Cómo saber si mi WordPress tiene malware: señales reales

Saber cómo saber si mi WordPress tiene malware es la pregunta que aparece cuando algo empieza a funcionar raro: la web carga lento de golpe, un conocido te dice que su antivirus la bloqueó, o recibes un email de Google Search Console que nunca esperabas. La buena noticia es que no hace falta ser técnico para detectar las señales. Este artículo te enseña a leerlas, a usar herramientas gratuitas de escaneo y a interpretar los avisos de Google sin perder la calma.

Por qué WordPress es un objetivo frecuente

WordPress mueve alrededor del 43% de todos los sitios web del mundo. Eso lo convierte en el blanco más atractivo para ataques automatizados: los bots no eligen a quién atacar, simplemente rastrean la web buscando instalaciones con versiones antiguas, contraseñas débiles o plugins sin actualizar. No eres el objetivo personal de ningún hacker; simplemente, si tu instalación tiene una brecha, algún script la encontrará tarde o temprano.

Ya hablé de esto con más detalle en el artículo sobre si WordPress es seguro o te pueden hackear, donde analicé el riesgo real según el tipo de instalación. Si aún no lo has leído, es un buen punto de partida para entender el contexto. Aquí nos centramos en el siguiente paso: detectar si el problema ya existe.

Señales visibles de que algo va mal

Antes de ejecutar ninguna herramienta, hay señales que puedes ver a simple vista. Cualquiera de estas debería activar tu alerta:

• Redirecciones inesperadas. Entras en tu web y el navegador te lleva a otra página que no reconoces, generalmente con publicidad agresiva o contenido en otro idioma.
• Contenido que no pusiste tú. Aparecen textos, enlaces o imágenes que nadie en tu equipo creó. A veces son casi invisibles: texto blanco sobre fondo blanco, enlaces ocultos en el pie de página.
• La web carga muchísimo más despacio. Si el rendimiento cae sin razón aparente, puede deberse a scripts maliciosos que consumen recursos del servidor.
• No puedes entrar al panel de administración. Tu contraseña deja de funcionar o el usuario administrador ha desaparecido.
• Tu proveedor de hosting suspende la cuenta. Los hostings monitorizan actividad sospechosa y suelen ser los primeros en detectar una infección.
• Google Chrome muestra un aviso rojo. La pantalla se vuelve roja con el mensaje «Este sitio puede dañar tu equipo» antes de dejar pasar al visitante.

Ninguna de estas señales confirma por sí sola una infección, pero cualquier combinación de dos o más es motivo suficiente para escanear la web de inmediato.

Cómo saber si mi WordPress tiene malware con herramientas gratuitas

Las señales visuales son subjetivas. Lo que necesitas después es datos objetivos. Estas herramientas gratuitas te los dan sin que tengas que tocar ni una línea de código:

1. Sucuri SiteCheck

Sucuri SiteCheck es el escáner externo más usado. Introduces la URL de tu web y en menos de un minuto te dice si aparece en listas negras de Google, Bing o spam, si detecta código malicioso conocido en el HTML público y si hay anomalías en los archivos principales de WordPress. Es gratuito y no requiere instalar nada. Su limitación: solo analiza lo que es visible desde fuera, no el interior de tu servidor.

2. Wordfence (plugin gratuito)

Wordfence es un plugin de seguridad que puedes instalar directamente desde el repositorio oficial de WordPress. Su escáner gratuito compara los archivos de tu instalación con las versiones originales almacenadas en wordpress.org y detecta modificaciones no autorizadas. Si un archivo del núcleo de WordPress ha sido alterado, Wordfence lo señala. También revisa plugins y temas. Después del escaneo, muestra un informe con niveles de gravedad: crítico, alto, medio y bajo. Céntrate primero en los críticos.

3. Google Search Console

Si tienes Google Search Console configurado (y deberías tenerlo), revisa la sección Seguridad y acciones manuales. Google te avisa directamente si detecta contenido hackeado, malware o comportamiento engañoso en tu dominio. Este aviso no llega en tiempo real, puede tardar días, pero es muy fiable. Si aparece ahí, Google ya está bloqueando o penalizando tu web en los resultados de búsqueda.

4. VirusTotal

VirusTotal permite analizar una URL contra más de 70 motores antivirus simultáneamente. No sustituye a un escaneo interno, pero en dos minutos te dice si tu dominio aparece en alguna lista negra que quizás Sucuri no cubre. Es especialmente útil para verificar un segundo resultado independiente.

Qué significan los avisos de Google y por qué no debes ignorarlos

Cuando Google marca una web como peligrosa, lo hace a través de su servicio Navegación Segura. Las consecuencias son inmediatas y pueden durar semanas incluso después de limpiar la infección:

• Chrome muestra una pantalla de advertencia roja antes de que cualquier usuario llegue a tu web. La mayoría de las personas retroceden sin leer nada más.
• Tu posicionamiento en Google cae. Las páginas marcadas como peligrosas reciben una penalización en los resultados de búsqueda que afecta directamente al tráfico orgánico.
• Tu reputación de dominio se daña. Los servidores de email de otros proveedores pueden empezar a marcar tus correos como spam si tu dominio aparece en listas negras.

Si Google Search Console te avisa, el proceso para levantar el bloqueo implica primero limpiar el malware, luego solicitar una revisión manual a través de la misma consola. Google tarda entre unos días y varias semanas en revisar y levantar el aviso. Cuanto antes actúes, antes termina el problema.

La conexión entre actualizaciones pendientes y el malware

Una de las causas más frecuentes de infección es, simplemente, no actualizar. Cada vez que se descubre una vulnerabilidad en un plugin o en el núcleo de WordPress, los desarrolladores publican un parche. Si no lo aplicas, esa brecha permanece abierta. Los bots que rastrean la web saben exactamente qué versiones son vulnerables y cómo explotarlas.

Si quieres entender bien ese riesgo antes de seguir, el artículo sobre qué riesgos tiene no actualizar WordPress en meses lo explica con datos concretos. Y si te preocupa que actualizar pueda romper algo, también existe una guía sobre qué pasa si actualizas WordPress y se rompe tu web. Ambos artículos te darán contexto para tomar decisiones con más criterio.

Preguntas frecuentes sobre malware en WordPress

¿Puedo tener malware sin que lo note nadie?

Sí, y es más común de lo que parece. Muchas infecciones están diseñadas para ser invisibles al propietario del sitio: no cambian nada visible, solo añaden enlaces ocultos para mejorar el SEO de otras webs o usan tu servidor para enviar spam. Puedes tener malware activo durante meses sin detectarlo hasta que Google te avisa o tu hosting suspende la cuenta.

¿Wordfence gratuito es suficiente para detectar una infección?

Para la mayoría de los casos, sí. El escáner gratuito detecta modificaciones en archivos del núcleo, plugins y temas. La versión premium añade detección en tiempo real con firmas de malware actualizadas al momento, lo que es útil en sitios con mucho tráfico o datos sensibles. Para una web de negocio estándar, la versión gratuita combinada con Sucuri SiteCheck cubre un porcentaje alto de amenazas conocidas.

Si el escaneo no encuentra nada, ¿puedo estar seguro?

No completamente. Los escáneres automatizados detectan malware conocido, pero el malware nuevo o muy específico puede pasar desapercibido. Si tienes señales claras de infección pero el escáner no encuentra nada, lo más prudente es pedir una revisión manual por parte de un profesional. A veces el problema está en la configuración del servidor o en archivos que el escáner no analiza.

¿Qué hago si confirmo que tengo malware?

El orden importa: primero haz una copia de seguridad (incluso de la versión infectada, para no perder datos), luego intenta restaurar una copia limpia anterior si la tienes. Si no tienes copia limpia, necesitarás limpiar manualmente los archivos infectados o restaurar WordPress desde cero. En ningún caso ignores el problema ni te limites a cambiar la contraseña: el malware puede tener puertas traseras que sobreviven a un cambio de contraseña.

Si has llegado hasta aquí y tienes dudas sobre el estado real de tu instalación, en mi página de servicios puedes ver cómo trabajo y qué tipo de proyectos abordo. A veces una revisión técnica puntual ahorra semanas de problemas.