2026 bate récords
Si te parece que cada pocos días se oye hablar de otro ataque grande, no es una impresión. El año aún no ha terminado y en varias cifras clave ya es el peor que se ha medido nunca:
2026 en cifras, a principios de noviembre
Fuentes: base de vulnerabilidades NVD (recuento hasta el 5.11.2026); ransomware.live (6.11.2026); Check Point Research, vía Noticias RCN (7.9.2026); Check Point Research (8.10.2026).
WordPress tampoco se queda atrás: desde enero de 2026 se han publicado unas 6.200 vulnerabilidades en cuya descripción aparece WordPress, frente a unas 3.500 en el mismo periodo de 2025.
Y no afecta solo a las grandes empresas:
- En mayo de 2026 la plataforma educativa Canvas se cayó en plena época de exámenes tras un ataque, y sus páginas de acceso aparecieron desfiguradas.
- En junio de 2026 un acceso olvidado desde 2022 en el proveedor de software Klue abrió a los atacantes el camino hacia casi 200 de sus clientes.
Por qué tu web
Nadie se sienta delante de un ordenador y decide atacar precisamente la web de una clínica dental de Valencia o de un taller de Guadalajara. Los ataques a webs de pequeños negocios los hacen casi siempre programas que recorren todo internet, sin parar, buscando una sola cosa: un plugin, una plantilla o un código con una vulnerabilidad conocida. Cuando la encuentran, entran. El nombre del negocio les da igual.
En 2025, cerca del 40% de todo el tráfico de internet procedía de bots maliciosos, programas exactamente así. Y en WordPress, la plataforma sobre la que están hechas las webs de muchísimos negocios, las cifras son estas:
WordPress en 2025, de un vistazo
Fuentes: Patchstack, State of WordPress Security in 2026; Thales Imperva, Bad Bot Report 2026.
Lo que significa en la práctica: las actualizaciones son importantes, pero no bastan. Un plugin que su desarrollador dejó de mantener, un código que alguien te escribió hace cinco años o un formulario que acepta archivos sin mirar qué son no aparecen en ninguna pantalla de actualizaciones. (Las actualizaciones, las copias de seguridad y el resto de la rutina están en la lista mensual de mantenimiento de WordPress.)
Qué pasa el día que hackean una web
Lo que me pasó a mí
Hace años tuve un blog grande, con millones de visitas. Un hacker entró y lo sustituyó por una web maliciosa. El blog se perdió, y con él todo el trabajo que había puesto en él y en su posicionamiento en Google.
Un solo ataque puede borrar años de trabajo. Y una web hackeada no siempre vuelve al nivel de antes, aunque se limpie.
En la mayoría de los casos el dueño del negocio no lo descubre solo. Un cliente le manda una captura de pantalla, o las consultas desde la web simplemente dejan de llegar. Esto es lo que pasa con más frecuencia:
- Los visitantes acaban en otra web. En el informe de GoDaddy y Sucuri sobre 2024, en el 74,7% de las webs infectadas se encontró código malicioso, y casi siempre sirve para enviar a los visitantes a otra web.
- Aparecen páginas que tú no escribiste. Páginas de spam en otros idiomas, pensadas para Google y no para ti. Pasó en el 38,4% de las webs infectadas.
- Google avisa de que tu web es peligrosa. En los resultados de búsqueda aparece "Es posible que este sitio haya sido pirateado", y Chrome muestra una pantalla roja antes de que cargue la web. Después de limpiarla hay que pedir a Google una revisión, que tarda de unos días a varias semanas.
- Tu posicionamiento en Google se resiente. Quien ve en los resultados el aviso de web hackeada no entra, y las páginas de spam que añadió el atacante compiten con tus páginas reales. Posiciones que construiste durante años pueden desaparecer en días, y no siempre vuelven.
- Se filtran datos de tus clientes. Cada formulario de la web guarda un nombre, un teléfono y a veces más. Con el RGPD, si una brecha afecta a datos personales, hay que avisar a la AEPD en un máximo de 72 horas siempre que sea posible. Y las multas llegan: en julio de 2026 la AEPD multó con 680.000 € a Flexicar, una cadena de coches de segunda mano, por una brecha de 2024 con datos de los formularios de contacto de su web; 250.000 € de esa cantidad fueron por medidas de seguridad insuficientes. En México, la nueva ley de datos personales (LFPDPPP), vigente desde marzo de 2025, también obliga a tomar medidas de seguridad y a avisar sin demora a las personas afectadas por una brecha.
Qué pasa en España y Latinoamérica
España y Latinoamérica están entre las zonas más atacadas del mundo, y una parte enorme de esos ataques va directamente contra las webs:
España y Latinoamérica: lo que dicen los datos
- El Corte Inglés avisa a sus clientes de una filtraciónUn proveedor externo accedió sin autorización a datos de identificación y de contacto de clientes y a números de sus tarjetas de compra. No entraron por la empresa, sino por alguien que trabajaba para ella
- 122.223 incidentes gestionados por INCIBE en 2025Un 26% más que el año anterior. INCIBE detectó además 237.028 sistemas vulnerables en España y avisó a sus responsables. En 2024, uno de cada tres incidentes (31.540) afectó a empresas, incluidos micropymes y autónomos
- España, el país europeo con más intensidad de ataquesSegún SonicWall, en 2025 España recibió más ataques por dispositivo que ningún otro país europeo analizado, y el 82% de la actividad de intrusión iba dirigida contra la infraestructura web
- Unos 843.000 millones de intentos de ataque en LatinoaméricaEs lo que registró Fortinet en la región durante 2025. Los países más afectados fueron Brasil, México y Colombia
Fuentes: FashionUnited (2025); INCIBE (9.2.2026 y 20.3.2025); SonicWall, Cyber Protect Report 2026 (31.3.2026); FortiGuard Labs, vía News in America (2026).
Dos conclusiones. La primera: en España, la puerta por la que más se intenta entrar es la web, no el ordenador de la oficina. La segunda: incluso una empresa grande cayó por algo que no controlaba directamente, un proveedor. En una web pequeña ese "proveedor" suele ser un plugin, una plantilla o un código que escribió otra persona, y por eso hay que leerlo.
La IA ha cambiado el ritmo
Hasta hace poco, encontrar una vulnerabilidad nueva exigía a un experto y tiempo. Hoy ya no es así:
- En mayo de 2026 Google informó por primera vez de atacantes que usaban una vulnerabilidad que nadie conocía y que, según su análisis, se había desarrollado con ayuda de IA. Saltaba el código de verificación que llega al móvil en una herramienta popular de administración de webs, y había grupos criminales que planeaban explotarla a gran escala.
- Según el informe de Verizon de 2026, aprovechar vulnerabilidades en programas se ha convertido en la forma más habitual de empezar un ataque, con un 31%, por delante de las contraseñas robadas.
La misma tecnología funciona en sentido contrario. Si los atacantes pueden poner una IA a buscar agujeros en el código, también se puede poner una IA a buscarlos antes. Es lo que hago yo.
Qué hago yo
Recibo acceso al código de tu web y el sistema de agentes de Platin Digital lo revisa. Un agente de IA es un programa que entiende el código y lo lee como un programador, pero sin cansarse. En vez de un solo agente que lo lee todo, hay un equipo entero, y cada agente tiene su función:
Cómo trabajan los agentes en tu web
- MapaLos primeros agentes dibujan un mapa de la web: por dónde entran los visitantes, dónde envían datos, quién puede administrar qué y qué plugins y librerías de código usa la web
- BúsquedaCada agente recibe una zona del mapa y sigue en el código todo lo que entra por ella, hasta el punto en que se guarda o se ejecuta. Trabajan en paralelo
- Segunda revisiónCada hallazgo pasa a otro agente, que no lo encontró, y cuyo trabajo es intentar desmontarlo. Solo lo que resiste esa prueba entra en el informe como hallazgo confirmado
- InformeReviso los resultados y te envío un informe ordenado, con una propuesta de arreglo para cada problema
En qué se fijan los agentes:
- Acceso y permisos. Quién puede entrar en la zona de administración y si hay forma de saltarse la contraseña o de conseguir más permisos de los que corresponden.
- Todo lo que envían los visitantes. Formularios, subida de archivos, el buscador de la web, comentarios. Por aquí entran la mayoría de los ataques que empiezan desde fuera.
- Plugins y librerías de código de terceros. Cada plugin es código que escribió otra persona y que se ejecuta en tu web con los mismos permisos.
- La separación entre los datos de cada cliente. Si un cliente puede ver un pedido, un archivo o los datos de otro.
- Un chatbot o herramienta de IA en la web, si la hay. Si se le puede hacer revelar información o hacer algo que no debería poder hacer.
Dos cosas importantes. Los agentes leen el código, no atacan la web. La web en vivo sigue funcionando con normalidad y nadie le envía intentos de ataque. Y como la revisión se hace sobre el propio código, encuentra cosas que un escaneo desde fuera no ve: un formulario que comprueba el archivo solo en el navegador y no en el servidor, o una página de administración que comprueba si has iniciado sesión pero no si tienes permiso.
Cómo es el informe
El informe no te inunda con 200 alertas. Está organizado así:
- Situación general. En unas frases: cómo está la web y qué es lo más urgente.
- Hallazgos confirmados. Problemas que han superado la segunda revisión. Para cada uno: dónde está exactamente en el código, qué podría hacer un atacante con él y cuál es el arreglo más pequeño que lo cierra.
- Hallazgos por verificar. Cosas que parecen sospechosas, pero que no se pueden demostrar solo con el código. En cada una se explica qué hay que comprobar para cerrarla.
- Recomendaciones de refuerzo. No son vulnerabilidades, sino mejoras para que el próximo problema lo tenga más difícil.
- Lo que está bien hecho. Sí, también se escribe.
- Qué se revisó y qué no. Para que sepas exactamente qué cubre el informe.
Así se ve un hallazgo en el informe. Es un ejemplo ilustrativo, no la web de un cliente:
El formulario "Envíanos tu currículum" acepta cualquier tipo de archivo
- Qué encontramos
- El formulario comprueba el tipo de archivo solo en el navegador. El servidor guarda cualquier archivo que llegue, en una carpeta accesible desde fuera.
- Qué significa para ti
- Quien sepa enviar un archivo directamente al servidor puede subir uno que ejecute código en la web. Así suelen empezar las redirecciones maliciosas y las páginas de spam.
- Qué se hace
- Comprobar el tipo de archivo también en el servidor y guardarlo en una carpeta que no ejecute código. El arreglo propuesto está en el informe.
Cómo trabajar conmigo
A la mayoría de los dueños de negocio les preocupa la parte técnica. En la práctica, tu parte es corta:
Qué haces tú y qué hago yo
- Me envías la dirección de la webPor WhatsApp. No hace falta saber con qué está hecha. Te respondo con un precio
- Das acceso al códigoUn usuario FTP o SFTP aparte, solo para mí. Tu empresa de hosting o quien hizo la web lo crea en unos minutos, y yo les envío las instrucciones exactas. ¿No sabes dónde está alojada la web, o quien la hizo ya no está? Pasa mucho; lo averiguamos juntos
- Los agentes trabajan y tú recibes el informeNo tienes que hacer nada y la web sigue funcionando con normalidad. En un plazo de 3 días laborables desde que tengo acceso, te envío el informe y respondo a cualquier pregunta, tuya o de tu programador
- Decides quién lo arreglaYo, con un presupuesto aparte, o tu programador a partir del informe. Y al final borras el usuario que creaste para mí
¿Tu web está hecha a medida, sin WordPress? En lugar de FTP, me das permiso de lectura al repositorio del código, por ejemplo en GitHub.
Cuánto cuesta
Revisión completa e informe en un máximo de 3 días laborables desde que tengo acceso: desde 1.000 ₪ (séqueles israelíes, unos 280 € o 5.900 pesos mexicanos al cambio de noviembre de 2026). El precio depende del tamaño de la web, porque una web con tienda, área de clientes y decenas de plugins exige mucho más trabajo a los agentes que una web corporativa de cinco páginas. Recibes el precio exacto antes de empezar. El arreglo, si lo quieres, se presupuesta aparte después del informe, según lo que se encuentre.
Preguntas frecuentes
¿La revisión puede tumbar o ralentizar la web?
No. Los agentes leen el código; no envían intentos de ataque a la web. Para la web y para tus visitantes no pasa nada.
¿Por qué necesitas acceso al código? ¿No basta con la dirección de la web?
Desde fuera solo se ve lo que la web enseña. La mayoría de los problemas están en el código: cómo guarda los archivos el formulario, quién tiene permiso para ver qué, qué hace un plugin con los datos que recibe. Sin leer el código, solo se puede adivinar.
¿Es seguro darte acceso?
Creas un usuario aparte, solo para la revisión, y no me das tu contraseña. Si tu empresa de hosting lo permite, ese usuario tiene permiso solo de lectura. Nadie ajeno a la revisión ve tu código, y al final lo borras.
¿Puedo darte una contraseña de aplicación de WordPress?
Una contraseña de aplicación da acceso al contenido a través de WordPress: entradas, páginas, usuarios. No da acceso a los archivos ni al código de los plugins y de la plantilla, que es donde están la mayoría de los problemas. Por eso necesito acceso por SFTP o FTP.
Mi web está en Wix o en Shopify. ¿Tiene sentido?
Menos. En esas plataformas el servidor y la mayor parte del código los gestiona la propia empresa, y no hay acceso a ellos. Si te han programado código a medida encima de la plataforma, ese sí se puede revisar. Escríbeme qué tienes y te digo si hay algo que revisar antes de que pagues.
¿Es una prueba de penetración (pentest)?
No. Una prueba de penetración es un ataque controlado contra la web en vivo, que hace un experto durante días, y a veces lo exige un cliente grande o una normativa. Aquí los agentes leen el código a fondo y no atacan la web. Si necesitas una prueba de penetración oficial, te lo diré antes de empezar.
¿Cuánto tarda el informe?
Como máximo, 3 días laborables desde que tengo acceso al código.
¿Y si no se encuentra nada?
Recibes un informe que muestra qué se revisó, qué está bien hecho y que no se encontró ningún problema. No es una garantía de que la web no vaya a sufrir nunca un ataque: mañana puede publicarse una vulnerabilidad nueva en un plugin que tienes instalado.
¿Quién ve el informe?
Solo tú y quien tú decidas.
Fuentes
- Patchstack, State of WordPress Security in 2026
- Thales Imperva, 2026 Bad Bot Report
- GoDaddy, Annual Cybersecurity Report 2024
- Google Search Central, sitios pirateados y avisos en la búsqueda
- RGPD, artículo 33: notificación de brechas a la autoridad
- Moncloa.com, la AEPD sanciona a Flexicar con 680.000 € (28.7.2026)
- Hogan Lovells, la nueva ley federal de datos personales de México
- Usercentrics, LFPDPPP: obligaciones de seguridad y aviso de brechas
- FashionUnited, El Corte Inglés informa de la vulneración de datos de sus clientes (3.3.2025)
- INCIBE, más de 122.000 incidentes de ciberseguridad en 2025
- INCIBE, balance de ciberseguridad 2024
- SonicWall, Cyber Protect Report 2026: España
- News in America, informe de Fortinet sobre el panorama de amenazas 2026
- Noticias RCN, ataques semanales por organización en Latinoamérica según Check Point (7.9.2026)
- Google Threat Intelligence, vulnerabilidad desarrollada con ayuda de IA
- Verizon, Data Breach Investigations Report
- NVD, base nacional de vulnerabilidades de EE. UU.
- ransomware.live, estadísticas de 2026
- Check Point Research, septiembre de 2026
- TechCrunch, los peores ataques de 2026
