Administradores falsos en WordPress, cómo limpiar

Si detectas administradores falsos en WordPress, lo más habitual es que exista una cuenta con privilegios de administrador creada sin autorización. Suele ser la consecuencia de una intrusión, malware, un plugin o tema vulnerable, credenciales robadas o una sesión comprometida. El objetivo no es solo borrar esa cuenta, sino entender cómo entró, contener el acceso y revisar la instalación con criterio para no dejar la puerta abierta.

Los administradores falsos en WordPress son usuarios con rol de administrador creados sin permiso, normalmente tras un acceso no autorizado o una escalada de privilegios. Son peligrosos porque permiten cambiar contraseñas, instalar código malicioso, modificar archivos críticos y recuperar el control incluso después de una limpieza parcial.

Qué significa tener administradores falsos en WordPress

En la práctica, significa que alguien ha conseguido privilegios altos dentro de tu web. A veces aparece como una cuenta administrador desconocida; otras, el atacante modifica una cuenta existente, oculta cambios o crea persistencia mediante archivos, tareas programadas o mu-plugins. Por eso, si ves un usuario nuevo con rol de administrador, conviene asumir una posible infección en WordPress hasta demostrar lo contrario.

Señales de alarma habituales:

• Usuarios administradores no reconocidos.
• Cambios de correo, contraseña o ajustes generales sin intervención tuya.
• Plugins o temas desconocidos, anulados o que no recuerdas haber instalado.
• Redirecciones extrañas, avisos del hosting o archivos modificados recientemente.

Cómo detectar usuarios administradores creados sin permiso

Empieza por Usuarios > Todos los usuarios y revisa uno por uno los roles de administrador. Comprueba el nombre, correo, fecha aproximada de creación y si esa cuenta corresponde a una persona o proceso legítimo. Si tu sitio tiene muchos usuarios, contrasta también los registros del hosting, del plugin de seguridad o de actividad, si existe.

Después, confirma si hay actividad sospechosa: accesos desde ubicaciones o IP no habituales, cambios recientes en plugins, tema activo o ajustes de WordPress. Si el sitio parece WordPress hackeado, evita sacar conclusiones solo por el nombre del usuario. Algunas infecciones reutilizan cuentas reales o crean perfiles con nombres discretos para pasar desapercibidas.

Un error frecuente es borrar una cuenta sin revisar antes qué hizo y desde cuándo existe. Esa prisa puede dificultar el análisis y hacerte perder pistas sobre la puerta de entrada.

Cómo limpiar WordPress paso a paso sin empeorar la infección

1. Haz una copia completa antes de tocar nada. Incluye archivos y base de datos. Aunque el sitio esté comprometido, esa copia puede ser útil para analizar el incidente o recuperar contenido.
2. Cambia contraseñas y cierra sesiones. Renueva claves de WordPress, hosting, FTP/SFTP, base de datos y correo asociado. Fuerza el cierre de sesiones activas para cortar accesos persistentes.
3. Aísla y revisa los usuarios con rol administrador. Si identificas una cuenta creada sin permiso, elimínala solo tras confirmar que no pertenece a un proceso legítimo. Al borrarla, revisa a qué contenido estaba asociada.
4. Actualiza WordPress, temas y plugins. Muchas intrusiones entran por componentes vulnerables. Si hay extensiones abandonadas, nulled o desconocidas, desactívalas y verifica antes de borrarlas si contienen personalizaciones necesarias.
5. Escanea en busca de malware. Un análisis ayuda a localizar archivos infectados, puertas traseras y cambios sospechosos, pero no siempre detecta todo. Conviene combinar escaneo automático con revisión manual.
6. Comprueba archivos sensibles. Revisa functions.php, wp-config.php, .htaccess y la carpeta de mu-plugins si existe. Busca código ofuscado, inclusiones extrañas, usuarios creados por código o instrucciones de ejecución remota.
7. Valora restaurar una copia de seguridad fiable. Puede ser buena opción si sabes que es anterior a la intrusión. Aun así, después debes revisar la vía de entrada; restaurar sin corregir la causa puede devolver el problema.

Si necesitas una referencia general de buenas prácticas, la documentación oficial de WordPress sobre endurecimiento de seguridad es una base útil y verificable.

Qué revisar después de eliminar las cuentas falsas

Eliminar el usuario no equivale a dar el incidente por cerrado. Después conviene revisar permisos de usuario en WordPress, tareas cron, plugins activos, cuentas FTP, claves de acceso en el panel del hosting y cambios recientes en la base de datos. También es recomendable verificar permisos de archivos y carpetas para evitar escrituras excesivas.

Si el atacante dejó una puerta trasera, podría recrear administradores falsos más tarde. Por eso, revisa si existen archivos con nombres similares a los del núcleo, scripts en rutas inusuales o fragmentos de código insertados en el tema. Cuando hay dudas sobre la integridad, una auditoría de seguridad WordPress suele ser más fiable que una limpieza rápida.

Cómo evitar que vuelva a ocurrir

La prevención pasa por reducir superficie de ataque y mejorar el endurecimiento de seguridad. Mantén WordPress, plugins y temas actualizados, elimina lo que no uses, evita software nulled, aplica contraseñas robustas y activa autenticación multifactor cuando sea posible. Limita el número de administradores reales y revisa periódicamente los roles de usuario.

También ayuda disponer de copias de seguridad verificadas, monitorización de cambios, registros de actividad y un sistema de escaneo recurrente. En entornos de empresa en España, donde una web suele depender de varios proveedores o perfiles con acceso, documentar quién administra cada servicio reduce errores y accesos innecesarios.

Tener administradores falsos no es solo un problema visual: suele indicar que alguien logró entrar o dejar persistencia. La limpieza real exige revisar la cuenta sospechosa, el posible malware y, sobre todo, la puerta de entrada que permitió el acceso no autorizado.

Si no tienes claro qué archivo, plugin vulnerable o credencial comprometida originó el incidente, el siguiente paso razonable es solicitar una limpieza profesional o una auditoría técnica. Actuar con rapidez es importante, pero hacerlo con método lo es aún más para no repetir el problema.