Mi WordPress redirige a otra página: cómo eliminar el hackeo de redirección

Escribes tu dominio, o alguien llega desde Google, y en lugar de tu web aparece una página de apuestas, de farmacia o de spam en otro idioma. Es uno de los hackeos más frecuentes de WordPress: el hackeo de redirección (o redirect hack). La buena noticia es que tiene solución. La mala es que está diseñado para esconderse, así que hay que saber dónde buscar.

Qué es un hackeo de redirección

Un atacante ha inyectado código malicioso en tu WordPress que intercepta a los visitantes y los envía a otra web con la que gana dinero (spam, estafas, malware). No borra tu web: la secuestra. Y lo hace de forma tan sigilosa que puedes tardar días en enterarte.

Por qué a veces redirige y a veces no

Si a ti te carga bien pero tus clientes se quejan, no estás loco. El malware moderno de redirección es selectivo a propósito:

• Solo redirige a quien llega desde Google u otro buscador (comprueba el referer).
• Solo actúa en móviles, donde el usuario está más desprevenido.
• Redirige una sola vez por visitante (guarda una cookie), para dificultar el diagnóstico.
• Nunca redirige si detecta que has iniciado sesión como administrador.

Truco para reproducirlo: abre tu web en una ventana de incógnito desde el móvil buscándola en Google, sin haber iniciado sesión.

Dónde se esconde el código malicioso

Estos son los seis escondites habituales, por orden de frecuencia:

• .htaccess: reglas de redirección (RewriteRule) o código en base64 al principio o al final del archivo.
• Base de datos, tabla wp_options: los campos siteurl y home apuntando a otro dominio. Revísalos en phpMyAdmin.
• header.php y footer.php del tema: un bloque de JavaScript con document.location o window.location hacia una URL extraña.
• functions.php: funciones ofuscadas con eval(base64_decode(...)).
• JavaScript inyectado en la base de datos: dentro del contenido de posts o de wp_options.
• Plugins o temas falsos: el atacante instala un plugin de nombre inocente (a veces sin carpeta visible en el listado) que ejecuta la redirección.

Cómo eliminar la redirección paso a paso

1. Cambia todas las contraseñas primero (WordPress, FTP, base de datos y panel de hosting). Si el atacante conserva el acceso, volverá a inyectar el código en cuanto lo limpies.

2. Revisa y limpia el .htaccess. Descárgalo por FTP, elimina cualquier regla o cadena codificada que no reconozcas y deja solo el bloque estándar de WordPress.

3. Comprueba siteurl y home en la tabla wp_options. Deben apuntar a tu dominio y a nada más.

4. Reemplaza los archivos del tema (header.php, footer.php, functions.php) por copias limpias, o reinstala el tema desde una fuente oficial.

5. Reinstala el core de WordPress sobreescribiendo los archivos con una descarga limpia de wordpress.org, y borra los plugins que no reconozcas.

6. Busca el patrón en toda la instalación: con acceso SSH, comandos como grep -r "base64_decode" . o grep -r "eval(" . ayudan a localizar los restos.

Por qué vuelve la redirección después de limpiarla

Si limpias y a los pocos días vuelve, es casi seguro que queda un backdoor: un archivo oculto que da acceso permanente al atacante y reinyecta el código. Encontrar todos los backdoors es la parte más difícil de un rescate, porque suelen estar camuflados con nombres que imitan a archivos legítimos de WordPress.