Mi web ha sido hackeada: recuperar la máquina desde una instantánea limpia

La web muestra una página que no es tuya. O Google avisa de que tu sitio "puede dañar el equipo". O el servidor va lentísimo y en los procesos hay algo llamado kdevtmpfsi comiéndose la CPU. Te han entrado. Es un mal rato, pero si tienes instantáneas, se resuelve en una tarde y sin pagar a nadie.

La idea central es que no se limpia una máquina comprometida: se abandona. Nunca sabrás con seguridad qué más dejaron dentro. Lo que sí sabes es que la instantánea de hace diez días estaba sana. Así que levantas una máquina nueva desde esa copia, la pones al día, cierras la puerta por la que entraron y le pasas la dirección de la web. La vieja la dejas apagada y aislada por si hace falta mirar qué pasó.

La guía está escrita para Lightsail; en EC2 los pasos son los mismos con otros nombres de menú.

Paso a paso

1. Confirma que te han entrado y no borres nada

   Señales habituales: contenido o enlaces que no has puesto, redirecciones a otras webs, correos de AWS sobre actividad sospechosa, avisos de Google Search Console, la máquina al 100% de CPU sin motivo, usuarios nuevos en WordPress o en el sistema, ficheros modificados a horas raras.

   Y lo primero que NO hay que hacer: no borres ficheros, no reinstales encima, no "limpies" el servidor. Dos razones. Una, el atacante probablemente ha dejado más de una puerta y limpiar a mano no las encuentra todas. Dos, si tienes seguro, clientes con datos personales o tienes que avisar a la Agencia de Protección de Datos, vas a querer conservar la máquina tal como está para que alguien pueda mirarla. Haz ahora mismo una instantánea de la máquina comprometida con un nombre claro (web-COMPROMETIDA-2026-10-28) y no la toques más.

2. Aísla la máquina cerrando el cortafuegos

   Entra en Lightsail, pulsa el nombre de la máquina y abre la pestaña Redes. En el bloque Cortafuegos IPv4 verás las reglas: normalmente SSH (22), HTTP (80) y HTTPS (443). Elimina todas las reglas salvo SSH y, en la de SSH, pulsa el lápiz, marca Restringir a dirección IP y escribe solo tu IP actual (la ves buscando "cuál es mi IP" en Google). Haz lo mismo en Cortafuegos IPv6 si está activado.

   Con esto la web deja de verse, sí. Pero también deja de servir malware a tus visitantes, de enviar spam y de atacar a terceros desde tu dirección. Unas horas sin web se explican; una denuncia, no. Para los siguientes pasos no necesitas entrar en la máquina vieja, así que puedes quitar también la regla de SSH.

3. Elige una instantánea anterior al ataque

   En el menú de la izquierda de Lightsail, Instantáneas. Verás la lista de copias de esa máquina con su fecha. Necesitas una que sea anterior al primer síntoma, con margen: si notaste algo el día 25, no cojas la del 24, porque el ataque pudo empezar días antes de hacerse visible. Si la web es WordPress, los ficheros modificados tienen fecha: mírala en la copia o en el panel de archivos, y toma una instantánea de al menos una semana antes.

   Es inevitable perder los cambios hechos desde esa fecha: pedidos, entradas, fotos. Apunta cuáles son para reponerlos a mano al final. Si la base de datos está en otra máquina o en RDS, no se ve afectada por este paso, pero revisa igualmente sus usuarios y contraseñas (paso 5). Si no tienes ninguna instantánea limpia, mira el apartado de problemas: la recuperación es otra.

4. Crea una máquina nueva desde la instantánea

   En la instantánea elegida, menú de los tres puntos, Crear instancia nueva. Elige la misma zona de disponibilidad que la máquina vieja (la IP estática solo se puede mover dentro de la misma región), el mismo plan o uno mayor, y ponle un nombre nuevo (web-2026-10-28). Déjala arrancar: tarda un par de minutos.

   La máquina nueva nace con el cortafuegos por defecto (22, 80 y 443 abiertos a todos). Antes de nada, pestaña Redes y restringe el 22 a tu IP, igual que hiciste en el paso 2. Deja 80 y 443 cerrados por ahora: no la publiques hasta haberla actualizado.

5. Actualiza y cambia todas las contraseñas y claves

   Entra en la máquina nueva con el botón Conectar mediante SSH de Lightsail (abre una terminal en el navegador, sin instalar nada). Ahora, por orden:

   • Actualiza el sistema: en Ubuntu o Debian, sudo apt update && sudo apt upgrade -y. En las imágenes de Bitnami, actualiza además la aplicación desde su panel.
   • Actualiza la web: WordPress, tema y todos los complementos. Borra los complementos que no uses. En el 90% de los casos la puerta fue un complemento sin actualizar.
   • Contraseñas de la web: todos los usuarios administradores. Elimina los que no reconozcas.
   • Contraseña de la base de datos y actualízala en el fichero de configuración de la web (wp-config.php o equivalente).
   • Clave SSH: en Lightsail, menú Cuenta, Claves SSH, crea una nueva y borra la antigua; en la máquina, sustituye el contenido de ~/.ssh/authorized_keys. La clave vieja ha podido salir de la máquina comprometida.
   • Claves de servicios externos que estuvieran en la máquina: correo (SMTP), pasarela de pago, API de AWS si había alguna. Genera unas nuevas y revoca las anteriores.

   Mira también /etc/passwd y el crontab de root por si la instantánea no era tan limpia como pensabas: usuarios que no conoces o tareas programadas raras. Si ves algo, vuelve al paso 3 con una instantánea más antigua.

6. Mueve la IP estática y revisa el DNS

   En Lightsail, menú Redes (el de la izquierda, no la pestaña de la máquina). Pulsa la IP estática de la web: verás a qué instancia está asociada. Desasóciala de la máquina vieja y asóciala a la nueva. El cambio es inmediato y el dominio sigue apuntando a la misma dirección, así que no hay que esperar a que el DNS se propague.

   Aun así, entra en tu proveedor de dominio (o en Zonas DNS de Lightsail si lo gestionas allí) y repasa todos los registros. Los atacantes a veces no tocan el servidor, pero sí añaden registros que desvían el correo o un subdominio. Si ves un registro A, MX o TXT que no reconoces, bórralo.

   Ahora sí: en la máquina nueva, pestaña Redes, añade las reglas HTTP (80) y HTTPS (443) abiertas a todos. Comprueba la web desde el móvil con datos, que no pasa por tu red, y mira la fecha de caducidad del certificado HTTPS: está en la instantánea y debería renovarse solo.

7. Después: cerrar la puerta y no volver aquí

   La máquina vieja: déjala parada un mes, con el cortafuegos cerrado. En Lightsail se sigue cobrando parada, así que si el coste importa, bórrala y conserva la instantánea del paso 1, que guarda las pruebas. Pasado un tiempo prudencial, borra también esa instantánea.

   Y tres medidas para que no se repita:

   • Instantáneas automáticas: en la máquina nueva, pestaña Instantáneas, activa las automáticas (Lightsail guarda las últimas siete, una al día). Para conservar algunas más tiempo, haz una manual al mes.
   • Actualizaciones: una vez por semana, sistema y web. Pon un recordatorio. Es aburrido y es lo que evita el 90% de las entradas.
   • Puerto 22 solo a tu IP, y cerrado cuando no lo uses. Hay una guía en esta sección solo sobre eso. Y si la web no necesita que nadie suba ficheros por FTP, no tengas el 21 abierto.

   Por último, si la web guardaba datos de clientes, consulta con quien lleve la protección de datos de tu empresa: una entrada en el servidor puede obligar a comunicarlo en 72 horas.

Qué puede salir mal