Un buzón comprometido puede deshacer una recuperación WordPress una y otra vez porque controla resets, recuperación del hosting y avisos del dominio. Si el acceso reaparece después de cambiar contraseñas, revisa la cadena de identidad alrededor de la web en vez de asumir que el malware simplemente “volvió”.
Protege el buzón antes de usarlo para recuperar
Restablece la cuenta desde un dispositivo limpio, revoca sesiones/app passwords y revisa reenvíos, delegados, métodos de recuperación y apps OAuth.
Mapea todos los servicios recuperables con ese correo
Lista admins WordPress, hosting, registrador/DNS, CDN, analítica/GTM, pagos y backups. Cambia recuperación o credenciales en secuencia controlada.
Revisa resets históricos
Consulta logs de seguridad, mensajes de reset, reenvíos, inicios sospechosos y cambios de recuperación alrededor de cada toma de control.
Elimina persistencia WordPress por separado
Correo comprometido y backdoor pueden coexistir. Analiza/reconstruye la web como línea de trabajo propia.
Protege cuentas críticas con MFA/passkeys
Prefiere métodos resistentes al phishing y guarda códigos de recuperación fuera del buzón protegido.
Demuestra que la cadena está cortada
Prueba sesiones/app passwords antiguas, vigila nuevos resets y confirma que el estado antiguo del buzón ya no permite recuperar acceso.
Consulta recuperación cuando cambiaron el correo administrador y después rota el resto de credenciales.
Audita persistencia del buzón, no solo la contraseña
Reglas de reenvío, delegados, permisos OAuth, app passwords y métodos de recuperación pueden sobrevivir a un cambio de contraseña. Elimina entradas desconocidas y compara la cronología del correo con cada toma de control de WordPress antes de darlo por recuperado.