Tu web no es «demasiado pequeña» para que la hackeen (es justo lo contrario)
Cada semana nos llega el mismo mensaje a la agencia: «He buscado mi negocio en Google y aparecen resultados raros en chino o japonés vendiendo relojes falsos». O peor: «He entrado a mi web y me redirige a una tienda que no es la mía».
No es mala suerte. Es una tendencia, y va a más.
Trabajamos a diario con tiendas online, pymes y ecommerce, y estamos viendo cómo el hackeo de webs pequeñas ha dejado de ser algo anecdótico para convertirse en un riesgo real de negocio. La buena noticia es que la inmensa mayoría de estos ataques se previenen con medidas sencillas. En este artículo te contamos qué está pasando, qué le ocurre exactamente a tu web cuando la comprometen, y te dejamos un checklist práctico de 10 puntos —5 imprescindibles y 5 avanzados— para blindar tu WordPress y tu WooCommerce.
El hackeo de pymes y tiendas online se ha disparado en España
Los datos oficiales no dejan lugar a dudas. Según el balance de INCIBE (Instituto Nacional de Ciberseguridad), en 2025 se gestionaron 122.223 incidentes de ciberseguridad en España, un 26 % más que el año anterior, marcando un nuevo récord. Y el dato que más nos importa a quienes trabajamos con pymes: alrededor del 60 % de esos incidentes afectaron a pequeñas y medianas empresas.
El problema es que la cifra real es todavía mayor. Se estima que por cada incidente reportado hay entre 3 y 5 que nunca se notifican, precisamente porque muchas pymes no saben que tienen la obligación de hacerlo o temen el daño reputacional. Es decir: la mayoría de los ataques a negocios pequeños ni siquiera aparecen en las estadísticas.
¿Por qué las pymes y las tiendas online se han convertido en el objetivo favorito? Por una razón puramente matemática:
- Son muchísimas. Las pymes representan más del 99 % del tejido empresarial español.
- Suelen estar menos protegidas que una gran corporación, pero manejan datos igual de valiosos (datos de clientes, medios de pago, credenciales).
- Los ataques están automatizados. El atacante no elige tu web a mano: lanza bots que rastrean internet 24/7 buscando cualquier puerta abierta. Le da igual que vendas 10 o 10.000 pedidos al mes.
Y el coste de un incidente para un negocio pequeño puede ser demoledor: entre la pérdida de ventas por el tiempo de inactividad, la caída de posicionamiento en Google, el daño reputacional y las posibles sanciones, hablamos de cifras que muchas pymes no pueden asumir.
Qué le pasa realmente a tu web cuando la «sustituyen»
Cuando alguien dice «me han cambiado la web por otra», normalmente está sufriendo una de estas variantes, todas cada vez más frecuentes:
1. Redirección maliciosa. Tu dominio empieza a enviar a tus visitantes a otra web: una tienda china de dudosa reputación, contenido para adultos o una pasarela fraudulenta. Tú a veces ni lo ves desde tu ordenador, pero tus clientes sí.
2. El «hackeo invisible» (cloaking / spam SEO). Este es el más peligroso porque no lo detectas. El código malicioso muestra tu web normal a los humanos, pero a Google le enseña miles de páginas de spam (los famosos resultados en japonés vendiendo relojes, bolsos falsos o fármacos sin receta). Cuando te das cuenta, ya llevas semanas o meses con el problema y tu posicionamiento se ha desplomado. Recuperar la autoridad del dominio después cuesta meses.
3. Robo de datos de pago en WooCommerce. Si tienes tienda, un script inyectado en el proceso de compra puede ir copiando los datos de tarjeta de tus clientes mientras los teclean. Además del problema económico y de confianza, esto es una brecha de datos personales que probablemente tengas que notificar a la Agencia Española de Protección de Datos en un plazo de 72 horas.
En todos los casos, el patrón es el mismo: la web sigue «funcionando» aparentemente, mientras por detrás trabaja para otros.
Por dónde entran: casi siempre, por la puerta de acceso
Aquí está la clave, y por eso este artículo se centra en proteger el acceso. La mayoría de estos hackeos no son obra de un genio informático atacándote a ti personalmente. Entran por dos vías automatizadas:
- Ataques de fuerza bruta: bots que prueban miles de combinaciones de usuario y contraseña por minuto contra tu página de login (
wp-login.php) hasta acertar. - Vulnerabilidades de plugins desactualizados: según Patchstack, en 2025 se registraron 11.334 vulnerabilidades en el ecosistema WordPress, y el 91 % estaban en plugins, no en el núcleo. El dato que asusta: el tiempo medio desde que se publica una vulnerabilidad hasta que los bots la explotan es de apenas 5 horas.
La conclusión es clara: si cierras bien la puerta de acceso y mantienes todo actualizado, dejas fuera a la enorme mayoría de los atacantes. Vamos a ello.
Checklist esencial: los 5 imprescindibles
Si solo vas a hacer cinco cosas, que sean estas.
1. Activa la verificación en dos pasos (2FA)
Aunque un atacante robe o adivine tu contraseña, sin el segundo factor (un código temporal en tu móvil) no entra. Es la medida con mejor relación esfuerzo/protección que existe. Actívala obligatoriamente para todos los administradores. Plugins recomendados: Wordfence Login Security, WP 2FA o miniOrange.
2. Elimina el usuario «admin» y los nombres predecibles
Lo primero que prueban los bots son usuarios como admin, administrator o el propio nombre de tu marca. Crea un administrador nuevo con un nombre no evidente, borra el antiguo y asegúrate de que el nombre público que firma tus artículos sea distinto del nombre con el que inicias sesión.
3. No dependas de un solo administrador: crea 2 o 3
Da de alta 2 o 3 cuentas de administrador, cada una con un correo electrónico al que tengas acceso real. Si una cuenta se compromete, se bloquea o pierdes el acceso a su email, siempre tendrás otra puerta para recuperar el control de tu web sin dramas. Eso sí: pocas cuentas, todas con contraseña fuerte y 2FA activado. La redundancia suma seguridad; el exceso de administradores, no.
4. Limita los intentos de acceso
Configura que, tras varios intentos fallidos, se bloquee automáticamente la IP durante un tiempo. Esta única medida frena en seco la mayoría de los ataques de fuerza bruta, porque el bot ya no puede probar miles de contraseñas seguidas. Plugins: Limit Login Attempts Reloaded, Loginizer o el propio Wordfence.
5. Cambia la URL de acceso
Por defecto, todo el mundo sabe que tu login está en /wp-admin o wp-login.php. Si mueves esa puerta a una ruta personalizada (con WPS Hide Login, por ejemplo), los bots automáticos no encuentran dónde atacar. Es de las medidas más simples y efectivas.
Checklist avanzado: 5 medidas adicionales
Cuando ya tienes lo básico, estas cinco elevan tu protección a nivel profesional.
6. Contraseñas fuertes y únicas + gestor de contraseñas
Nada de reutilizar contraseñas ni de «MiEmpresa2024». Usa contraseñas largas y aleatorias (mínimo 16 caracteres), distintas para cada servicio, y guárdalas en un gestor como Bitwarden o 1Password. Así se acabó el «no me acuerdo» y las contraseñas apuntadas en un post-it.
7. Actualiza core, plugins, temas… y PHP
Recuerda: el 91 % de las vulnerabilidades están en los plugins, y los bots tardan horas en explotarlas. Mantén todo actualizado cuanto antes y elimina lo que no uses: cada plugin o tema inactivo sigue siendo una puerta potencial. Actualiza también la versión de PHP de tu servidor.
8. Cierra las puertas que no necesitas
Hay funciones de WordPress que casi nadie usa pero que todos los escáneres automáticos prueban. Desactiva xmlrpc.php si no lo necesitas (es una vía clásica de ataques de fuerza bruta amplificados), deshabilita el editor de archivos del panel, la enumeración de usuarios por la API y el listado de directorios.
9. Instala un firewall (WAF) y protege tu origen con Cloudflare
Un firewall de aplicación web (Wordfence, Sucuri) filtra el tráfico malicioso antes de que llegue a tu login. No sustituye a las actualizaciones, pero compra tiempo: bloquea la explotación masiva durante esas horas críticas hasta que aplicas el parche. Cloudflare, además, oculta la IP real de tu servidor y acelera la carga de la web.
10. Copias de seguridad automáticas + monitorización de integridad
La red de seguridad definitiva. Con un backup diario guardado fuera de tu servidor (UpdraftPlus o el de tu hosting), si a pesar de todo entran, restauras la web en minutos en lugar de días. Añade un escaneo de integridad de archivos para que te avise si algo cambia sin tu permiso, y así detectas la infección antes de que la detecte Google.
¿Y si ya me han hackeado?
Que no cunda el pánico, pero actúa rápido. Los pasos básicos son: pon la web en mantenimiento, cambia todas las contraseñas (WordPress, hosting, FTP, base de datos), revisa los usuarios administradores en busca de cuentas que no reconozcas, analiza los archivos con un escáner como Wordfence, restaura una copia de seguridad limpia y anterior al incidente, y revisa Google Search Console para pedir la reindexación una vez limpio. Si hay datos de clientes o pagos de por medio, valora la notificación a la AEPD. Y si el compromiso es profundo, déjalo en manos de profesionales: limpiar mal una infección suele empeorar el problema.
Un apunte importante sobre las copias de seguridad: todo hosting profesional para empresas debería incluir backups automáticos, y los planes de las principales compañías de alojamiento suelen facilitarlos de serie (copias diarias, semanales y la posibilidad de restaurar con un clic). Si es tu caso, recuperar una versión anterior de tu web es cuestión de minutos. Pero ojo con un error muy común: no restaures a ciegas la copia más reciente. Muchos hackeos permanecen latentes días o semanas, así que esa «última copia» puede estar ya infectada. Antes de dar la restauración por buena, pásale un chequeo de seguridad a esa copia (un análisis con Wordfence, Sucuri o similar) para confirmar que está limpia; si detectas rastros del compromiso, retrocede a una copia anterior hasta encontrar una realmente sana.
En Ádraba te ayudamos a dormir tranquilo
En Ádraba aplicamos este mismo checklist —y bastantes capas más— a cada proyecto web que entregamos y mantenemos. Si tienes una tienda online o una web de negocio y no estás seguro de estar protegido, podemos hacerte una auditoría de seguridad y proponerte un plan de mantenimiento que mantenga tu web actualizada, monitorizada y con copias de seguridad al día.
Porque en internet no existe la web «demasiado pequeña para que la ataquen». Solo existen las webs protegidas y las que todavía no lo están.
