La mayoría de los ataques a WordPress no buscan robar tus datos, ni tu contenido, ni siquiera tu dinero. Buscan otra cosa que casi nadie sospecha: usar tu servidor como herramienta para atacar a otros, sin que tú te enteres.
Tu servidor, convertido en cómplice sin saberlo
Cuando un atacante consigue subir código malicioso a un WordPress vulnerable, lo habitual no es que «haga algo visible» de inmediato. Muchas veces el objetivo es exactamente lo contrario: pasar desapercibido el mayor tiempo posible, mientras usa tu servidor de fondo para tareas que nada tienen que ver contigo.
¿Para qué usan un WordPress hackeado si no roban nada tuyo?
- Enviar spam masivo: tu servidor pasa a formar parte de una red que envía millones de correos, usando tu reputación de dominio en vez de la suya.
- Minar criptomonedas: se instala software que usa la capacidad de procesamiento de tu servidor para generar beneficio para otra persona — tú pagas el hosting, ellos se quedan con lo generado.
- Alojar contenido ilegal o de phishing: tu dominio, que hasta ahora tenía buena reputación, empieza a servir páginas fraudulentas sin que lo notes a simple vista.
- Formar parte de un ataque a otro sitio: tu servidor se convierte en uno más de los miles que participan en un ataque coordinado contra un tercero — tú ni siquiera sabes que estás «participando».
Por qué esto explica ataques que no tienen sentido a primera vista
Si alguna vez te has preguntado por qué tu WordPress recibe intentos de acceso constantes aunque no tengas nada de valor evidente que robar — ninguna tienda online, ningún dato sensible — esta es la respuesta más frecuente. A un atacante automatizado le da igual que tu web sea un blog personal o una tienda: lo único que le importa es tener otro servidor más bajo su control.
Cómo notar que algo raro está pasando
- Tu hosting te avisa de un consumo de recursos (CPU, ancho de banda) muy por encima de lo normal, sin que hayas cambiado nada.
- Tu dominio empieza a aparecer en listas de spam o en avisos de navegadores, sin que tú hayas enviado ningún correo masivo.
- Aparecen archivos o carpetas que no reconoces, sobre todo dentro de
wp-content/uploads, una zona pensada solo para imágenes.
Preguntas frecuentes
¿Por qué alguien atacaría un blog pequeño sin nada de valor?
Precisamente porque no busca lo que hay en tu web — busca el propio servidor como herramienta. Un blog pequeño y una gran tienda online valen exactamente lo mismo para este tipo de ataque: un ordenador más conectado a internet.
¿Cómo sé si mi servidor está siendo usado así ahora mismo?
Un escaneo completo del sitio en busca de archivos maliciosos, combinado con revisar el consumo de recursos de tu hosting, es la forma más fiable de comprobarlo.
¿Esto afecta a mi posicionamiento en Google?
Sí, y de forma seria — si tu dominio empieza a asociarse con spam o contenido malicioso, Google puede penalizarlo aunque tú no tuvieras ni idea de lo que estaba pasando.