# Sitio web hackeado, ¿qué hacer? Ayuda de emergencia remota

> ¿Sitio web hackeado? Aseguramos los rastros, contenemos el ataque, limpiamos el servidor y documentamos el incidente. Ayuda de emergencia remota para empresas.

Fuente: https://phpsos.de/es/leistungen/website-gehackt-notfallhilfe/  
Actualizado: 25/10/2026  
Proveedor: PHP SOS, Ayuda de emergencia para PHP y seguridad de servidores. Ayuda inmediata por WhatsApp: https://wa.me/491736494914?text=Hola%20PHP%20SOS%2C%20necesitamos%20ayuda%20con%20nuestro%20servidor%20PHP.%20Empresa%3A%20%E2%80%A6%20Sitio%20web%3A%20%E2%80%A6

**En resumen:** Si su sitio web ha sido hackeado, la pregunta más importante es «¿qué hacer sin destruir los rastros?». Nos encargamos de forma remota de la contención, aseguramos registros y archivos, eliminamos el código malicioso, cerramos la puerta de entrada y lo documentamos todo. Usted conserva las decisiones; nosotros aportamos los hechos técnicos.

## Sitio web hackeado: ¿qué hacer en la primera hora?

Los primeros pasos deciden si el incidente podrá esclarecerse bien más adelante. La calma es más importante que la rapidez a cualquier precio. Estos puntos puede hacerlos usted mismo de inmediato:

- **No borrar nada:** no eliminar archivos, no reinstalar sobre el estado antiguo y no restaurar una copia de seguridad antes de haber asegurado los rastros.
- **Aislar:** poner el sitio web en modo de mantenimiento o desconectarlo temporalmente de la red si los visitantes corren peligro o pueden estar filtrándose datos.
- **Conservar los registros:** pedir a su proveedor de hosting que no sobrescriba los registros de acceso y de errores. En el caso de PHP2Shell, la prensa especializada aconseja conservar los registros del servidor desde el 20/10/2026.
- **Anotar los accesos:** ¿quién tiene accesos de administración, FTP, SSH y de panel? Cambie las contraseñas solo tras acordarlo, y desde un dispositivo limpio.
- **Informar a los implicados:** la dirección, los delegados de protección de datos y, si existe una póliza, la aseguradora.

> **Actuar de inmediato:**
> Parta de la base de que un atacante con acceso al servidor web también ha podido leer credenciales de los archivos de configuración. Por eso, los accesos a bases de datos, correo y API deben incluirse en la lista de secretos que hay que cambiar.

Los indicios que apuntan a un compromiso se describen en la página [¿Ya estoy comprometido?](https://phpsos.de/es/php2shell/bin-ich-gehackt-anzeichen/).

## ¿Cómo ayuda PHP SOS en concreto?

1. **Panorama de la situación:** aclaramos con usted qué se ha observado, qué sistemas podrían estar afectados y qué datos hay en ellos. De ahí surge una breve valoración con los siguientes pasos.
2. **Asegurar y contener:** aseguramos archivos, base de datos y registros antes de modificar nada. Después contenemos el ataque, por ejemplo bloqueando accesos sospechosos, desactivando funciones infectadas o aislando temporalmente el sistema.
3. **Encontrar y cerrar la puerta de entrada:** revisamos la versión de PHP y el estado de los parches, el CMS, las extensiones y los accesos. Si la entrada por PHP2Shell resulta verosímil, aplicamos el parche y reiniciamos todos los procesos de PHP.
4. **Limpiar y restaurar:** se eliminan webshells, puertas traseras y archivos manipulados, o se reconstruye el estado a partir de fuentes de confianza. Los detalles figuran en [Eliminar malware y webshells](https://phpsos.de/es/leistungen/malware-entfernung/).
5. **Cierre e informe:** recibirá una documentación del incidente y recomendaciones de refuerzo. Si se necesita un esclarecimiento válido ante los tribunales, incorporamos socios especializados en análisis forense.

## Lo que recibe de nosotros

- una cronología del incidente, en la medida en que pueda demostrarse con los rastros
- una lista de los componentes maliciosos encontrados y eliminados
- la descripción de la probable puerta de entrada, claramente separada en demostrado, probable y desconocido
- una lista de todos los accesos y secretos modificados
- recomendaciones sobre qué debe protegerse de forma duradera

El informe ayuda en las conversaciones con los delegados de protección de datos, la aseguradora y, en su caso, la policía. Para la valoración jurídica, por ejemplo la [obligación de notificación del RGPD en 72 horas](https://phpsos.de/es/compliance/dsgvo-meldepflicht-72-stunden/), no sustituye el asesoramiento de profesionales.

## Lo que necesitamos de usted

- **Accesos:** al servidor (SSH o panel), al backend del CMS y a la base de datos; alternativamente, el permiso para hablar directamente con su proveedor de hosting
- **Persona de contacto:** una persona localizable con capacidad de decisión para desconectar, reiniciar y cambiar contraseñas
- **Información:** desde cuándo llama la atención el problema, qué cambios ha habido recientemente y quién tenía acceso
- **Copias de seguridad:** dónde están las copias y qué antigüedad tienen
- **Contacto con proveedores de servicios:** la agencia, el desarrollador o el proveedor de hosting que conocen el sistema

## Lo que no prometemos

No podemos prometer que todo ataque sea reconstruible por completo. Si faltan registros o ya se han sobrescrito, quedan lagunas, y las señalamos con franqueza. Tampoco prometemos que un sitio limpiado vaya a ser seguro para siempre. Trabajamos en el incidente hasta que esté cerrado y documentado, y le decimos qué queda por hacer después.

No prestamos asesoramiento jurídico. Las cuestiones sobre obligaciones de notificación, responsabilidad o cobertura del seguro corresponden a los delegados de protección de datos, al abogado y a la aseguradora. Para abordar de forma estructurada lo que sigue al incidente le ayuda nuestra [lista de comprobación tras un hackeo](https://phpsos.de/es/ratgeber/checkliste-nach-dem-hack/).

## Cuándo hace falta una gestión más amplia del incidente

Algunos incidentes van más allá de un solo sitio web: varios servidores, datos de clientes filtrados, extorsión o un atacante que se desplaza por la red. Entonces pasamos a una [respuesta a incidentes](https://phpsos.de/es/leistungen/incident-response/) estructurada, con roles fijos, reuniones de situación y comunicación coordinada. Hablaremos de la transición con usted en cuanto se perfile.

También tras un incidente menor conviene mirar hacia adelante. Un sitio web limpiado, sin refuerzo, actualizaciones ni vigilancia, sigue siendo un objetivo evidente, porque los atacantes suelen volver a revisar a las víctimas conocidas. Por eso es aconsejable, al cerrar el caso, definir quién se encargará en adelante de las actualizaciones, las copias de seguridad y el control. A menudo el incidente revela justo ahí una laguna: nadie se sentía responsable, o los accesos estaban en manos de un proveedor que ya no era localizable. Aclaramos estas cuestiones con usted en la reunión de cierre, para que del incidente salga una mejor forma de operar.


## Preguntas frecuentes

**¿Debo borrar de inmediato el sitio web hackeado y volver a montarlo?**  
Mejor no precipitarse. Si lo borra todo, destruye los rastros que muestran cómo entró el atacante y si se han filtrado datos. Es preferible desconectar el sitio de la red o aislarlo y asegurarlo primero.

**¿Cómo sé que mi sitio web ha sido hackeado?**  
Las señales típicas son redirecciones desconocidas, páginas de spam en el índice de Google, cuentas de administrador desconocidas, archivos PHP nuevos o avisos del navegador, del proveedor de hosting o de Google. Un aumento acusado de la carga del servidor o un tráfico saliente llamativo también pueden ser indicios.

**¿Tengo que notificar un ciberataque?**  
Si pudieran verse afectados datos personales, puede existir la obligación de notificarlo a la autoridad de control en un plazo de 72 horas. Si esto se aplica en su caso, aclárelo con su delegado de protección de datos o con un abogado.

**¿Sirve la ayuda de emergencia también si el servidor está en un proveedor de hosting?**  
Sí. Trabajamos con el acceso que usted tenga y nos coordinamos con su proveedor de hosting cuando haga falta. Lo que podamos revisar depende de los permisos que pueda darnos.

## Fuentes

- [BSI: Oficina Federal alemana para la Seguridad de la Información](https://www.bsi.bund.de/)
- [RGPD art. 33: notificación a la autoridad de control](https://dsgvo-gesetz.de/art-33-dsgvo/)
- [Ayuda de Google Search Console](https://support.google.com/webmasters/)
- [Policía alemana: puntos de contacto centrales contra la ciberdelincuencia](https://www.polizei.de/)