiento.
La lentitud aislada no confirma una intrusión, pero debe investigarse si aparece junto con otras señales.
6. Alertas del navegador, buscador o alojamiento
Los navegadores y buscadores pueden advertir de contenido malicioso, descargas sospechosas o intentos de engaño. Los proveedores de alojamiento también pueden detectar archivos, procesos o envíos anómalos.
Estas alertas no deben ignorarse. Es importante revisar qué recurso ha sido detectado, cuándo apareció y qué alcance puede tener.
Ocultar el aviso sin resolver la causa puede exponer nuevamente a los visitantes y provocar que el problema reaparezca.
7. Correos extraños enviados desde el dominio
Si clientes o proveedores reciben mensajes que la empresa no ha enviado, puede existir una cuenta comprometida, una configuración incorrecta o un abuso del servidor web.
También es posible que alguien esté suplantando el dominio sin haber accedido directamente a la página. Por eso debe analizarse tanto la web como la configuración del correo.
Entre las comprobaciones habituales se encuentran:
- Revisar inicios de sesión de las cuentas.
- Cambiar credenciales expuestas.
- Activar autenticación multifactor.
- Comprobar reglas de reenvío.
- Analizar registros de envío.
- Revisar la configuración de autenticación del dominio.
¿Qué debes hacer si sospechas de una intrusión?
La reacción debe intentar contener el problema sin destruir información que pueda resultar útil para la investigación.
- Documenta las señales detectadas.
- Preserva registros y copias de los archivos.
- Limita los accesos que puedan estar comprometidos.
- Cambia las credenciales desde un dispositivo seguro.
- Revisa usuarios, archivos, base de datos y registros.
- Identifica la vía de entrada antes de dar el incidente por cerrado.
- Actualiza y refuerza la configuración después de limpiar la web.
Restaurar una copia puede ayudar, pero no siempre elimina la causa. Si la versión restaurada conserva el componente vulnerable o las credenciales expuestas, el atacante podría volver a entrar.
Cómo reducir el riesgo
No existe una medida capaz de impedir todos los ataques. Sin embargo, es posible reducir la exposición mediante varias capas:
- Mantener el sistema y los componentes actualizados.
- Utilizar contraseñas únicas y autenticación multifactor.
- Limitar las cuentas administrativas.
- Eliminar extensiones que ya no se utilizan.
- Realizar copias externas y comprobar su restauración.
- Supervisar cambios, accesos y alertas.
- Revisar periódicamente la configuración de seguridad.
Conclusión
Las redirecciones, usuarios desconocidos, archivos modificados o mensajes enviados sin autorización pueden indicar que una página ha sido comprometida. Cuanto antes se detecte y analice el problema, mayor será la posibilidad de limitar su impacto.
