Los primeros 15 minutos tras confirmar un compromiso de WordPress sirven para limitar daño nuevo y conservar evidencia suficiente para entender la vía de acceso. No empieces borrando todo lo sospechoso: aísla funciones de riesgo, registra el estado actual y protege las cuentas que podrían devolver el acceso al atacante.
Decide qué debe parar ya
Si checkout, login, descargas o redirecciones pueden exponer a visitantes, limita esa función con mantenimiento o una regla de perímetro y conserva copia de evidencia. No destruyas logs ni timestamps al contener.
Registra una cronología mínima
Anota hora de detección, síntoma, últimos despliegues, admins desconocidos, archivos modificados y alertas del hosting. Cinco líneas evitan horas de suposiciones después.
Protege primero el plano de control
Rota panel de hosting, registrador, correo y accesos WordPress privilegiados desde un dispositivo limpio. Cambiar solo WordPress no basta si correo o hosting siguen comprometidos.
Conserva la versión actual antes de limpiar
Guarda snapshot de archivos/base o backup del proveedor y los logs relevantes. Así puedes reparar la copia de trabajo sin perder el estado original.
Delimita el alcance
Comprueba si afecta a una web, toda la cuenta de hosting, varios dominios, correo, DNS o ecommerce. El alcance decide si un restore simple es fiable.
Define el siguiente estado seguro
El primer hito no es “scanner limpio”: es acceso controlado, riesgo al visitante contenido, evidencia conservada y plan para eliminar la causa antes de reabrir.
Para recuperar acceso, usa la recuperación segura del admin y después la rotación de credenciales.