Intentas entrar en tu WordPress y la contraseña ya no funciona. O entras y, en Usuarios, aparece un administrador que nadie de tu equipo ha creado. En ambos casos, la explicación más probable es la misma: alguien más tiene acceso a tu web.
Por qué ocurre
- Te han cambiado la contraseña o han borrado tu usuario para dejarte fuera.
- Han creado un administrador oculto para volver a entrar cuando quieran. A veces se esconde de la lista de usuarios con un poco de código.
- Un plugin o tema vulnerable les ha dado acceso sin necesidad de contraseña.
- wp-login.php redirige a otra web, porque el código de acceso está modificado.
No siempre es un ataque: un plugin de seguridad puede bloquear tu IP tras varios intentos fallidos. Pero si además ves usuarios que no reconoces, cambios en el contenido o avisos de Google, trátalo como un hackeo.
Cómo recuperar el acceso
- Prueba el enlace «¿Has olvidado tu contraseña?». Si el email de tu usuario sigue siendo el tuyo, es lo más rápido.
- Si no llega el correo, puedes cambiar la contraseña desde la base de datos (phpMyAdmin, en el panel de tu hosting) o pedírselo al soporte del hosting.
- Revisa el email del administrador en Ajustes → Generales: los atacantes a veces lo cambian para recibir los avisos.
Una vez dentro: no te limites a borrar el usuario intruso
Borrar el administrador desconocido parece la solución, pero casi nunca es suficiente. Si alguien pudo crearlo, lo más habitual es que también haya dejado:
- Puertas traseras: archivos PHP escondidos que permiten volver a entrar sin usuario.
- Código que vuelve a crear el administrador cada cierto tiempo.
- Tareas programadas (cron) que reinstalan el malware.
Por eso, después de recuperar el acceso:
- Cambia todas las contraseñas: WordPress, hosting, FTP, base de datos y email.
- Regenera las claves de seguridad de
wp-config.php, que cierran todas las sesiones abiertas. - Busca y elimina las puertas traseras y averigua cómo entraron.
- Actualiza WordPress, plugins y temas, y elimina lo que no uses.
Si quieres saber si hay más señales de infección, analiza tu web gratis. Y si prefieres que lo hagamos nosotros, limpiamos tu WordPress en 72 horas laborables: eliminamos usuarios intrusos y puertas traseras, y cerramos la entrada.