Te cambian los DNS desde el panel del hosting: un hackeo raro

En diciembre de 2024 Gustavo contó en el grupo «el hackeo más extraño» que había visto. No tocaron PrestaShop. Entraron en la cuenta del cliente en su proveedor de dominio y hosting, cambiaron los DNS y apuntaron el dominio a un servidor suyo. Lo resolvió en un par de horas, pero el caso enseña dónde está una puerta que casi nadie vigila.

Qué hicieron

1. Entraron en el panel del proveedor con la contraseña del cliente, filtrada o adivinada.
2. Cambiaron los DNS del dominio para que apuntara a un servidor del atacante.
3. Montaron allí una web cutre, como si la tienda estuviera sin terminar, con pinta de querer vender o estafar en nombre del negocio.
4. Dieron de alta el dominio en Google Search Console subiendo el fichero de verificación a su propio servidor. Para Google, eran los dueños.

El riesgo de verdad: el correo

Gustavo lo explicó así: quien controla los DNS puede crear cuentas de correo con tu dominio y recibir lo que te envíen. Con eso puede pedir «recuperar contraseña» en la tienda y en cualquier otro servicio donde uses el correo corporativo, leer correos confidenciales o enviar en tu nombre. Aquí no llegaron a hacerlo, pero tenían la llave.

Cómo lo resolvió

• Por si acaso, cambió los accesos de los empleados del back-office que usaban el correo corporativo.
• Los accesos al panel del proveedor solo los tenía el cliente en su oficina, así que hubo que ir allí, crear un usuario nuevo en el panel, devolver los DNS a su sitio y cambiar las contraseñas.
• Su reflexión: habría sido más rápido si él u otra persona de confianza hubieran tenido acceso al panel.

Lo que conviene revisar

• Activa el doble factor en el panel del dominio y del hosting. Desde esa cuenta se controlan la web y el correo.
• Que haya al menos dos personas de confianza con acceso, y que la recuperación de la cuenta no dependa de un correo del mismo dominio.
• Activa los avisos de cambios de DNS si tu proveedor los tiene, y apunta en algún sitio cuáles son tus registros buenos.
• En Search Console, revisa de vez en cuando los propietarios verificados y quita los que no conozcas.

Otros casos de esas semanas

No fue el único. En pocas semanas salieron en el grupo varios casos más, todos con alguna trampa para pasar desapercibidos:

• Redirección solo para visitas de fuera de España. Unos ficheros infectados mandaban a otra página a quien entraba desde otro país, por ejemplo desde las herramientas de medir la velocidad. El dueño, desde España, veía su web normal. Si una herramienta externa enseña algo raro y tú no lo ves, prueba desde otro país.
• .htaccess e index.php modificados. Gustavo borró los ficheros extraños, recuperó los originales y bloqueó el tráfico de los países desde donde llegaban los ataques.
• Ficheros que vuelven. Rekire avisó de que hay ficheros que se regeneran después de borrarlos: hay que encontrar por dónde entraron, no solo limpiar.
• Más allá de public_html. Gustavo preguntó si una infección que entra por la web puede salir de la carpeta pública. Respuesta de los que gestionan servidores: sí. El código malicioso tiene los mismos permisos que tu usuario del hosting; en un cPanel, todo /home/usuario/. Limpia la cuenta entera.
• Fechas que no cambian. Ya en 2025, Gustavo contó que había visto código añadido a una imagen JPG, y otro compañero, ficheros modificados sin que cambiara su fecha. Buscar «los últimos ficheros cambiados» no siempre vale: compara con los originales de tu versión.

Para enterarte rápido de los cambios sospechosos en la tienda, en Rekire tenemos el módulo de alertas de seguridad por Telegram. Y si quieres que revisemos la seguridad de tu tienda y de sus accesos, lo hacemos dentro de nuestros bonos de horas: contacta con nosotros.

Esto salió en @PrestashopEsp, la mayor comunidad PrestaShop de España en Telegram. Ver la conversación