Plan de Respuesta a Incidentes

Señales de Que Fuiste Hackeado:

⚠️ Señales claras:

• Sitio redirige a pornografía/farmacias/casinos
• Archivos que NO reconoces en FTP (shell.php, c99.php, etc.)
• Google te muestra como "Sitio engañoso" con alerta roja
• Usuarios reportan que reciben spam de tu dominio
• WP File Monitor detectó cambios sospechosos en wp-config.php
• Dashboard de WordPress te echa o cambió contraseña sola

Protocolo Paso a Paso (Orden Importante):

Minutos 0-5: Contener el Daño

1. Poner sitio en modo mantenimiento (SI PUEDES acceder):

   • Dashboard → Plugins → Add New
   • Busca "WP Maintenance Mode"
   • Instalar, activar, y marcar "Enable"
   • Esto DETIENE tráfico mientras limpias

2. SI NO PUEDES acceder a dashboard:

   • Contacta hosting INMEDIATAMENTE (teléfono, no email)
   • Pide que suspendan temporalmente el dominio (no borren nada)

3. Cambiar TODAS las contraseñas (en este orden):

   • Hosting cPanel/Plesk
   • Base de datos MySQL (phpMyAdmin)
   • FTP/SFTP
   • WordPress (todos los usuarios admin)
   • Email asociado

💡 TIP: Usa teléfono o computadora DIFERENTE a la que usas normalmente (por si tiene keylogger).

Minutos 5-30: Identificar Extensión del Hack

4. Acceder por FTP/SFTP (no usar File Manager de hosting si es posible):

   • FileZilla (descarga: https://filezilla-project.org)
   • Host: ftp.tusitio.com (o IP del hosting)
   • Usuario y contraseña: Los nuevos que acabas de cambiar

5. Buscar archivos sospechosos:

Carpetas a revisar PRIMERO:

• /wp-content/uploads/ → Busca archivos .php (NO deberían estar ahí)
• /wp-includes/ → Busca archivos con nombres raros (backup.php, old.php, etc.)
• Raíz del sitio (/) → Busca archivos nuevos que NO reconoces

Nombres típicos de backdoors:

• shell.php, c99.php, r57.php
• wp-config-backup.php (falso backup)
• Archivos con nombres aleatorios: a7f3k2.php
• .htaccess modificado (comparar con versión limpia)

6. Revisar archivos core modificados:
   • wp-config.php (compara con backup)
   • /wp-admin/index.php
   • /wp-includes/functions.php

⚠️ IMPORTANTE: NO borres nada aún. Solo identifica.

Minutos 30-60: Limpieza (Opción 1: Restaurar Backup)

7. SI TIENES backup reciente (de antes del hack):

   Restaurar con UpdraftPlus:

   • Dashboard → UpdraftPlus → Backup/Restore
   • Selecciona backup del día ANTES del hack
   • Marca TODO: ✓ Plugins, ✓ Themes, ✓ Database, ✓ Uploads, ✓ Other
   • Click "Restore"
   • Espera 10-20 minutos

   Después de restaurar:

   • Cambia TODAS las contraseñas de usuarios
   • Actualiza WordPress Core + Plugins + Themes (puede que el hack fue por versión vieja)
   • Escanea con Wordfence (ver Paso 2)

Minutos 30-120: Limpieza (Opción 2: Sin Backup o Backup También Infectado)

8. Escanear con Wordfence Security:

   • Dashboard → Plugins → Add New
   • Busca "Wordfence Security"
   • Instalar y Activar
   • Wordfence → Scan → Start New Scan
   • Espera 10-30 minutos (depende del tamaño)

9. Revisar resultados del escaneo:

   Wordfence te mostrará:

   • Archivos modificados vs. versión oficial de WordPress.org
   • Archivos sospechosos (shells, backdoors)
   • URLs de spam inyectadas en database
   • Códigos maliciosos en archivos

10. Limpiar según Wordfence:

    Para CADA problema encontrado:

    • Core File Modified: Click "Restore Original File"
    • Suspicious File: Click "Delete File" (después de verificar que NO lo pusiste tú)
    • Malicious Code: Click "Repair File"

11. Limpiar base de datos:

    • Wordfence → Scan → Database
    • Elimina posts/pages que NO creaste (típico: "Canadian Pharmacy", "Buy Viagra")
    • Wordfence puede hacer esto automáticamente

Después de Limpieza:

12. Verificar que sitio funciona:

    • Abre en navegador incógnito
    • Navega por 5-10 páginas
    • Prueba login
    • Revisa que NO redirige a sitios raros

13. Escanear de nuevo con Wordfence:

    • Si escaneo muestra "No threats found" → ✓ Sitio limpio

14. Remover de listas negras:

    • Google Search Console → Security Issues → Request Review
    • Puede tomar 24-72 horas

Diferencia: Caído ≠ Hackeado

Sitio caído: Error 500, 503, timeout, no carga Sitio hackeado: Carga pero muestra contenido malicioso

Protocolo para Sitio Caído:

Minutos 0-5: Diagnosticar

1. Verificar si es problema tuyo o del hosting:

   • Ve a: https://downforeveryoneorjustme.com/tusitio.com
   • Si dice "It's just you" → Problema de tu internet
   • Si dice "It's not just you" → Sitio realmente está caído

2. Verificar en múltiples dispositivos:

   • Celular (datos móviles, NO wifi)
   • Computadora (otra red)

Minutos 5-15: Identificar Causa

3. Acceder a hosting cPanel/Plesk:

   • Revisa si dominio está activo
   • Revisa si hay espacio en disco (Disk Usage)
   • Revisa si base de datos está corriendo

4. Revisar logs de error:

   • cPanel → Error Log (últimas 50 líneas)
   • Busca mensajes como:
     • "Fatal error" → Error de PHP (plugin/theme roto)
     • "Database connection error" → Base de datos caída
     • "Max execution time exceeded" → Script muy pesado

Minutos 15-30: Soluciones Comunes

Error 500 (Internal Server Error):

• Causa típica: Plugin o theme con error
• Solución:
  1. FTP → Renombra carpeta /wp-content/plugins/ a /wp-content/plugins-disabled/
  2. Si sitio vuelve → Era un plugin. Renombra carpetas una por una para encontrar culpable
  3. Borra o actualiza plugin problemático

Error de Conexión a Base de Datos:

• Causa: Base de datos caída o credenciales mal en wp-config.php
• Solución:
  1. cPanel → phpMyAdmin → Verifica que base de datos existe
  2. FTP → Descarga wp-config.php
  3. Verifica que DB_NAME, DB_USER, DB_PASSWORD, DB_HOST son correctos
  4. Si cambiaste algo, sube archivo y prueba

Timeout / No Responde:

• Causa: Tráfico alto (ataque DDoS) o hosting saturado
• Solución:
  1. Contacta hosting (pide aumentar recursos temporalmente)
  2. Si es ataque: Activa Cloudflare "Under Attack Mode" (IP grises en vez de naranjas)

Error 503 (Service Unavailable):

• Causa: Mantenimiento de hosting o recursos agotados
• Solución:
  1. Contacta hosting
  2. Si hosting dice "todo normal" → Desactiva plugins como antes

Documento para Imprimir y Tener a Mano:

Crea un documento (Google Doc, Word, Notion) con esta información:

PLAN DE RESPUESTA - [Tu Sitio]

INFORMACIÓN BÁSICA:

• Dominio: https://tusitio.com
• Hosting: [Nombre del Hosting]
• Plan de Hosting: [Básico/Premium/VPS]

CONTACTOS DE EMERGENCIA:

Hosting Soporte:

• Teléfono: [+XX XXX XXX XXXX]
• Email: support@hosting.com
• Chat: [URL del live chat]
• Cuenta #: [Tu número de cuenta]

Desarrollador WordPress (si tienes):

• Nombre: [Nombre completo]
• Teléfono: [+XX XXX XXX XXXX]
• Email: [email]
• Tarifa emergencia: $[XXX]/hora

Proveedor de Email (si usas email corporativo):

• Proveedor: [Google Workspace / Microsoft 365 / otro]
• Soporte: [teléfono/email]

CREDENCIALES CRÍTICAS:

⚠️ GUARDAR EN LUGAR SEGURO (NO en el servidor)

Hosting cPanel/Plesk:

• URL: https://tusitio.com:2083
• Usuario: [usuario]
• Contraseña: [Guardada en 1Password/LastPass]

WordPress Admin:

• URL: https://tusitio.com/wp-admin
• Usuario principal: [usuario]
• Contraseña: [Guardada en 1Password/LastPass]

Base de Datos MySQL:

• Host: localhost (o IP si es remota)
• Database: [nombre_db]
• Usuario: [usuario_db]
• Contraseña: [Guardada en password manager]

FTP/SFTP:

• Host: ftp.tusitio.com
• Puerto: 21 (FTP) / 22 (SFTP)
• Usuario: [usuario]
• Contraseña: [Guardada en password manager]

BACKUPS:

• Ubicación: Google Drive / Dropbox / [otro]
• Carpeta: /Backups/[TuSitio]
• Último backup: [Fecha del más reciente]
• Frecuencia: Diario / Semanal

HERRAMIENTAS INSTALADAS:

• ✓ UpdraftPlus (backups)
• ✓ Wordfence (seguridad)
• ✓ Cloudflare (firewall)
• ✓ WP 2FA (autenticación)
• ✓ Uptime Robot (monitoreo)

PLUGINS CRÍTICOS (NO DESACTIVAR):

• [Plugin 1 necesario para funcionamiento]
• [Plugin 2 para checkout/pagos]

ACCIONES INMEDIATAS EN EMERGENCIA:

1. Respirar. No entrar en pánico.
2. Llamar a hosting (teléfono arriba)
3. Seguir protocolo según tipo de emergencia:
   • Hackeado → Ver "Paso 1" en Lección 7
   • Caído → Ver "Paso 2" en Lección 7
4. Si no sabes qué hacer: Llamar desarrollador

ÚLTIMA ACTUALIZACIÓN: [Fecha de hoy]

💡 TIP: Imprime este documento y guárdalo FUERA de tu computadora (en archivero o carpeta física). Si tu computadora falla, seguirás teniendo acceso.

Errores Comunes que Empeoran Todo:

❌ NO borres todo y reinstales WordPress sin intentar restaurar backup primero

• Por qué: Perderás TODOS los posts/páginas si no tienes backup

❌ NO ignores las alertas de Wordfence/Uptime Robot pensando "seguro es falsa alarma"

• Por qué: El 90% de las veces NO son falsas alarmas

❌ NO uses plugins de "seguridad" desconocidos que prometen "limpiar en 1 click"

• Por qué: Algunos son malware disfrazado

❌ NO pagues "expertos" en Fiverr que cobran $5 por "limpiar sitio hackeado"

• Por qué: Muchos solo desactivan síntomas, NO eliminan backdoors

❌ NO ignores a Google Search Console si dice "Sitio comprometido"

• Por qué: Te desindexarán en 7 días si no solucionas

❌ NO restaures backup sin cambiar contraseñas primero

• Por qué: Si hacker tiene tu contraseña, volverá a entrar inmediatamente

Hazlo Tú (con este curso):

• Sitio caído por plugin roto ✓
• Backup y restauración ✓
• Configuración de seguridad básica ✓
• Monitoreo y alertas ✓

Llama a Profesional SI:

• ⚠️ Hack muy complejo (múltiples backdoors que vuelven a aparecer)
• ⚠️ Base de datos completamente corrupta
• ⚠️ Hosting dice "tu sitio está enviando spam masivo"
• ⚠️ Google te desindexó completamente
• ⚠️ No tienes backup Y sitio fue borrado
• ⚠️ Ataque DDoS sostenido (>1 día)

Servicios de Emergencia Recomendados:

Opción 1: Sucuri (Premium pero excelentes)

• https://sucuri.net
• Servicio: Limpieza de malware + Firewall
• Costo: $199-$299/año (incluye limpiezas ilimitadas)

Opción 2: Wordfence Premium

• https://www.wordfence.com/products/
• Servicio: Limpieza asistida + soporte prioritario
• Costo: $119-$490/año según plan

Opción 3: ChingueCode (🚀 Servicio Local)

• https://chinguecode.cl/servicios/ciberseguridad
• Servicio: Limpieza + Auditoría completa + Hardening
• Costo: Consultar (soporte en español, atención personalizada)