Encontraron phishing alojado en mi sitio: qué significa y qué hacer
Recibió un correo de Google Search Console, un aviso de su hosting o un cliente le mandó una captura de la pantalla roja de "Sitio engañoso". Su sitio está alojando una página de phishing: un formulario falso que imita a un banco o a un servicio y que se usa para estafar a otras personas. Le explicamos qué significa, cómo llegó ahí y cómo sacarlo, paso a paso.
¿Prefiere que lo revisemos nosotros? Diagnóstico gratis, sin claves.
¿Consulta urgente? Escríbanos por WhatsApp al 095 283 123
Qué significa «phishing alojado en su sitio»
Su empresa no es la que hace el phishing: es la que le presta el dominio sin saberlo. El atacante entró a su sitio (casi siempre por un plugin desactualizado o una clave débil) y subió una carpeta con una página falsa, por ejemplo sudominio.com/wp-includes/js/banco/login.php. Después manda correos o SMS masivos con enlaces a esa dirección.
¿Por qué usar su sitio y no uno propio? Porque un dominio con años de antigüedad y buena reputación pasa los filtros de correo y no despierta sospechas. Cuando los reportes se acumulan, quien queda marcado como peligroso es usted.
Cómo se entera uno (y qué le pasa al sitio)
Pantalla roja de Chrome: «El sitio web al que vas a acceder es engañoso»
Google Safe Browsing marcó su dominio. Casi nadie la saltea.
Quitar el aviso de «Sitio engañoso»Correo de Google Search Console: «Problemas de seguridad detectados»
Con ejemplos de las URL afectadas.
Aviso o suspensión del hosting
Muchos hostings reciben las denuncias y suspenden la cuenta hasta que se limpie.
Denuncias de bancos o empresas
Las marcas imitadas tienen equipos que denuncian estas páginas al hosting y al registrador del dominio.
Correos rebotados
Su dominio entra en listas negras y sus propios correos dejan de llegar.
¿Quiere saber qué tiene abierto su sitio?
Lo revisamos desde afuera, sin claves y sin instalar nada. Si no encontramos nada relevante, se lo decimos igual.
Cómo encontrar la página de phishing
- 01
Empiece por Search Console
En «Seguridad y acciones manuales» → «Problemas de seguridad», Google muestra ejemplos de las direcciones que detectó. Ese es el punto de partida.
- 02
Busque carpetas y archivos que no reconoce
Las páginas falsas suelen esconderse en carpetas con nombres que parecen del sistema, dentro de
wp-content/uploads,wp-includeso carpetas sueltas en la raíz, con archivos.phpo.htmly a veces un.zipcon el «kit» completo. - 03
Mire las fechas de modificación
Los archivos agregados el mismo día que empezaron los avisos son los principales sospechosos.
- 04
Revise si hay algo más que la página
Casi nunca está sola: el atacante dejó una puerta trasera para volver, y a veces un script que manda correos masivos desde su servidor. → Cómo escanear WordPress en busca de malware
Cómo sacar el phishing y el aviso de Google
- 01
Haga una copia del estado actual
Antes de borrar nada, para tener la evidencia y poder volver atrás si algo sale mal.
- 02
Borre la página falsa y todo lo que dejaron
Los archivos de phishing, las puertas traseras, los usuarios administradores que nadie creó y las tareas programadas sospechosas.
- 03
Cierre la vía de entrada
Actualice WordPress, los plugins y los temas, borre los que no usa, cambie todas las claves (WordPress, hosting, FTP, base de datos) y active la segunda clave. Si no cierra la entrada, la página vuelve en días. → Actualizar WordPress sin romper el sitio
- 04
Verifique desde afuera
Confirme que las direcciones que marcó Google devuelven un error 404 y que no quedan otras.
- 05
Pida la revisión a Google
Desde Search Console, explicando qué encontró y qué corrigió. Las revisiones por phishing suelen resolverse en uno o dos días.
- 06
Revise las listas negras de correo
Si su dominio o la IP del servidor entraron en listas negras, hay que pedir la baja en cada una. → Seguridad del correo corporativo
Por qué no alcanza con borrar la carpeta
Es el error más común: se borra la página que marcó Google, se pide la revisión y a la semana aparece otra en otra carpeta. Pasa porque:
La puerta trasera sigue ahí
El atacante vuelve a subir el kit cuando quiere.
La vía de entrada sigue abierta
El mismo plugin vulnerable se puede volver a explotar.
Google rechaza la revisión
Si encuentra otra página falsa, y la siguiente revisión tarda más.
Por eso nuestra limpieza de sitio hackeado incluye la búsqueda de puertas traseras, el cierre de la vía de entrada y la gestión con Google y las listas negras, con garantía de 30 días.
Cómo evitar que vuelva a pasar
Actualizaciones al día
El 91 % de las fallas del ecosistema WordPress está en plugins.
Guía de seguridad en WordPressSegunda clave y menos administradores
Cómo proteger wp-adminSin plugins ni temas pirata
Plugins nulledSearch Console configurado y alguien que lea los avisos
Cuanto antes se entera, menos daño hace.
Vigilancia mensual
Seguridad WordPress mensual
Servicios relacionados
Preguntas frecuentes
¿Mi empresa es responsable del phishing que alojaba mi sitio?
Usted es la víctima del hackeo, pero su dominio fue el que se usó. Lo importante es actuar rápido: sacar la página, cerrar la entrada y pedir la revisión. Si hubo datos personales comprometidos, consulte con su asesor legal.
¿Cuánto tarda Google en sacar el aviso?
Una vez pedida la revisión con el sitio limpio, las revisiones por phishing suelen resolverse en uno o dos días.
¿Por qué a mí no me aparece la página de phishing?
Porque está en una dirección que usted nunca visita. Sus víctimas llegan por el enlace exacto que les mandaron por correo o SMS.
¿Tengo que avisar a alguien?
A Google, con el pedido de revisión. A su hosting, si lo pidió. Y si la página imitaba a un banco o empresa concretos, puede avisarles para que dejen de denunciar su dominio.
¿Esto afecta mi posicionamiento?
Mientras el aviso está activo, sí: la mayoría de los visitantes no entra y Google puede advertirlo en los resultados. Se recupera cuando se limpia y se levanta el aviso.
Más sobre phishing y correo
Qué es el phishing y cómo protege una empresa a su equipo
El phishing es un engaño: un mensaje que se hace pasar por alguien de confianza (un banco, un proveedor, el propio jefe)…
LeerFraude del CEO: la estafa por correo a la administración
"¿Estás en la oficina? Necesito que hagas una transferencia hoy, es confidencial. Después te explico." Un correo así, que parece del dueño…
LeerTipos de phishing: smishing, vishing, spear phishing y más
El phishing empezó como un correo masivo mal escrito que imitaba a un banco. Hoy llega por SMS, WhatsApp, llamadas, códigos QR…
Leer¿Su sitio tiene el aviso de "Sitio engañoso"?
Escríbanos hoy. Encontramos la página falsa, cerramos la entrada y gestionamos la revisión con Google.
¿Consulta urgente? WhatsApp 095 283 123