Webs hackeadas: el error de mantenimiento que deja expuestas a miles de pymes argentinas

La mayoría de los sitios WordPress que sufren ataques no cae por una falla de WordPress, sino por plugins desactualizados, temas abandonados y falta de mantenimiento. El informe State of WordPress Security 2026, de la firma Patchstack, registró 11.334 vulnerabilidades nuevas en el ecosistema durante 2025, un 42% más que el año anterior. El 91% estaba en plugins y el 9% en temas; el núcleo de WordPress sumó apenas seis. Para una pyme, la conclusión es práctica: el riesgo no está en la plataforma, sino en lo que se instala encima y en cuánto tiempo se deja sin atender.

¿Por qué los plugins sin actualizar son la principal puerta de entrada?

Cada plugin es código escrito por terceros. Cuando se descubre una falla, se publica junto con su parche, y desde ese momento corre una cuenta regresiva: Patchstack midió que, en las vulnerabilidades más atacadas, la mediana entre la divulgación y la explotación masiva fue de cinco horas, y que cerca de la mitad de las de alto impacto se explotó en 24 horas. Los ataques son automáticos: robots que escanean miles de sitios sin distinguir entre una multinacional y un comercio de barrio.

A eso se suman los plugins abandonados. WordPress considera abandonado a uno que lleva más de dos años sin actualizarse: ya no recibe parches, pero puede seguir instalado en el sitio.

"WordPress es seguro. Lo que no es seguro es instalar veinte plugins y no volver a tocar la web por dos años. Casi todos los sitios hackeados que nos llegan tienen el mismo problema: nadie los mantenía", explica Agustín Nastasia, fundador de Grupo Vansur, una de las agencias certificadas por Automattic, la empresa detrás de WordPress, en Latinoamérica.

Señales de que tu web está desprotegida

Un dueño de pyme no necesita ser técnico para detectar los síntomas más frecuentes:

- Versiones viejas: WordPress, el tema o los plugins llevan meses sin actualizarse y el panel muestra avisos pendientes.

- Sin backups: nadie sabe cuándo fue la última copia ni dónde está guardada.

- Sin SSL: el navegador marca el sitio como "no seguro".

- Plugins que nadie usa: están instalados, incluso desactivados, y siguen siendo código vulnerable.

- Tema abandonado: su desarrollador dejó de darle soporte.

- Nadie responsable: no hay una persona ni un contrato que se ocupe del mantenimiento.

Qué incluye un mantenimiento mínimo serio

Mantener una web no es un trabajo de una vez al año. Como mínimo, debería cubrir cuatro frentes:

- Actualizaciones: del núcleo, el tema y los plugins. Las automáticas sirven para los de bajo riesgo; los críticos (tienda online, pagos, formularios) conviene revisarlos antes de actualizar.

- Backups: copias automáticas, guardadas fuera del servidor y probadas con una restauración real. Diarias si el sitio vende; al menos semanales si es informativo.

- Monitoreo: alertas ante caídas, cambios sospechosos en archivos y vulnerabilidades conocidas en los plugins instalados. Servicios como Patchstack y Wordfence mantienen bases de datos públicas de fallas.

- Limpieza: eliminar plugins y temas sin uso y revisar quiénes tienen usuario administrador.

Con ventanas de explotación de horas, dejar pasar meses entre una revisión y otra equivale a mantener la puerta abierta.

El costo de no hacerlo

Web caída. Cada hora sin sitio son ventas y consultas perdidas, además de deterioro de la reputación.

Datos de clientes expuestos.

La Ley 25.326 de Protección de Datos Personales obliga a quien administra una base de datos a adoptar medidas técnicas y organizativas para resguardarla, y la Agencia de Acceso a la Información Pública puede aplicar sanciones administrativas ante incumplimientos. En un sitio con formularios de contacto o tienda online, eso incluye nombres, mails y teléfonos de clientes que quedan en manos de terceros.

Penalización de Google. Según la documentación de Google para webmasters, un sitio hackeado puede aparecer en los resultados con avisos como "este sitio puede estar hackeado", y navegadores como Chrome pueden mostrar pantallas de advertencia antes de dejar entrar al usuario.

Preguntas frecuentes

¿WordPress es seguro para una pyme?

Sí. El núcleo es el componente con menos fallas: seis en 2025, según Patchstack. El riesgo depende del mantenimiento y de los plugins instalados.

¿Con qué frecuencia hay que actualizar una web WordPress?

Los parches de seguridad críticos deberían aplicarse en horas o pocos días, idealmente de forma automatizada. Para el resto, conviene una revisión semanal.

¿Qué hago si mi web ya fue hackeada?

Ponerla en mantenimiento, restaurar una copia limpia, cambiar todas las contraseñas, actualizar todo el software y cerrar la vulnerabilidad por la que entraron: si no, el ataque se repite.