Un hackeo puede dejar tu web caída o comprometida entre 3 y 15 días, sumarte entre 5 y 15 horas de trabajo especializado urgente para limpiarla, y costarte desde varios cientos hasta varios miles de euros, entre limpieza, horas de trabajo y ventas perdidas, antes de contar lo que tarda en volver tu posición en Google.

Llevo años trabajando con agencias y con negocios que gestionan su propia presencia digital, y he ayudado a muchas de ellas que tuvieron problemas de hackeo en algún momento. La reacción casi siempre es la misma, porque la mayoría de los dueños de una web piensan que un hackeo es cosa de otros. De negocios más grandes, de sitios más visibles, de gente que hace algo mal. 

Pues cuando les pasa a ellos, hay sorpresa, después pánico, después buscar culpables, y finalmente la pregunta que en realidad debería haberse hecho antes, o sea, ¿cuánto me va a costar esto?

No te voy a dar una guía de qué hacer si una página web es hackeada. Esa ya existe y la puedes encontrar en nuestro blog si la necesitas. Este artículo trata de lo que nadie te cuenta cuando contratas un hosting barato pensando que la ciberseguridad es un detalle que puedes dejar para después. Lo que realmente está en juego es tiempo, datos, posición en Google, confianza de tus clientes y dinero. 

¿Por qué crees que esto no te va a pasar a ti? Y por qué te equivocas

Desmontamos dos mitos:

• No hace falta que exista alguien interesado específicamente en tu negocio para que termines con una web hackeada. 
• El tamaño pequeño de tu negocio no te protege.

La gran mayoría de ataques no los ejecuta una persona sentada frente a una pantalla eligiendo víctimas, los ejecutan bots, programas automatizados que recorren internet buscando la puerta más fácil de abrir.

Si tu sitio corre sobre WordPress, por ejemplo, esa puerta suele ser un plugin desactualizado o una contraseña débil o tema adquirido en fuentes no oficiales. De hecho, según el informe State of WordPress Security in 2026 de Patchstack, el 91% de las vulnerabilidades nuevas de WordPress se descubren en plugins. Una web hackeada casi siempre empieza con algo pequeño que nadie revisó a tiempo. 

Es por esto que, muchas veces el tamaño de tu actividad juega en tu contra, porque los negocios pequeños suelen ser justamente los que menos recursos dedican a la seguridad, y eso los convierte en el blanco más sencillo. Así que tienes que entender que no es personal, es simplemente estadística, lo que significa que no puedes confiar en que no te va a tocar.

Lo que cuesta realmente perder el control de tu web

Vamos a los datos concretos. Cuando una web se hackea, el impacto llega en capas, y cada una de esas capas tiene un coste distinto. Para que las cifras sean comparables, partimos de una referencia unica, una web que genera, de media, 40 € al día en ventas o en valor de leads captados. Si tu negocio mueve más o menos que eso, ajusta las cifras proporcionalmente.

1. El coste en tiempo: cuánto tardarías en recuperar el control de tu web

El escenario con backups recientes en buen estado

Teniendo copias de seguridad recientes y funcionando correctamente, la recuperación puede ser relativamente rápida. Hablamos de horas, si el proveedor de hosting tiene un equipo técnico capaz de restaurar el sitio sin que tú tengas que resolverlo por tu cuenta. Es el escenario menos malo, y aun así implica tiempo fuera de línea, clientes que no pueden comprar ni contactarte, y horas que tú o tu equipo dedican a algo que no estaba en el plan del día.

En números: con el sitio caído entre 2 y 6 horas mientras se restaura desde el último backup, y a 40 €/día en ventas o leads, hablamos de entre 3€ y 10€ de ingresos directos perdidos. A eso se suma 1-2 horas de tu tiempo (o de un freelance a 30-60 €/hora) confirmando que todo volvió a la normalidad: entre 30 € y 120 € más. Total del escenario menos malo: ~35€-130€ y una tarde perdida.

El escenario sin backups o con backups corruptos

Este es el escenario que veo con más frecuencia en negocios que trabajan con hosting barato, y es mucho más habitual de lo que la gente cree. Muchos proveedores económicos ofrecen backup web semanal, lo cobran aparte, lo almacenan en el mismo centro de datos, o directamente no lo ofrecen. Cuando llega el momento de restaurar, te encuentras con que la última copia disponible tiene semanas de antigüedad, o que simplemente no existe.

Aquí el tiempo de recuperación se dispara, puede tomar días, y en algunos casos, semanas, especialmente si a eso le sumas un soporte técnico lento o que directamente no responde a tiempo, y la necesidad de una investigación a profundidad para conseguir la ubicación de los archivos maliciosos y evitar que se repita en el futuro. 

Y mientras tanto, tu web sigue caída, o peor, sigue online pero comprometida, sirviendo malware sin que tú lo sepas. En el caso de un WordPress hackeado, esto suele significar archivos inyectados que siguen activos aunque tú no notes nada raro a simple vista.

En números: con el sitio caído o comprometido entre 3 y 15 días (el rango habitual para infecciones moderadas-severas que reportan los servicios de limpieza especializados), las ventas o leads perdidos van de 120 € a 600 €. Sumado a entre 5 y 15 horas de trabajo especializado urgente (limpieza + investigación de causa), que en España se factura entre 80 € y 150 €/hora cuando es intervención de emergencia, son entre 400 € y 2.250 € adicionales. Solo en tiempo y ventas, ya estás entre 520 € y 2.850 €.

2. El coste en datos: lo que podrías perder para siempre

Pedidos de clientes, formularios de contacto, contenido que escribiste con esfuerzo durante meses, todo eso puede desaparecer sin posibilidad de recuperarlo si no existe un backup web reciente y confiable. Incluso en empresas grandes, he visto casos de clientes que han tenido que presentarse en las instalaciones del proveedor, en otro país para poder hacer ellos mismos una copia de los discos físicos. Para muchos negocios pequeños, esos datos son el negocio mismo.

En números: para un negocio pequeño con un catálogo de 20-50 productos o 30-50 páginas/artículos, recrear ese trabajo desde cero (fotos, descripciones, textos, configuración) puede llevar entre 20 y 60 horas. A 30-60 €/hora, son entre 600 € y 3.600 € solo en horas repetidas, sin contar los pedidos, leads o datos de clientes que directamente no se pueden recuperar y que ya son negocio perdido.

3. El coste en SEO: lo que un hackeo le haría a tu posición en Google

Esta es, probablemente, la parte que menos se entiende y la que más afecta a mediano y largo plazo.

Cuando Google detecta que un sitio está comprometido, ya sea porque distribuye malware de WordPress, redirige a páginas fraudulentas o aloja contenido de phishing, lo marca a través de su sistema Google Safe Browsing. Esto significa que cualquier persona que intente visitar tu web se va a encontrar con una advertencia de sitio peligroso antes de poder entrar, por lo que la mayoría no va a entrar al sitio.

Ahora bien, limpiar tu web no elimina esa mancha de forma inmediata, al menos, ante los ojos de Google. Tienes que solicitar una revisión manual a Google Safe Browsing, y ese proceso puede tardar días. Durante todo ese tiempo, casi nadie llega a tu sitio a través de resultados de búsqueda mientras esté marcado.

Y cuando logres que retiren la advertencia, la confianza del algoritmo no vuelve de golpe. Google necesita tiempo para volver a rastrear tu sitio con normalidad y es común que el tráfico tarde semanas en recuperar los niveles previos al incidente. 

En números: según la propia documentación de Google Search Console, una revisión tras una alerta de malware tarda “de unos días a unas semanas”. Si el caso se clasifica como “hackeado con spam”, el propio Google indica que el proceso puede llevar varias semanas por la investigación manual que requiere. Y en cuanto al efecto real de la advertencia, un estudio de Google Research junto a UC Berkeley, sobre más de 25 millones de advertencias de navegador, encontró que los usuarios continúan navegando a un sitio marcado como malware o phishing en Chrome en apenas una cuarta parte de los casos, es decir, alrededor del 75% de las visitas se abandonan. Si tu web depende del tráfico de búsqueda y el episodio (marcado + recuperación de confianza del algoritmo) se extiende 3-6 semanas, eso puede representar entre 400 € y 1.200 € en ventas o leads no captados, solo por SEO.

4. El coste en confianza: lo que pensarían tus clientes si vieran “sitio no seguro”

Piensa en la última vez que entraste a una página y tu navegador te mostró una advertencia de seguridad. ¿Le diste clic en “continuar de todas formas” para seguir adelante? Probablemente no. Y si lo hiciste, seguro lo pensaste dos veces. Ese es exactamente el efecto que tiene una web hackeada sobre tus propios clientes.

Recuperar el sitio técnicamente toma días, pero recuperar la confianza de un cliente que sintió que lo pusiste en riesgo puede tomar meses, y en muchos casos, esos clientes simplemente no vuelven.

En números: tomando como referencia esa misma tasa de abandono (~75% ante una advertencia de seguridad), es razonable asumir que durante las semanas que dura el episodio pierdes entre el 20% y el 40% de las conversiones potenciales, por clientes que llegan a verlo comprometido, dudan, o simplemente no vuelven a intentarlo. Para un negocio con 40 €/día en ventas o leads, en un periodo de 4 semanas son entre ~220 € y ~450 € solo por desconfianza, sin contar el valor de vida de esos clientes que no vuelven nunca.

5. El coste total: ¿Cuánto cuesta reparar y solucionar los daños causados por una web hackeada?

La respuesta honesta es que depende, pero aquí van rangos realistas para un negocio pequeño:

Limpieza profesional del sitio	150 – 800 €
Horas de trabajo perdidas	400 – 2.200+ €
Ventas perdidas durante el tiempo offline	120 – 600 €
Tráfico perdido por ser incluido en listas negras de Google	400 – 1.200 €
Total	~1000 € – 4.800+ €

Y esto sin contar el coste en confianza que vimos arriba (168-672 € adicionales, no siempre reflejado en una factura) ni escenarios donde hay pérdida de datos de clientes, tiendas online con pedidos comprometidos, o directamente no hay backup del que partir. En esos casos, la cifra puede subir bastante más. 

Recuerda también que esto es solo una parte del coste total de tener una web. Un marco completo para calcular cuánto te cuesta de verdad cualquier hosting considera aspectos como velocidad de la web, cuentas de correo y todo tipo de herramientas extra.

Con eso en mente, la pregunta que realmente importa es: ¿cuánto vale para ti evitar todo esto?

Lo que reduce de verdad este riesgo

Ninguna de estas dimensiones de coste depende de que tengas mala suerte. Dependen, en gran parte, de decisiones de infraestructura que se toman antes de que ocurra cualquier problema.

Backups automáticos con retención suficiente

No sirve de mucho tener un backup web de hace tres semanas. La retención importa tanto como la frecuencia.

Todos los planes de hosting compartido de SiteGround incluyen copias de seguridad diarias automáticas, con 30 días de puntos de restauración, almacenadas en ubicaciones geo-distribuidas y restaurables con un clic desde el panel, sin abrir ticket. 

No importa si fue hackeo, error humano o una actualización que rompió la web: puedes volver al estado del día anterior en minutos, no días. Si necesitas más, el add-on Premium Backup añade copias horarias, restauración de archivos individuales (no solo del sitio completo) y descarga local de la copia. Comparado con el backup semanal (o de pago) del hosting barato, la diferencia no es un matiz: es la diferencia entre perder un día de trabajo o perder un mes.

Aislamiento de cuentas

Si tu hosting no aísla correctamente las cuentas dentro de un mismo servidor, una vulnerabilidad en otro sitio puede terminar afectando al tuyo, sin que tú hayas hecho nada mal, o afectando a todas tus webs, en lugar de mantenerse dentro de una única web.

Cada cuenta en SiteGround corre en su propio contenedor aislado, lo que significa que si otra web alojada en el mismo servidor físico tiene un problema de seguridad, el tuyo no lo hereda. Es una diferencia estructural, no un ajuste de configuración: en el hosting compartido barato, el “vecino” del servidor es una lotería que juegas cada día sin saberlo.

Protección proactiva frente a bots, en lugar de reaccionar a un evento

La mayoría de los ataques automatizados se pueden bloquear antes de que lleguen a probar suerte con tu sitio. Reaccionar después de que ya entraron siempre sale más caro que prevenir.

El sistema anti-bot con IA de SiteGround bloquea entre 25 y 30 millones de intentos de ataque de fuerza bruta por hora en toda la plataforma, distinguiendo en tiempo real tráfico legítimo de bots atacantes (y mostrando un CAPTCHA cuando no está seguro). En conjunto, la plataforma filtra alrededor de 1 TB de tráfico malicioso al día y detiene el 99,99% del tráfico dañino antes de que llegue a tu sitio. Tú no configuras nada, y tu web se beneficia de lo que el sistema aprende protegiendo a más de 3 millones de dominios a la vez. En un hosting barato, esta capa directamente no existe, y la seguridad empieza y termina en un plugin que instalas tú, dentro de tu propio WordPress, cuando el atacante ya está llamando a la puerta.

Monitorización continua para detectar el problema antes de que afecte a un cliente

Cuanto antes se detecte una infección, menor es el daño en cada una de las categorías de coste que vimos arriba, sobre todo en SEO y confianza, donde el tiempo sin detectar es lo que más pesa.

Site Scanner de SiteGround monitoriza tu web para detectar malware, contenido en listas negras y archivos sospechosos de forma temprana, antes de que un visitante (o Google) los detecte por ti. La versión Premium añade además herramientas de eliminación automática de malware. Es la única pieza de seguridad de esta lista que se contrata como add-on opcional; el resto (anti-bot, aislamiento, backups) viene incluido desde el plan de entrada.

Elige un socio que se tome la seguridad tan en serio como tú

Cuanto antes se detecte una brecha, menor es el daño en cada una de las cinco categorías que acabamos de repasar. Y ya viste las cifras – incluso en el escenario fácil, hablamos de cientos de euros, y en el escenario sin backups, de miles. Entender esto es el primer paso, pero la tranquilidad te puede venir solo de elegir un socio que se tome la seguridad tan en serio como tú, antes de que la necesites.

En SiteGround, esto es infraestructura que ya está funcionando en segundo plano mientras tú te dedicas a tu negocio: protección anti-bot con IA que bloquea entre 25 y 30 millones de intentos de fuerza bruta cada hora, cada cuenta aislada en su propio contenedor para que el problema de otro no se convierta en el tuyo, backups diarios automáticos con 30 días de histórico y restauración en un clic, y hace escaneos diarios de tu web (y en tiempo real en cada subida de archivo con la versión Premium) para detectar malware. Ninguna de estas capas requiere que tú la configures ni que te acuerdes de activarla.

Esto es, en el fondo, lo que estás pagando cuando eliges un hosting que cuesta más al mes. La falta de esa calidad superior, de esos servicios adicionales son exactamente lo que puede convertirse en las cifras que viste en este artículo.

Cuando decides pagar menos por tu hosting, no estás ahorrando ese dinero, lo estás moviendo de una factura mensual predecible a una factura futura, incierta y normalmente más alta, que llega justo el día que menos te lo esperas. Si tienes curiosidad por ver el inventario completo de todo lo que va incluido de serie en SiteGround, lo desglosamos pieza por pieza.

Si quieres dejar de improvisar cada vez que algo falla y centrarte en tu negocio, descubre cómo la infraestructura de SiteGround protege tu sitio desde el primer día.

¿Listo para transformar tu presencia digital?

No dejes que un hosting lento frene el crecimiento de tu negocio. Únete a miles de emprendedores que han elegido SiteGround para impulsar su éxito: desde startups hasta scale-ups, crecemos contigo.

Empezar