Tu WordPress lleva a una web que no reconoces. Esto es por qué.
Un cliente te cuenta que pinchó en tu web y acabó en una página rara: una tienda falsa, un «has ganado un premio» de aspecto sospechoso o una farmacia vendiendo pastillas. Tú escribes tu dirección y todo se ve perfectamente. Así que asumes que se confundió.
No se confundió. Tu WordPress tiene malware de redirección, y el motivo por el que tú no lo ves es la parte más ingeniosa (y más exasperante) del problema.
Qué hace exactamente este malware
El malware de redirección es código inyectado en tu WordPress que envía automáticamente a los visitantes a otra web controlada por el atacante. El destino suele ser un sitio de spam, una página fraudulenta, una tienda falsa o algo que intenta instalar más malware en el dispositivo del visitante.
El atacante gana dinero de varias formas: cobrando por el tráfico que te roba, estafando a tus visitantes o vendiendo productos falsos. Tu web se convierte en el sistema de reparto y tu reputación paga la factura.
Por qué tú no ves la redirección
Esta es la parte que descoloca a casi todo el mundo. Entras a tu web y funciona perfecta. Entran tus clientes y acaban en spam. ¿Cómo?
El malware usa redirección condicional: examina a cada visitante y decide si lo redirige según las reglas que fijó el atacante.
- Suele redirigir solo a quien llega desde Google. Si escribes la dirección a mano, ves el sitio normal. Quien te encuentra buscando, se lo llevan.
- A menudo apunta solo a móviles. Tú compruebas desde el ordenador y no ves nada raro. Tus clientes desde el teléfono acaban en spam.
- Puede saltarse a los administradores con la sesión iniciada. Como tú sueles estar logueado en WordPress, el malware te deja tranquilo y ataca al resto.
Es deliberado. Escondiéndose de ti, la infección dura más tiempo, y eso significa más tráfico robado y más daño antes de que te enteres.
Por dónde ha entrado
El malware de redirección entra casi siempre por una de estas puertas:
- Un plugin o tema desactualizado con un agujero conocido sin parchear.
- Un plugin o tema pirateado (nulled): se distribuyen habitualmente con el malware ya incorporado.
- Una contraseña de administrador débil o reutilizada, adivinada o sacada de una filtración de datos.
- Una vulnerabilidad en otra web alojada en la misma cuenta de hosting compartido.
El ataque casi nunca es personal. Hay bots rastreando internet permanentemente en busca de cualquier sitio con un hueco. Cuando lo encuentran, inyectan el código de redirección y pasan al siguiente.
Dónde se esconde el código
Aquí está la razón por la que quitarlo es más difícil de lo que parece: el código rara vez está en un solo sitio. Puede vivir en:
- La base de datos de WordPress, sobre todo en las tablas
wp_optionsywp_posts. - El archivo
.htaccess, que controla cómo responde el servidor a cada petición. - Los archivos del tema, en particular
functions.phpy las plantillas de cabecera. - JavaScript inyectado que se carga desde un servidor externo del atacante.
- Archivos PHP ocultos dejados caer en carpetas poco visibles y con nombres inocentes.
Y lo más importante: el atacante deja puertas traseras, código escondido que le permite volver. Si eliminas la redirección visible pero se te escapa una sola puerta trasera, la infección vuelve en cuestión de horas.
Por qué fallan los arreglos rápidos
Lo que la gente suele probar primero, y por qué no suele funcionar:
Borrar el código sospechoso que encuentran. Si no se eliminan todas las piezas y todas las puertas traseras, la redirección vuelve.
Restaurar una copia de seguridad antigua. Si la copia se hizo después de la infección (algo muy común, porque el malware pasa semanas escondido), lo que haces es reinstalar el problema. Y la vulnerabilidad que les dejó entrar sigue abierta.
Instalar un plugin de seguridad. Los escáneres detectan parte de este malware, pero las variantes ofuscadas y condicionales están hechas específicamente para esquivarlos. Hemos limpiado bastantes sitios en los que el plugin informaba de «ninguna amenaza encontrada» mientras los visitantes seguían siendo redirigidos.
Qué implica una limpieza de verdad
Eliminar el malware de redirección de forma permanente exige recorrer todas las capas:
- Reproducir la redirección simulando una visita desde Google en un móvil, para confirmar qué está ocurriendo exactamente.
- Revisar todos los archivos del servidor en busca de código inyectado y ofuscado.
- Limpiar la base de datos de entradas maliciosas.
- Localizar y eliminar todas las puertas traseras, que es el paso crítico.
- Cerrar la vía de entrada actualizando todo y cambiando todas las credenciales.
- Verificar que la redirección ha desaparecido para todos los tipos de visitante, no solo para ti.
Qué pasa si lo dejas estar
Una infección de redirección abandonada casi siempre va a peor. Google acaba detectando las redirecciones maliciosas y puede meter tu dominio en la lista negra, sustituyendo tu web por un aviso rojo de «sitio engañoso» para todos los visitantes. En ese punto ya no pierdes solo el tráfico redirigido: lo pierdes todo. Actuar mientras el problema es «solo» una redirección sale mucho más barato que esperar a la lista negra.
En WPSecureGuard lo quitamos para que no vuelva
Con más de 25 años asegurando webs en WordPress y PHP, hemos limpiado docenas de infecciones de redirección. Sabemos cómo se esconden las redirecciones condicionales, dónde suelen estar las puertas traseras y cómo asegurarnos de que no reaparecen.
El servicio Recovery cuesta 249 € en pago único: limpieza completa, eliminación de puertas traseras, reparación del .htaccess, hardening básico y garantía de 30 días contra reinfección. Si la redirección vuelve dentro de ese plazo, lo arreglamos sin coste.
Para protección continua, el plan Complete (149 €/mes o 1.499 €/año) incluye monitorización, actualizaciones, parcheo y recuperación de emergencia dentro de la suscripción.
Pide ayuda urgente ahora: cada visitante redirigido es un cliente perdido.