Cuando una web ha sido comprometida, restaurar una copia sin investigar el acceso puede reintroducir el problema. La respuesta debe separar contención, alcance, limpieza y recuperación.
Qué problema resuelve este concepto
La respuesta ante una intrusión debe contener el incidente antes de intentar borrar sus síntomas.
Contener sin perder evidencias
Limita el acceso afectado, cambia credenciales desde un entorno confiable y conserva registros, fechas, usuarios modificados y una copia del estado comprometido cuando sea necesario.
Determinar hasta dónde llegó el incidente
Revisa cuentas administrativas, plugins, temas, tareas programadas, archivos nuevos y conexiones externas. Comprueba si se alcanzaron base de datos, correo o panel. Un cambio visible en la portada puede ser solo una parte.
Reconstruir y validar
Compara el código con una versión confiable, elimina componentes no necesarios y actualiza antes de publicar. Valida una copia anterior antes de restaurarla y monitoriza los primeros accesos. HTTPS, un plugin o una copia ayudan, pero ninguno corrige por sí solo la causa del compromiso.
Comunicación y vuelta a producción
La recuperación necesita una persona que coordine decisiones, un registro de tiempos y criterios para volver a publicar. Informa de lo que se sabe y separa hechos de hipótesis; no declares que el sitio está limpio solo porque la portada carga. Tras publicar, observa autenticaciones, cambios de archivos, errores y tráfico anómalo. El cierre requiere documentar la causa probable y las medidas que evitan repetirla.
Después de la limpieza
Comprueba usuarios, sesiones, tareas programadas, permisos, extensiones y conexiones de salida. Cambia secretos que pudieron quedar en archivos o registros y revisa los destinos de copias. Una monitorización breve después de publicar puede revelar reinfecciones, pero no sustituye una revisión de la causa. El informe debe incluir decisiones, evidencias y acciones todavía pendientes.
La restauración debe tener un punto de decisión claro: qué evidencia se conserva, qué versión se considera confiable y quién autoriza la publicación. Sin ese criterio, el equipo puede alternar entre copias y perder la secuencia de hechos. La documentación facilita aprender del incidente.
Si existen obligaciones de notificación o datos personales afectados, separa la investigación técnica de las decisiones jurídicas y de comunicación. El informe técnico debe aportar hechos verificables, no atribuciones especulativas sobre la persona responsable.
Priorizar la recuperación
La recuperación debe establecer qué servicio necesita volver primero y qué evidencias deben conservarse antes de limpiar. Separa el servidor o la cuenta afectada, identifica cambios en usuarios, archivos, tareas y base de datos, y registra las decisiones. Restaurar sin cambiar credenciales ni corregir la vía de entrada solo desplaza el incidente.
Tras reconstruir, actualiza componentes, revoca sesiones y revisa integraciones externas. Publica de nuevo cuando puedas comprobar el código, los permisos, los formularios y los registros. Durante las primeras horas, una monitorización más atenta ayuda a detectar que el atacante conserva acceso o que la copia elegida también estaba contaminada.