En resumen: si su tienda online ha sido hackeada, se trata de tres cosas a la vez: proteger los datos de los clientes, asegurar las ventas y demostrar que la tienda vuelve a estar limpia. ¿Le afecta? Póngase en contacto ahora. En remoto nos encargamos de la contención, el análisis de la causa, la limpieza y la documentación, y nos coordinamos con sus proveedores de servicios.
No borre nada ahora y no reinstale nada. Antes de eliminar archivos o restaurar la tienda, deben estar asegurados los archivos, la base de datos y los registros. Llame o escriba por WhatsApp. La vía más rápida es Comunicar la emergencia.
¿Le afecta? Indicios en la tienda online
En las tiendas hay más en juego que en un sitio de simple tarjeta de presentación. Esté atento a estas señales:
- Los clientes informan de que su tarjeta o su cuenta se utilizó indebidamente tras un pedido en su tienda
- su proveedor de servicios de pago o su banco pregunta por transacciones llamativas
- en el proceso de pago aparecen campos, ventanas o redirecciones que usted no ha configurado
- pedidos, precios o cupones se han modificado sin su intervención
- en el área de administración hay usuarios desconocidos o inicios de sesión inusuales
- su servidor de correo envía spam en nombre de la tienda, o los clientes reciben correos de phishing con su remitente
- hay archivos nuevos o modificados en los directorios de medios, de caché o de plugins, aunque nadie haya desplegado nada
- la carga sube sin un aumento de visitantes apreciable
Qué hacer ahora mismo
- Decidir si la caja se desconecta. En cuanto puedan estar en peligro datos de pago o de clientes, retire temporalmente el proceso de pago o la tienda de la red, por ejemplo con una página de mantenimiento. La decisión es suya; nosotros le asesoramos.
- No borrar ni sobrescribir nada. Ninguna actualización en el sistema en producción, ninguna restauración de copias de seguridad.
- Preparar al proveedor de servicios de pago. Compruebe qué vías de notificación prevé su contrato y tenga preparados los interlocutores.
- Conservar los registros. Pida a su proveedor de hosting y a su agencia que aseguren los registros de acceso, de errores y de la tienda. La prensa especializada aconseja conservar los registros del servidor desde el 20/10/2026.
- Hacer una lista de accesos: administración de la tienda, servidor, base de datos, portales de pago, interfaces con la gestión de mercancías y el envío. Cambiar las contraseñas solo tras consultarnos.
- Informar a los departamentos internos: dirección, delegado de protección de datos, aseguradora. Hay indicaciones sobre la póliza en Ciberseguro en caso de siniestro.
- Avisarnos antes de que su agencia repare la tienda por su cuenta.
¿Cómo ayuda PHP SOS con una tienda online hackeada?
- Evaluar la situación: sistema de tienda, versión, estado de PHP, proveedor de hosting, medios de pago, servicios integrados. Aclaramos qué datos hay en la tienda.
- Asegurar y contener: imagen de archivos y base de datos, aseguramiento de los registros, bloqueo de accesos llamativos, protección de la caja.
- Determinar causa y alcance: revisamos archivos del núcleo, extensiones, plantillas, tareas programadas y contenidos de la base de datos en busca de manipulaciones e intentamos demostrar qué puede haber salido. Donde los rastros no alcanzan, lo decimos con franqueza.
- Limpiar y restaurar: eliminación del código malicioso o reconstrucción a partir de fuentes de confianza, según el resultado. La ponderación entre ambas opciones la describe ¿Reinstalar o limpiar?.
- Reforzar, volver a publicar e informar: estado de PHP, permisos, protección del administrador, supervisión. Recibe una documentación que puede presentar al proveedor de servicios de pago, al delegado de protección de datos y a la aseguradora.
Si el incidente se extiende más allá de la tienda, por ejemplo a la gestión de mercancías o a sistemas internos, pasamos a una respuesta a incidentes. Si necesita saber con valor probatorio qué ha ocurrido, entra en consideración además el análisis forense informático.
Datos de clientes, obligaciones de notificación y comunicación
En la tienda hay nombres, direcciones, pedidos y a menudo referencias de pago. En cuanto puedan estar afectados esos datos, corre un plazo: el RGPD prevé una notificación a la autoridad de control en un plazo de 72 horas cuando no puede descartarse un riesgo para los afectados. Si eso se aplica a su caso lo aclara con su delegado de protección de datos o con un abogado; nosotros no prestamos asesoramiento jurídico. Aportamos las bases técnicas que necesita para ello. Más sobre el plazo: Obligación de notificación del RGPD.
También la comunicación a los clientes forma parte del incidente. Cómo informar con objetividad, sin ocultar nada ni especular, lo describen Informar a los clientes tras un incidente y Comunicación de crisis tras un ataque. Sobre la posibilidad de una denuncia tratamos en Denuncia ante la policía.
Sistemas de tienda y estado de PHP
Ya sea WooCommerce, Shopware, Magento o PrestaShop: todos se ejecutan sobre PHP. Una actualización del software de la tienda no cierra las vulnerabilidades de PHP de PHP2Shell. La página del sector Seguridad informática para tiendas online resume las particularidades; las páginas de plataforma WooCommerce y Shopware 6 tratan los sistemas en detalle.
Cómo volvemos a publicar la tienda
Una tienda solo vuelve a funcionar a pleno rendimiento cuando coinciden tres cosas: el código malicioso está eliminado, el punto de entrada está cerrado y las credenciales están renovadas. Entre ellas figuran las cuentas de administrador, las contraseñas de la base de datos, las claves de API de los proveedores de pago y de envío y los accesos de correo. Revisamos el proceso de pago por último con un pedido de prueba, para que se vea que el pago funciona sin cambios. Después recomendamos una supervisión más estrecha durante las semanas siguientes, porque a los atacantes les gusta volver a comprobar a víctimas conocidas. No hay garantía de que nunca vuelva a ocurrir nada; lo que sí hay es un estado documentado y responsabilidades claras.
Qué debería enviarnos
- sistema de tienda y versión, proveedor de hosting y, si se conoce, la versión de PHP
- qué fue lo primero que llamó la atención y desde cuándo
- avisos de clientes, del banco o del proveedor de servicios de pago, textualmente
- nombre de la agencia o del desarrollador que mantiene la tienda
- estado y ubicación de la última copia de seguridad
Por qué PHP SOS
Trabajamos Made in Germany y llevamos más de 25 años especializados en seguridad informática junto con nuestra red de socios, profesionales de la ciberseguridad. Usted tiene un único interlocutor que lleva el incidente de su tienda desde el primer contacto hasta el cierre. Trabajamos en remoto en toda Europa, dejamos constancia por escrito de cada paso y no prometemos nada que nadie pueda cumplir. Trabajamos hasta que el incidente quede cerrado y documentado.
¿Le afecta? Llame. Le ayudamos.
Cada hora con un proceso de pago comprometido puede costar datos de clientes. Póngase en contacto ahora, por llamada o WhatsApp, y nos hacemos cargo desde el primer mensaje. Comunicar la emergencia ahora
Preguntas frecuentes
¿Debo desconectar mi tienda online de inmediato si ha sido hackeada?
Si hay datos de clientes u operaciones de pago en peligro, desconectar temporalmente la caja o toda la tienda suele ser la decisión correcta. La ponderación entre pérdida de ventas y daño la hace usted; nosotros aportamos la valoración técnica. Es importante no borrar ningún archivo al hacerlo.
¿Tengo que informar a los clientes si mi tienda ha sido hackeada?
Depende de si pueden estar afectados datos personales y de qué riesgo existe para los afectados. Tome la decisión junto con su delegado de protección de datos o con un abogado. Nuestro informe aporta los hechos técnicos para ello.
¿Cómo reconozco que código ajeno está capturando datos de pago en el proceso de compra?
Son indicios los scripts desconocidos en el proceso de pago, los avisos de clientes sobre un uso indebido de su tarjeta tras una compra o los avisos del proveedor de servicios de pago. Solo una revisión de los archivos y de la base de datos lo aclara con certeza.
¿Puedo restaurar la tienda simplemente desde la copia de seguridad?
Una copia de seguridad solo le devuelve a un estado limpio si se hizo antes de la intrusión y la puerta de entrada se ha cerrado después. Ambas cosas suelen estar sin aclarar de antemano. Por eso primero aseguramos y luego valoramos juntos.
¿Sirve la ayuda urgente también para Shopware, WooCommerce o Magento?
Sí. El procedimiento es similar en todas las tiendas PHP: asegurar, contener, encontrar la causa, limpiar, reforzar. Las particularidades de cada sistema las revisamos en la tienda concreta.