Web hackeada: qué hacer, cuánto cuesta y cómo evitarlo (2026)

Una mañana abres tu web y aparece un anuncio de casino, una pantalla en blanco o un aviso de Chrome que dice «Sitio engañoso». O peor: todo parece normal, pero Google ha empezado a mostrar en tus resultados páginas en japonés que tú nunca has creado. Cada semana vemos casos así en pymes de Cantabria y del resto de España, y casi siempre tienen la misma causa: una web que nadie mantenía.

En esta guía te explicamos cómo saber si tu web está hackeada, qué hacer en las primeras 24 horas, cuánto cuesta limpiarla en 2026 y, sobre todo, cómo evitar que vuelva a pasar. Sin tecnicismos innecesarios y con cifras reales.

Por qué hackean webs de pymes (aunque «no tengas nada que robar»)

El error más común es pensar que a un pequeño negocio nadie le va a atacar. La realidad es que casi ningún ataque es personal. Son robots automáticos que recorren millones de webs buscando fallos conocidos: un plugin de WordPress sin actualizar, una contraseña «admin123», un tema pirata descargado de una web dudosa o un hosting compartido mal configurado.

Cuando encuentran un hueco, usan tu web para lo que les da dinero:

• Spam SEO: crean miles de páginas de farmacia, apuestas o réplicas de marcas para aprovechar la autoridad de tu dominio.
• Redirecciones: los visitantes que llegan desde Google (o solo desde móvil) acaban en webs de estafas.
• Envío de spam: usan tu servidor para mandar correos masivos, y tu dominio acaba en listas negras. Tus emails a clientes dejan de llegar.
• Robo de datos: formularios, bases de datos de clientes o, en tiendas online, datos de pago.
• Minado o phishing: alojan páginas falsas de bancos o scripts que consumen recursos.

Tu negocio no es el objetivo; tu web es la herramienta. Y eso significa que cualquier web desatendida es candidata.

Señales de que tu web está hackeada

Algunas son evidentes y otras pasan meses sin que nadie las detecte. Revisa esta lista:

1. Google o Chrome muestran avisos («Este sitio puede haber sido hackeado», «Sitio engañoso», pantalla roja).
2. Resultados extraños en Google: busca site:tudominio.es y mira si aparecen páginas que no reconoces, títulos en otros idiomas o palabras como viagra, casino o replica.
3. Redirecciones raras, sobre todo desde el móvil o al entrar desde Google (a ti, que entras directo, puede no pasarte).
4. Usuarios administradores nuevos en el panel que nadie ha creado.
5. Caída brusca de tráfico en Search Console o Analytics sin cambios por tu parte.
6. Tus correos rebotan o llegan a spam de repente.
7. El hosting te suspende la cuenta o te avisa de «consumo anómalo» o malware.
8. La web va lentísima o muestra errores sin motivo aparente.

Si notas que has perdido visitas sin explicación, también te puede interesar nuestra guía sobre por qué tu web no aparece en Google: no todas las caídas son hackeos, pero conviene descartarlo.

Qué hacer en las primeras 24 horas

La rapidez importa: cada día que pasa, Google indexa más páginas basura y más visitantes ven el problema. Este es el orden que recomendamos:

1. No borres nada a lo loco

Borrar archivos al azar o restaurar sin saber qué pasó suele empeorar las cosas: se pierden pistas de cómo entraron y la puerta trasera sigue abierta. Primero, haz una copia completa del estado actual (archivos y base de datos), aunque esté infectada. Sirve para analizar.

2. Cambia todas las contraseñas

Panel de la web, hosting, FTP/SFTP, base de datos, correo asociado y cuenta del registrador del dominio. Usa contraseñas largas y únicas y activa la verificación en dos pasos donde se pueda.

3. Avisa a tu hosting

Muchos proveedores tienen herramientas de escaneo o pueden decirte qué archivos se modificaron y cuándo. Si te han suspendido la cuenta, necesitarás su colaboración para reactivarla tras la limpieza.

4. Pon la web en mantenimiento si hay redirecciones o robo de datos

Si tus clientes están siendo enviados a estafas o hay formularios comprometidos, es mejor mostrar una página de mantenimiento unas horas que seguir exponiéndolos.

5. Revisa Google Search Console

En «Seguridad y acciones manuales» verás si Google ha detectado el problema. Tras limpiar, desde ahí se solicita la revisión para quitar los avisos.

6. Valora si hay obligación de notificar

Si se han podido ver o robar datos personales de clientes (formularios, cuentas, pedidos), el RGPD obliga a notificar la brecha a la Agencia Española de Protección de Datos en un plazo de 72 horas desde que la conoces, y en casos graves también a los afectados. Lo repasamos en nuestra checklist de requisitos legales de una web.

Cuánto cuesta limpiar una web hackeada en 2026

Depende del tipo de infección, del tamaño de la web y de si hay copias de seguridad limpias. Estos son los rangos orientativos que vemos en el mercado español:

Situación	Precio orientativo	Plazo
Infección leve con copia limpia reciente (restaurar + parchear)	100 – 250 €	1 día
Limpieza manual de WordPress corporativo (malware, puertas traseras, usuarios)	250 – 600 €	1 – 3 días
Spam SEO masivo (miles de URLs) + solicitud de revisión en Google	400 – 900 €	3 – 7 días + recuperación SEO
Tienda online con datos de clientes o pagos comprometidos	800 – 2.000 € o más	Variable
Web antigua irrecuperable: rehacerla desde cero	desde ~800 €	2 – 4 semanas

A eso hay que sumar el coste que no sale en la factura: días sin captar clientes, campañas de Google Ads pausadas (Google bloquea anuncios hacia webs con malware), correos que no llegan y, en el caso del spam SEO, semanas o meses hasta recuperar posiciones.

Los servicios de limpieza «por 49 €» suelen limitarse a pasar un escáner automático. Si no se encuentra y se cierra la vía de entrada, la reinfección en pocas semanas es muy habitual.

¿Limpiar o rehacer la web?

No siempre compensa limpiar. Recomendamos plantearse rehacerla cuando se cumplen dos o más de estas condiciones:

• La web usa una versión de WordPress, PHP o tema que lleva años sin soporte.
• Tiene decenas de plugins, muchos abandonados por sus desarrolladores.
• Ya se ha infectado más de una vez.
• Nadie tiene claro quién la hizo ni cómo está montada.
• Además del hackeo, es lenta, no se ve bien en móvil o no trae clientes.

En esos casos, pagar 500 € por limpiar algo que volverá a romperse suele ser peor inversión que una web nueva, bien construida y mantenida. Te contamos los números en cuánto cuesta rediseñar una página web y cómo hacerlo sin perder posicionamiento.

Cómo evitar que vuelvan a hackear tu web

La buena noticia: la gran mayoría de hackeos a pymes se evitan con medidas básicas y baratas. Esta es la checklist que aplicamos en las webs que mantenemos:

Actualizaciones

• Núcleo, plugins y tema actualizados, como mínimo cada mes (las críticas, en cuanto salen).
• Eliminar plugins y temas que no se usan: desactivados también son una puerta.
• Nunca usar temas o plugins «nulled» (pirateados): muchos vienen con malware de serie.
• Versión de PHP con soporte vigente en el hosting.

Accesos

• Contraseñas únicas y largas, gestor de contraseñas y verificación en dos pasos en el panel.
• Un usuario por persona, con el mínimo de permisos necesario. Borrar accesos de antiguos proveedores o empleados.
• Limitar intentos de inicio de sesión y cambiar el usuario «admin».
• SFTP en vez de FTP y certificado SSL (HTTPS) activo.

Copias de seguridad

• Copias automáticas diarias o semanales, guardadas fuera del servidor de la web.
• Al menos 30 días de historial: a veces la infección lleva semanas dentro.
• Probar a restaurar de vez en cuando. Una copia que nunca se ha probado no es una copia.

Hosting y vigilancia

• Hosting de calidad con aislamiento entre cuentas, cortafuegos y escaneo de malware. Lo explicamos en nuestra guía de dominio, hosting y correo profesional.
• Monitorización de disponibilidad y alertas de Search Console activadas.
• Revisar site:tudominio.es en Google una vez al mes: dos minutos que detectan el spam SEO a tiempo.

Todo esto es justo lo que incluye un buen plan de mantenimiento. Si quieres saber cuánto cuesta, lo desglosamos en cuánto cuesta mantener una página web: en la mayoría de pymes hablamos de unas decenas de euros al mes, muy por debajo de lo que cuesta una sola limpieza.

¿Es más segura una web a medida que un WordPress?

WordPress no es inseguro por sí mismo; es el gestor más atacado porque es el más usado y porque muchas instalaciones acumulan plugins sin mantener. Una web moderna construida a medida, con menos piezas de terceros y sin panel expuesto a internet, tiene una superficie de ataque mucho menor. Por eso en AVGG apostamos por webs rápidas y ligeras: además de cargar mejor (te lo contamos en velocidad de carga web), dan muchos menos sustos.

Preguntas frecuentes

¿Puedo limpiar yo mismo mi web hackeada?

Si tienes una copia limpia reciente y sabes cómo entraron, sí es posible restaurar y actualizar. Si no sabes cuál fue la vía de entrada, lo más probable es que vuelvan a entrar. En ese caso compensa que lo revise un profesional.

¿Cuánto tarda Google en quitar el aviso de «sitio hackeado»?

Tras limpiar y solicitar la revisión en Search Console, normalmente entre uno y varios días. Recuperar las posiciones perdidas por spam SEO puede llevar semanas.

¿El hosting no se encarga de la seguridad?

Solo en parte. El proveedor protege el servidor, pero mantener actualizada tu web, sus plugins y tus contraseñas es responsabilidad tuya o de quien te la mantenga.

¿Tengo que avisar a mis clientes si me hackean?

Si hay riesgo para sus datos personales, el RGPD te obliga a notificar a la AEPD en 72 horas y, si el riesgo es alto, también a los afectados. Si solo hubo spam o redirecciones sin acceso a datos, normalmente no.

¿Un certificado SSL evita que me hackeen?

No. El HTTPS cifra la conexión entre el visitante y la web, pero no protege de plugins vulnerables ni de contraseñas débiles. Es obligatorio, pero no suficiente.

Conclusión

Una web hackeada no es mala suerte: casi siempre es una web sin mantenimiento. Actúa rápido, cambia accesos, no borres a ciegas y cierra la vía de entrada. Y después, decide si compensa limpiar o tener por fin una web sólida y mantenida.

Si tu web está dando problemas o quieres saber si está en riesgo, escríbenos y la revisamos contigo. En AVGG hacemos webs que convierten desde unos 800 € y las mantenemos para que no tengas que preocuparte por esto.