Todo administrador de WordPress los ha visto. Recibes un correo urgente que dice que tu sitio ha sido comprometido, que un plugin necesita una actualización inmediata o que tu cuenta de hosting está a punto de ser suspendida. Se te acelera el corazón.
¿Pero es real?
Distinguir un correo electrónico de seguridad legítimo de WordPress de uno falso es una de las habilidades más prácticas que cualquier propietario o administrador de un sitio web puede desarrollar. Los ataques de phishing dirigidos a usuarios de WordPress están en aumento. Los correos electrónicos parecen más convincentes que nunca. Un clic erróneo puede costarle mucho más que su sitio web.
Esta guía proporciona una lista de verificación completa y práctica para comprobar cualquier correo electrónico sospechoso de WordPress antes de tomar cualquier medida al respecto.
Un correo electrónico de seguridad legítimo de WordPress proviene de un dominio verificado que coincide con el servicio que lo envió, supera las comprobaciones de autenticación SPF, DKIM y DMARC, y nunca solicita contraseñas ni incita a descargar archivos mediante enlaces de correo electrónico.
Para verificarlo, compruebe la dirección del remitente, coloque el cursor sobre los enlaces antes de hacer clic y confirme la alerta accediendo directamente al panel de control correspondiente. Si el correo electrónico genera urgencia, contiene saludos genéricos o enlaces a un dominio desconocido, considérelo un intento de phishing hasta que se confirme lo contrario.
Por qué es importante: El costo de juzgar erróneamente un correo electrónico de seguridad de WordPress
Hacer caso a un correo electrónico de seguridad falso de WordPress no solo es un inconveniente. Las consecuencias pueden ser inmediatas, graves y duraderas. Comprender lo que está en juego te ayudará a tomarte en serio estos pasos de verificación en todo momento.
¿Cómo pueden los correos electrónicos falsos de seguridad de WordPress comprometer la seguridad de las cuentas?
Un correo electrónico fraudulento de WordPress suele pedirte que inicies sesión, descargues algo o introduzcas tus credenciales a través de una página engañosa pero falsa. Una vez que el atacante obtiene tus credenciales de administrador, tiene control total sobre tu sitio.
A partir de ese momento, pueden instalar puertas traseras, redirigir el tráfico a sitios maliciosos, robar datos de usuario o bloquear completamente el acceso a su cuenta. Algunos atacantes actúan a los pocos minutos de recibir las credenciales robadas. Para cuando se dé cuenta de que algo anda mal, es posible que ya se haya producido un daño considerable.
Los correos electrónicos de phishing suelen aprovecharse de la confianza depositada en marcas conocidas. Imitan a WooCommerce, Wordfenceo a tu proveedor de alojamiento web. El atacante cuenta con que reacciones rápidamente, sin pensarlo dos veces.
El impacto en la seguridad del sitio web, el SEO y las operaciones comerciales
Un sitio WordPress comprometido no solo afecta a tus archivos, sino a todo lo que interactúa con él. Google podría marcar tu sitio como peligroso y eliminarlo de los resultados de búsqueda. Los visitantes podrían encontrarse con advertencias en el navegador que socavan la confianza al instante.
El malware inyectado a través de una cuenta de administrador comprometida puede redirigir a los visitantes, insertar enlaces de spam o minar criptomonedas silenciosamente. Estas actividades pueden perjudicar gravemente el posicionamiento SEO de tu sitio WordPress y provocar la suspensión de tu servicio de alojamiento. Recuperarse de un ataque informático requiere tiempo y dinero, y puede dañar permanentemente la reputación de tu marca.
Más allá del SEO, las operaciones comerciales se ven afectadas. Si su sitio web procesa pagos o almacena datos de clientes, una filtración desencadena obligaciones legales y de cumplimiento para las que pocas pequeñas empresas están preparadas.
¿Por qué los administradores de WordPress son objetivos frecuentes de ataques de phishing?
WordPress impulsa más del 43 % de todos los sitios web en internet. Esta magnitud convierte a sus administradores en un objetivo de gran valor para las campañas de phishing. Los atacantes crean correos electrónicos que parecen alertas legítimas de plugins, temas, proveedores de alojamiento y del propio WordPress.org.
Los administradores de WordPress también suelen tener acceso privilegiado. Comprometer una sola cuenta de administrador a menudo implica comprometer todo el sitio, todos los servicios conectados e incluso, en ocasiones, la cuenta de alojamiento subyacente.
La recompensa por un ataque de phishing exitoso contra un administrador de WordPress es desproporcionadamente alta en comparación con el esfuerzo que implica.
¿Crees que tu sitio de WordPress podría estar comprometido?
Obtenga servicios expertos de eliminación de malware, limpieza de seguridad y recuperación para restaurar su sitio web rápidamente.
Tipos comunes de correos electrónicos de seguridad de WordPress
Antes de poder detectar un correo electrónico falso, necesitas saber cómo son los correos electrónicos de seguridad legítimos de WordPress. Los correos electrónicos de seguridad reales suelen pertenecer a estas categorías:
- Alertas de restablecimiento de contraseña o inicio de sesión. Estas se envían cuando alguien solicita restablecer su contraseña o inicia sesión desde un dispositivo no reconocido. WordPress, Jetpack y muchos complementos de seguridad las envían automáticamente.
- Notificaciones de vulnerabilidades de plugins o temas. Es posible que recibas correos electrónicos de Wordfence, Patchstack, WPScan o tu proveedor de hosting cuando un plugin o tema que uses presente una vulnerabilidad conocida. Estas notificaciones son legítimas e importantes.
- Correos electrónicos de alerta de seguridad para el alojamiento web. Tu proveedor de alojamiento web puede notificarte sobre actividad inusual del servidor, análisis de malware o cuentas suspendidas. Proveedores como WP Engine, Kinstay SiteGround envían comunicaciones de seguridad legítimas.
- Avisos de autenticación de dos factores. Al iniciar sesión con la autenticación de dos factores activada, recibirá códigos por correo electrónico. Estos códigos son normales y legítimos si usted inició el inicio de sesión.
- Notificaciones de actualización del núcleo de WordPress. WordPress envía correos electrónicos sobre las actualizaciones importantes. Estos correos suelen provenir de la dirección de correo electrónico de administrador configurada en tu sitio.
- Alertas por intentos de inicio de sesión fallidos. Los complementos de seguridad como Wordfence o iThemes Security envían alertas cuando se detectan ataques de fuerza bruta o repetidos intentos de inicio de sesión fallidos.
Conocer estas categorías te ayuda a evaluar rápidamente si un correo electrónico de seguridad de WordPress tiene sentido en un contexto determinado.
¿Cómo verificar si un correo electrónico de seguridad de WordPress es real o falso?
Utiliza esta lista de verificación cada vez que recibas un correo electrónico sospechoso sobre la seguridad de WordPress. Sigue cada paso antes de hacer clic en cualquier cosa.
Verifique la dirección de correo electrónico del remitente real
El nombre que aparece en un correo electrónico puede ser cualquiera. Nombres como "Equipo de Seguridad de WordPress" o "Soporte de Automattic" se pueden falsificar fácilmente. Lo que no se puede falsificar tan fácilmente es la dirección de correo electrónico del remitente.
Haz clic o coloca el cursor sobre el nombre del remitente para ver la dirección de correo electrónico completa. Los correos electrónicos legítimos de WordPress provendrán de dominios verificados. Por ejemplo, las comunicaciones de WordPress.org provienen de direcciones @wordpress.org. Tu proveedor de alojamiento web utilizará su propio dominio oficial.
Presta atención a los errores ortográficos sutiles. Los atacantes utilizan dominios como wordpr3ss.com, automattic-security.como wordpress-alert.net. A primera vista, parecen creíbles, pero son fraudulentos. Una estafa de correo electrónico de administrador de WordPress casi siempre se delata en estos casos.
Revisar los resultados de la autenticación SPF, DKIM y DMARC
Los protocolos de autenticación de correo electrónico, como SPF, DKIM y DMARC, son estándares técnicos que verifican si un mensaje proviene realmente del dominio que dice tener. La mayoría de los clientes de correo electrónico modernos permiten inspeccionarlos.
En Gmail, haz clic en el menú de tres puntos de un correo electrónico y selecciona «Mostrar original». Verás los resultados de la autenticación. Un correo electrónico legítimo debería mostrar «APROBADO» en las tres comprobaciones: SPF, DKIM y DMARC. Un correo electrónico falsificado de WordPress a menudo fallará en una o más de estas comprobaciones.
Si tu cliente de correo electrónico no muestra esta información por defecto, utiliza una herramienta como MXToolbox o el Analizador de encabezados de mensajes de Google. Los fallos de SPF, DKIM y DMARC son un claro indicio de un ataque de phishing a WordPress.
Confirma que el dominio coincide con el servicio que utilizas
Todos los correos electrónicos de seguridad legítimos provienen de un dominio que coincide con el servicio que los envía. Si utilizas WooCommerce, los correos electrónicos de WooCommerce deberían provenir de una @woocommerce.com . Las alertas de Wordfence provienen de @wordfence.com.
Comprueba el dominio del remitente con el sitio web oficial del servicio. No te fíes del correo electrónico; accede directamente al sitio web del servicio en una nueva pestaña del navegador y compara la información.
Presta especial atención a los correos electrónicos de alerta de seguridad del proveedor de alojamiento web. Las alertas falsas son comunes y suelen redirigir a las víctimas a páginas de inicio de sesión convincentes diseñadas para robar credenciales.
Pasa el cursor sobre los enlaces antes de hacer clic
Nunca hagas clic en un enlace de un correo electrónico sospechoso sobre seguridad de WordPress sin antes pasar el cursor sobre él. Al pasar el cursor, se muestra la URL de destino en la barra de estado del navegador.
Los correos electrónicos legítimos de WordPress enlazan a sus propios dominios. Una alerta de Wordfence enlaza a wordfence.com. Un correo electrónico de WordPress.org enlaza a wordpress.org. Un enlace que supuestamente te lleva a tu panel de control debería redirigir al dominio real de tu sitio web.
Si la URL te resulta desconocida, utiliza un acortador de URL, contiene cadenas aleatorias o te lleva a un dominio completamente diferente, no hagas clic en ella. Trátala como un enlace de WordPress en un correo electrónico de phishing.
Verifique las alertas a través del panel de control oficial
Cualquier alerta de seguridad genuina de WordPress puede confirmarse accediendo directamente al servicio correspondiente. No utilice los enlaces del correo electrónico para ello.
Abre una nueva pestaña del navegador y escribe manualmente la URL de administración de tu sitio. Si la alerta se refiere a una vulnerabilidad de un plugin, revisa el panel de control de WordPress en la sección Plugins.
Si se trata de un intento de inicio de sesión, revise los registros de su complemento de seguridad. Si es un correo electrónico de alerta de seguridad del hosting, inicie sesión directamente en su panel de control.
Este es el paso más fiable del proceso de verificación. Los servicios de seguridad legítimos siempre mostrarán la misma información de alerta en el panel de control de tu cuenta.
Esté atento a las solicitudes que los proveedores legítimos rara vez realizan
Las comunicaciones de seguridad reales de WordPress siguen patrones predecibles. Saber qué información nunca solicitan los proveedores legítimos te ayuda a detectar falsificaciones al instante.
WordPress.org nunca te pedirá tu contraseña de administrador por correo electrónico. Tu proveedor de hosting no te pedirá que ingreses tus credenciales de cPanel a través de un enlace de correo electrónico. Los plugins de seguridad no te pedirán que descargues un archivo adjunto para solucionar una vulnerabilidad.
Cualquier correo electrónico que le pida credenciales de inicio de sesión, información de pago o que solicite la descarga de un archivo ejecutable mediante un enlace debe considerarse altamente sospechoso. Estas son algunas de las tácticas que utilizan las estafas por correo electrónico dirigidas a administradores de WordPress.
Tenga cuidado con los archivos adjuntos de correo electrónico
Los correos electrónicos de seguridad legítimos de WordPress casi nunca incluyen archivos adjuntos. Los avisos de vulnerabilidad reales enlazan con la documentación. Las actualizaciones de plugins reales se entregan a través del panel de control de WordPress, no como archivos descargables enviados por correo electrónico.
Si un correo electrónico de seguridad de WordPress incluye un archivo adjunto, especialmente un .zip, .exe, .pdfo .doc , considérelo una señal de alerta. El malware se suele distribuir a través de archivos adjuntos que parecen ser parches de seguridad o informes del sitio.
Si le preocupa realmente que su sitio web haya sido comprometido por un ataque, inicie sesión en su panel de control de alojamiento y ejecute un análisis de malware desde allí.
Comparar el correo electrónico con la actividad reciente en el sitio
Una alerta de seguridad legítima de WordPress se activa por un evento. Antes de actuar ante cualquier correo electrónico de alerta, piense si el evento que describe tiene sentido en función de su actividad reciente.
¿Intentaste iniciar sesión recientemente desde un dispositivo nuevo? Eso podría explicar la alerta de inicio de sesión. ¿Acabas de instalar un nuevo complemento?
Una advertencia sobre la vulnerabilidad de ese complemento podría ser oportuna. Si el correo electrónico describe una actividad que no guarda relación con nada que hayas hecho recientemente, esa inconsistencia genera sospechas.
Cotejar los correos electrónicos con tu actividad real resulta especialmente útil para determinar si la seguridad de tu sitio WordPress se ha activado realmente por eventos reales.
Evalúe el lenguaje y la personalización del correo electrónico
Los correos electrónicos de seguridad legítimos de WordPress están bien redactados y son específicos. Incluyen la URL de tu sitio, tu nombre de usuario de WordPress u otros detalles que confirman que saben quién eres.
Los saludos genéricos como «Estimado usuario de WordPress» o «Estimado administrador» son señales de alerta. El lenguaje vago, la mala gramática, las amenazas urgentes de consecuencias inmediatas y los temporizadores de cuenta regresiva son tácticas comunes de phishing.
Dicho esto, algunos correos electrónicos de phishing avanzados están bien redactados. Sin embargo, la calidad del lenguaje por sí sola no basta para confirmar su legitimidad. Úsela como una señal más en su lista de verificación, no como una prueba definitiva.
Comprueba si el correo electrónico se originó en tu sitio de WordPress
Algunos correos electrónicos de seguridad de WordPress, en particular las alertas de inicio de sesión y las notificaciones de registro de usuarios, se envían directamente desde el sistema de correo de tu sitio web. Estos correos se originan desde la dirección de correo electrónico configurada en los ajustes generales de WordPress.
Si recibes un correo electrónico de "nuevo inicio de sesión detectado" que supuestamente proviene de tu sitio, verifica la dirección del remitente. Debe coincidir con la dirección de correo electrónico del administrador configurada en Ajustes → General de WordPress. Un correo electrónico que dice provenir de tu sitio pero que se envía desde un dominio completamente diferente es una clara señal de que se trata de un correo electrónico de seguridad de WordPress falso.
Esta es también una buena razón para asegurar que los correos electrónicos de tu sitio estén correctamente autenticados mediante SPF, DKIM y DMARC, lo que protege a tus usuarios de recibir correos electrónicos falsificados que parezcan provenir de tu sitio. Evita errores comunes en el desarrollo de WordPress, como omitir la configuración de la autenticación de correo electrónico.
Confirme la alerta mediante un método de verificación secundario
Si, tras realizar las comprobaciones anteriores, aún no está seguro de la legitimidad de un correo electrónico de seguridad de WordPress, utilice un método de verificación secundario. Póngase en contacto con el servicio directamente a través de los canales oficiales.
Visita la página web oficial del proveedor y utiliza su chat de soporte o el formulario de correo electrónico, no la información de contacto que aparece en el correo electrónico sospechoso. Pregúntales si ellos enviaron la alerta. Esto solo te llevará unos minutos y aclarará cualquier duda.
También puedes consultar los foros de seguridad oficiales, los foros de la comunidad o el registro de cambios del plugin en WordPress.org para ver si existe alguna divulgación de vulnerabilidad activa que coincida con lo que describe el correo electrónico.
Trate los correos electrónicos no verificados como sospechosos hasta que se demuestre su legitimidad
Ante cualquier correo electrónico de seguridad de WordPress, la actitud por defecto debe ser de escepticismo. No confíe en correos no verificados. Trátelos como sospechosos hasta que pueda confirmar de forma independiente su autenticidad.
Esto se aplica incluso cuando el correo electrónico luce impecable y profesional. Los correos electrónicos de phishing modernos están muy bien diseñados. Los atacantes invierten en hacer que sus correos electrónicos falsos de seguridad de WordPress sean indistinguibles de los reales a primera vista.
Capacitarte a ti mismo y a tu equipo para que prioricen la verificación en lugar de la confianza es una de las inversiones en seguridad que puede hacer el propietario de un sitio web de WordPress.
Ejemplos comunes de correos electrónicos falsos sobre seguridad en WordPress
Comprender cómo son los intentos de phishing específicos facilita su reconocimiento en la práctica. Estos son los tipos de correos electrónicos falsos de seguridad de WordPress que se reportan con mayor frecuencia.
- Correos electrónicos falsos de actualización de plugins. Estos correos afirman que uno de tus plugins tiene una vulnerabilidad de seguridad crítica y debe actualizarse inmediatamente mediante un enlace de descarga. Las actualizaciones legítimas de plugins se realizan dentro del panel de WordPress. Nunca se envían como archivos adjuntos ni enlaces de descarga externos. Los correos electrónicos falsos de actualización de plugins son uno de los formatos de correo electrónico más comunes para estafas dirigidas al administrador de WordPress.
- Alertas falsas de Wordfence o de otros plugins de seguridad. Los atacantes envían correos electrónicos que imitan visualmente las alertas de Wordfence, Sucuri o iThemes Security. Incluyen resultados de análisis de aspecto realista y un enlace para "ver el informe" o "resolver el problema". El enlace redirige a una página de phishing. Siempre verifique estas alertas accediendo al panel de control de su plugin de seguridad.
- Avisos falsos de suspensión de cuenta de WordPress. Estos avisos afirman que tu cuenta o sitio de WordPress.org ha sido suspendido por infracciones de las políticas. Generan urgencia y te instan a iniciar sesión de inmediato. Las suspensiones legítimas de cuentas las gestiona tu proveedor de hosting, no mediante enlaces de correo electrónico que te piden que vuelvas a introducir tus credenciales.
- Correos electrónicos falsos de alerta de seguridad de hosting. Estos correos suplantan la identidad de tu proveedor de hosting (WP Engine, Bluehost, SiteGround u otros) y afirman que tu cuenta de hosting ha sido marcada por actividad sospechosa. El correo te pide que verifiques tu identidad iniciando sesión a través de un enlace. Inicia sesión siempre directamente en el panel de control de tu hosting, no a través de enlaces de correo electrónico.
- Correos electrónicos falsos para eludir la autenticación de dos factores. Un ataque más sofisticado consiste en un correo electrónico que afirma que se han modificado tus ajustes de autenticación de dos factores y proporciona un enlace para "restaurar" dichos ajustes. El objetivo es que desactives tu propia autenticación multifactor.
- Notificaciones falsas de actualización del núcleo de WordPress. WordPress ha lanzado una actualización de seguridad crítica y te pide que la actualices manualmente mediante un archivo descargable. WordPress no distribuye actualizaciones por correo electrónico. Las actualizaciones siempre están disponibles en tu panel de control.
¿Qué hacer si has hecho clic en un correo electrónico sospechoso sobre la seguridad de WordPress?
Si hiciste clic en un enlace, ingresaste tus credenciales o descargaste un archivo adjunto de un correo electrónico de seguridad de WordPress sospechoso sin verificarlo, actúa con rapidez. Cuanto más rápido respondas, menor será el daño.
Cambia las contraseñas y protege todas las cuentas conectadas
Cambia inmediatamente la contraseña de administrador de WordPress. Además, cambia la contraseña de cualquier cuenta de correo electrónico asociada a tu cuenta de WordPress, tu cuenta de alojamiento web, tu registrador de dominios y cualquier otro servicio que utilice las mismas credenciales o similares.
Utiliza contraseñas seguras y únicas para cada cuenta. Un gestor de contraseñas facilita enormemente esta tarea. Prioriza las cuentas con acceso de administrador a tu sitio web o a su infraestructura subyacente.
Habilitar o restablecer la autenticación multifactor
Si aún no tienes habilitada la autenticación multifactor en tu cuenta de administrador de WordPress y en el panel de control de tu hosting, habilítala ahora. Si ya la tienes habilitada y sospechas que tu configuración ha sido manipulada, revisa y restablece la configuración de autenticación de dos factores (2FA).
La autenticación multifactor añade una barrera fundamental que impide que los atacantes utilicen únicamente credenciales robadas para acceder a tus cuentas. Esta medida por sí sola puede evitar que un ataque de phishing se intensifique.
Analizar los dispositivos en busca de malware y actividad sospechosa
Si descargaste algún archivo adjunto del correo electrónico sospechoso, tu dispositivo podría estar comprometido. Realiza un análisis completo de malware en el dispositivo que usaste para abrir el correo electrónico. Utiliza un software de seguridad confiable y sigue sus instrucciones para solucionar el problema.
Busca extensiones de navegador inusuales que se hayan instalado sin tu conocimiento. Estas pueden capturar tus credenciales de inicio de sesión mientras las introduces en sitios web legítimos, incluso después de haber cambiado tus contraseñas.
Análisis de usuarios, plugins y cambios recientes de WordPress
Inicia sesión en tu panel de WordPress con una sesión de navegador nueva y segura, y revisa tu lista de usuarios administradores. Busca cuentas de administrador desconocidas que puedan haber sido creadas por un atacante. Elimina las que no hayas creado.
Revisa los plugins instalados o modificados recientemente. Comprueba el registro de actividad de tu plugin de seguridad para detectar cambios no autorizados. Verifica la integridad de los archivos de tu sitio para detectar cualquier modificación en los archivos principales o del tema. Elimina inmediatamente cualquier archivo de plugin pirateado o no autorizado
Revisa la configuración general de WordPress, incluida la dirección de correo electrónico del administrador, para confirmar que no se haya modificado para redirigir las comunicaciones futuras.
Restaurar desde una copia de seguridad limpia si es necesario
Si su auditoría revela malware, usuarios no autorizados o archivos modificados que no puede limpiar con certeza, restaurar desde una copia de seguridad limpia suele ser la vía más fiable para la recuperación. Esto elimina cualquier código malicioso o puerta trasera que se haya podido instalar.
Asegúrese de que la copia de seguridad sea anterior al incidente de phishing. Restaurar desde una copia de seguridad creada después del ataque podría restaurar los cambios maliciosos junto con su contenido legítimo. Por eso, mantener copias de seguridad periódicas fuera del sitio es una de las prácticas más importantes para cualquier propietario de un sitio WordPress.
Tras la restauración, refuerce la seguridad de su sitio web cambiando todas las contraseñas, revisando las cuentas de usuario y habilitando la autenticación de dos factores antes de volver a ponerlo en línea.
Denuncie el intento de phishing
Denunciar correos electrónicos de phishing ayuda a proteger a otros usuarios de WordPress y contribuye a la seguridad general del ecosistema. Reenvía el correo sospechoso al Grupo de Trabajo Anti-Phishing a reportphishing@apwg.org. También puedes denunciar correos electrónicos de phishing a Google a través de phishing-report@google.com.
Si el correo electrónico de phishing suplantaba la identidad de un servicio específico, como Wordfence, Automattic o su proveedor de alojamiento web, notifique directamente a esa empresa. La mayoría de las empresas de seguridad cuentan con un canal específico para denunciar el uso indebido de su marca.
Si el ataque implicó la suplantación del dominio del remitente, también puede presentar una denuncia ante el registrador o proveedor de alojamiento web correspondiente a ese dominio fraudulento.
Consideraciones finales sobre la identificación de correos electrónicos de seguridad de WordPress
Un correo electrónico de seguridad de WordPress que resulta ser un intento de phishing no es solo una molestia. Es un intento de explotar tu confianza en las herramientas y servicios de los que depende tu sitio web. Los atacantes diseñan estos correos electrónicos para burlar tus instintos, no para activarlos.
La lista de verificación de esta guía, que incluye comprobar las direcciones del remitente, revisar la autenticación SPF, DKIM y DMARC, pasar el cursor sobre los enlaces, confirmar las alertas a través de los paneles oficiales y evaluar el contexto, le proporciona una forma práctica y sistemática de evaluar cualquier correo electrónico sospechoso de WordPress antes de tomar medidas al respecto.
Ninguna medida de seguridad es infalible. Sin embargo, al seguir varios de estos pasos en conjunto, resulta extremadamente difícil que un correo electrónico de phishing tenga éxito. Desarrollar este hábito protege no solo tu sitio web, sino también a tus usuarios, tu negocio y a todos aquellos que dependen de lo que has creado.
Mantén una actitud escéptica, verifica la información de forma independiente y nunca permitas que la urgencia nuble tu juicio. Esta disciplina es tu mejor defensa contra los correos electrónicos falsos de seguridad de WordPress.
Preguntas frecuentes sobre la seguridad del correo electrónico de WordPress
¿Cómo puedo saber si un correo electrónico de seguridad de WordPress es auténtico?
Comprueba la dirección de correo electrónico del remitente, no solo el nombre que aparece en pantalla. Verifica que el dominio coincida con tu proveedor de alojamiento, plugin de seguridad o servicio de correo electrónico. Evita hacer clic en los enlaces inmediatamente. En su lugar, inicia sesión en tu panel de WordPress o cuenta de alojamiento directamente para confirmar la alerta.
¿WordPress.org envía correos electrónicos de alerta de seguridad?
En la mayoría de los casos, no. WordPress.org no suele enviar alertas de seguridad específicas para cada sitio. La mayoría de los correos electrónicos de seguridad provienen de tu sitio WordPress, tu proveedor de alojamiento, tu plugin de seguridad, tu servicio SMTP o tu registrador de dominios.
¿Cuáles son las señales comunes de un correo electrónico de seguridad de WordPress falso?
Los correos electrónicos fraudulentos suelen generar una sensación de urgencia, contener enlaces sospechosos, usar saludos genéricos o solicitar contraseñas e información de pago. También pueden provenir de dominios similares a los de empresas legítimas, pero con ligeras variaciones ortográficas.
¿Qué debo hacer si hice clic en un enlace sospechoso en un correo electrónico de seguridad de WordPress?
Cambia inmediatamente las contraseñas de tu cuenta de WordPress, alojamiento web y correo electrónico. Activa la autenticación multifactor, analiza tu dispositivo en busca de malware y revisa tu sitio web para detectar cambios no autorizados. Si es necesario, restaura tu sitio desde una copia de seguridad limpia.
¿Es seguro restablecer mi contraseña de WordPress a través de un enlace de correo electrónico?
Solo si solicitaste el restablecimiento de contraseña y puedes verificar que el correo electrónico es legítimo. En caso de duda, visita directamente tu página de inicio de sesión de WordPress e inicia el proceso de restablecimiento de contraseña desde allí, en lugar de usar el enlace del correo electrónico.
