Eliminar malware que envía spam SMTP en WordPress

Si necesitas eliminar malware que envía spam SMTP en WordPress, lo importante es entender primero qué está pasando: normalmente se trata de una infección o de un abuso del sitio, de una cuenta de correo o incluso del propio servidor para enviar correos no autorizados. Esto afecta a la reputación del dominio, a la entregabilidad de tus emails legítimos y a la seguridad general de la web.

La vía razonable para resolverlo no consiste solo en borrar un plugin sospechoso. Conviene contener el envío, cambiar credenciales, revisar archivos y configuraciones, limpiar lo comprometido y comprobar después que no quedan accesos persistentes ni errores de autenticación de correo.

Qué significa que WordPress esté enviando spam por SMTP

Cuando WordPress envía spam, no siempre significa que el problema esté exactamente en el plugin SMTP. Puede deberse a un plugin vulnerable, a credenciales de correo expuestas, a formularios abusados, a cuentas de administrador comprometidas o a código inyectado en archivos del tema o de plugins. También es habitual encontrar tareas programadas o scripts que usan la función de envío del servidor en lugar de una cuenta SMTP visible.

El resultado suele ser el mismo: picos de envío, rebotes, quejas del proveedor, alertas de seguridad, caída de la reputación del dominio o bloqueo del correo legítimo. Por eso conviene tratarlo como una incidencia de seguridad y de entregabilidad a la vez.

Cómo detectar si tu web ha sido comprometida

No siempre hay una señal única, pero estas pistas suelen justificar una revisión:

• avisos del hosting por spam saliente desde hosting o consumo anómalo de recursos;
• rebotes masivos o respuestas automáticas de destinatarios que no conoces;
• usuarios administradores no reconocidos o cambios no autorizados en plugins y temas;
• formularios que generan envíos extraños o sin control antispam;
• caída de entregabilidad, dominio o IP en listas negras, o autenticación SPF, DKIM o DMARC mal resuelta.

Si tu sitio WordPress hackeado sigue enviando correos aunque cambies un ajuste superficial, es probable que haya que revisar más allá del panel de WordPress.

Pasos para eliminar malware que envía spam SMTP en WordPress

1. Contén el envío cuanto antes. Si el proveedor lo permite, desactiva temporalmente el envío saliente o la cuenta SMTP afectada. Si hay un plugin de correo, conviene pausar su uso hasta confirmar el origen. Esto ayuda a frenar daños de reputación y evita que sigan saliendo mensajes mientras investigas.
2. Cambia las credenciales críticas. Empieza por administradores de WordPress, panel de hosting, SFTP/SSH, base de datos y cuentas de correo relacionadas con el sitio. Si usas SMTP autenticado, rota también esa contraseña y revisa qué aplicaciones la utilizan.
3. Revisa usuarios, plugins, temas y archivos modificados. Busca cuentas nuevas, extensiones desconocidas, código añadido en el tema activo y archivos recientes fuera de cambios previstos. En malware en WordPress es frecuente encontrar puertas traseras en plugins o temas, incluso aunque el envío lo haga otro componente.
4. Escanea y limpia con criterio. Un escáner puede ayudar a localizar archivos alterados, pero no siempre detecta todo. Lo más seguro suele ser comparar el núcleo de WordPress, temas y plugins con copias limpias u originales, eliminar componentes no confiables y restaurar desde una copia sana si existe y se puede validar.
5. Comprueba cron, formularios y configuración de correo. Conviene revisar SMTP en WordPress, las tareas programadas, formularios sin protección, automatizaciones y cualquier plugin que envíe notificaciones. A veces el abuso no está en una infección compleja, sino en un formulario explotado o en credenciales filtradas.
6. Actualiza y endurece. Una vez limpio, actualiza WordPress, plugins y temas, elimina lo que no uses y activa medidas básicas como 2FA, limitación de intentos, WAF si procede y mínimos privilegios de usuario.

Un error frecuente al limpiar WordPress infectado es dar por resuelto el caso solo porque dejan de salir correos durante unas horas. Sin una revisión completa, puede quedar acceso persistente o reanudarse el envío más adelante.

Qué revisar después de la limpieza para evitar reinfecciones

Después de la limpieza, conviene comprobar que el problema realmente ha desaparecido y que el correo legítimo vuelve a funcionar bien:

• monitoriza si vuelven los picos de envío o los rebotes;
• revisa cuentas de correo, alias y autenticaciones SMTP activas;
• verifica SPF, DKIM y DMARC para mejorar la confianza del correo saliente;
• confirma que no haya plugins, temas o usuarios prescindibles;
• mantén copias de seguridad verificadas y un plan de actualización regular.

Si el dominio o la IP han acabado en listas negras, quizá debas solicitar revisión una vez corregida la causa. Esa parte no sustituye la limpieza: solo tiene sentido cuando el origen del abuso ya está controlado.

Cuándo conviene pedir ayuda técnica especializada

Hay situaciones en las que merece la pena escalar la revisión: si el hosting sigue detectando correo saliente no autorizado, si aparecen reinfecciones, si hay dudas sobre archivos modificados o si el acceso comprometido puede afectar a más de una web de la misma cuenta. También es recomendable cuando ya hay impacto en reputación, bloqueo de envíos o sospecha de puertas traseras.

Una revisión profesional suele aportar algo importante: confirmar si el problema estaba en WordPress, en una cuenta SMTP, en formularios abusados o en el entorno del servidor, y dejar medidas para asegurar WordPress después de una infección.

En resumen, eliminar malware que envía spam SMTP en WordPress exige contención, limpieza y verificación posterior. Si no tienes claro el alcance o temes una recaída, el siguiente paso más prudente es una revisión técnica completa antes de volver a confiar el envío normal de correo a la web.