Entrás a tu sitio y te redirige a una página de apuestas, Google muestra el cartel de «este sitio puede estar en peligro» o tu hosting te avisa que hay archivos sospechosos. Si te suena, es muy probable que tu WordPress haya sido hackeado. Pasa más seguido de lo que se piensa, sobre todo en sitios que llevan meses sin actualizarse. La buena noticia: casi siempre se puede limpiar y recuperar.

Señales de que te hackearon

Las más comunes son redirecciones raras al abrir el sitio, usuarios administradores que no creaste, páginas o entradas con contenido en otros idiomas (spam farmacéutico o de casinos), mails de alerta de plugins de seguridad como Wordfence, un pico inesperado de consumo de recursos en el hosting y avisos de Google Search Console sobre contenido hackeado.

Causas posibles

Plugins o temas desactualizados con vulnerabilidades conocidas, temas «nulled» (pagos descargados gratis, que suelen traer malware), contraseñas débiles o repetidas, usuarios sin doble factor de autenticación y hostings sin aislamiento entre cuentas. Rara vez es un ataque dirigido: casi siempre son bots que recorren internet buscando versiones vulnerables.

Solución paso a paso

Hacé un backup del estado actual (archivos y base de datos), aunque esté infectado. Te sirve como evidencia y para no perder contenido.
Poné el sitio en mantenimiento o bloqueá el acceso mientras trabajás, para no exponer a tus visitantes.
Cambiá todas las contraseñas: panel del hosting, FTP/SFTP, base de datos (y actualizá wp-config.php) y todos los usuarios de WordPress. Revisá y eliminá administradores desconocidos.
Escaneá con un plugin de seguridad (Wordfence, Sucuri o similar) para detectar archivos modificados y código malicioso.
Reinstalá el núcleo de WordPress desde Escritorio > Actualizaciones, y reinstalá plugins y temas desde fuentes oficiales. Borrá los que no uses.
Revisá la carpeta wp-content/uploads: no debería haber archivos .php ahí. Buscá también archivos con nombres extraños y fechas de modificación recientes.
Regenerá las claves de seguridad (salts) en wp-config.php para cerrar todas las sesiones abiertas.
Pedí revisión a Google desde Search Console si te marcó el sitio como inseguro.
Prevení: actualizaciones al día, backups automáticos, doble factor, firewall y contraseñas únicas.

Si el sitio es tu vidriera o tu canal de ventas, cada hora caído cuesta. Si preferís que lo resolvamos nosotros, en HostalCubo ofrecemos limpieza de malware, hosting administrado con backups diarios y soporte de mantenimiento para que no vuelva a pasar.

Fuentes: documentación oficial de WordPress sobre seguridad y buenas prácticas generales del rubro.