Claves de UpdraftCentral comprometidas: una checklist sitio por sitio para agencias

El fin de semana del 17 al 18 de octubre de 2026, TeamUpdraft (la empresa detrás de UpdraftPlus) detectó un acceso no autorizado a teamupdraft.com y comprobó que se había accedido a su base de datos de clientes. Esa base de datos contenía, entre otras cosas, las claves de conexión de UpdraftCentral, UpdraftVault y UpdraftClone. El 21 de octubre TeamUpdraft confirmó que el atacante usó una clave de UpdraftCentral comprometida para crear cuentas de administrador e instalar plugins en sitios; el alcance completo aún se está investigando. Si gestionas sitios de clientes a través de UpdraftCentral (cloud), trata cada sitio que figuraba allí antes del 18 de octubre como posiblemente afectado. Esta guía convierte el consejo oficial en una checklist sitio por sitio que puedes pasar a cualquiera de tu equipo, y añade qué decir a los clientes.

Todo lo relativo al incidente en sí procede de el aviso de seguridad de TeamUpdraft (publicado el 19 de octubre, actualizado por última vez el 22 de octubre en el momento de escribir esto). Consúltalo para ver el estado más reciente antes de empezar.

Primero: ¿te afecta?

• Usabas UpdraftCentral (cloud) para gestionar sitios: afectado. Sus claves de conexión se vieron comprometidas y al menos una se utilizó. Revisa hoy cada sitio de la lista.
• Usas UpdraftCentral autoalojado: no afectado, según TeamUpdraft.
• Usas UpdraftVault: todos los sitios se desconectaron y se emitieron nuevas credenciales. Tienes que volver a conectar cada sitio (ver abajo).
• Compartiste claves de UpdraftClone con clientes: las claves antiguas ya no funcionan; envía las nuevas a tus clientes.
• Tienes cualquier cuenta en teamupdraft.com: cambia esa contraseña y cualquier otra donde la hayas reutilizado.
• UpdraftPlus gratuito sin cuenta en teamupdraft.com: no hace falta hacer nada, pero mantén el plugin actualizado.

Las descargas del plugin no se vieron afectadas, ni tampoco las copias de seguridad que envías a tu propio almacenamiento remoto (Google Drive, Dropbox, Amazon S3 y similares). TeamUpdraft no almacenaba datos de tarjetas. Si se accedió a un sitio a través de UpdraftCentral, TeamUpdraft aconseja volver a autorizar su almacenamiento remoto y cambiar por precaución las claves de acceso al almacenamiento.

Haz una lista antes de tocar nada

Con muchos sitios de clientes, el riesgo es saltarse uno. Exporta o copia primero la lista de sitios conectados a UpdraftCentral y da una fila a cada sitio: sitio, quién lo revisó, hora, administradores OK, plugins OK, clave eliminada, contraseñas cambiadas, reconectado. Lleva cinco minutos y es lo que enseñarás al cliente después.

La checklist para cada sitio conectado

Hazlo desde el propio escritorio de WordPress del sitio (inicia sesión en el propio sitio), no a través de UpdraftCentral. Escribe tú la dirección en lugar de hacer clic en enlaces de correos.

1. Actualiza UpdraftPlus a 1.26.13 (gratuito) o 2.26.13 (Premium) o posterior. Estas versiones revocan las claves de conexión de UpdraftCentral creadas antes de las 13:07 BST del 18 de octubre. WordPress.org distribuyó la actualización automáticamente, pero comprueba la versión en cada sitio.
2. Elimina la clave de conexión antigua en Ajustes → UpdraftPlus → Advanced Tools → UpdraftCentral.
3. Revisa Usuarios. Filtra por Administrador y por Editor, y elimina cualquier cuenta que no reconozcas. Anota su nombre de usuario y su fecha de creación antes de borrarla; puede que los necesites más adelante.
4. Revisa Plugins, incluida la pestaña Must-Use. Elimina todo lo que no hayas instalado tú. A los atacantes les gustan los plugins con nombres inofensivos, y los plugins must-use no aparecen en la lista normal.
5. Cambia las contraseñas de todas las cuentas de administrador, incluida la cuenta de tu propia agencia en ese sitio.
6. Si algo parece sospechoso, restaura una copia de seguridad anterior al 17 de octubrey repite después las comprobaciones en el sitio restaurado.
7. Vuelve a autorizar el almacenamiento remoto (Google Drive, Dropbox, S3 y similares) y cambia esas claves de acceso si el sitio figuraba en UpdraftCentral.
8. Vuelve a conectar el sitio a UpdraftCentral solo cuando hayas terminado los pasos anteriores. Los sitios que reconectes así no volverán a desconectarse con la actualización.

Mira un poco más allá de la lista oficial

Los pasos oficiales cubren los puntos de entrada evidentes. En los sitios importantes (tiendas, sitios de membresía, todo lo que tenga datos de clientes), dedica diez minutos más:

• Archivos y carpetas desconocidos en la raíz web y en wp-content, y direcciones IP extrañas en tus registros de acceso, sobre todo archivos PHP modificados recientemente o carpetas con nombres aleatorios o solo números.
• Tareas programadas que no reconozcas (entradas de WP-Cron, con una herramienta como WP Crontrol o WP-CLI wp cron event list).
• Contraseñas de aplicación en los perfiles de administrador. Sobreviven a un cambio de contraseña normal.
• Redirecciones salientes y spam: abre el sitio en un móvil, sin sesión iniciada, y busca en Google site:clientdomain.com para detectar páginas que nunca creaste.
• El escaneo de malware de tu plugin de seguridad o de tu hosting, ejecutado una vez ahora que sabes que puede haber algo que encontrar.

UpdraftVault y UpdraftClone

UpdraftVault: en cada sitio ve a Ajustes → UpdraftPlus → Settings, elige UpdraftVault como almacenamiento remoto, haz clic en Connect bajo «Already got space?», introduce tu correo de teamupdraft.com con la nueva contraseña, guarda y lanza una copia de seguridad manual para comprobar que funciona. Hasta que lo hagas, esos sitios no envían copias a Vault.

UpdraftClone: si nunca creaste claves de cliente, no hay nada que hacer. Si lo hiciste, copia las nuevas claves desde My Account → UpdraftClone → UpdraftClone Key Management y envíalas a los clientes que las usan.

Qué decir a tus clientes

Los clientes se enteran de las brechas por las noticias o por un compañero nervioso. Es mejor que lo sepan por ti, en pocas palabras y con el trabajo ya hecho. Basta con un mensaje corto:

«Una herramienta de copias de seguridad que usamos anunció un incidente de seguridad el 19 de octubre. Hemos revisado tu sitio: ninguna cuenta de administrador ni plugin desconocido, contraseñas cambiadas, conexión renovada. No tienes que hacer nada. Seguiremos vigilando.»

Envíalo solo cuando sea cierto para ese sitio. Si encontraste algo, di qué encontraste, qué restauraste y qué vigilas a continuación. Ojo también con el phishing: TeamUpdraft dice que nunca pedirá contraseñas ni claves por correo, así que cualquier mensaje que lo haga no es suyo.

La lección para cualquier panel central

Esto no va de un solo proveedor. Cualquier herramienta que gestiona muchos sitios desde un mismo lugar tiene una llave de cada uno: un panel de copias de seguridad, una consola de gestión, un panel de hosting. Unos pocos hábitos limitan el daño cuando uno de ellos sufre una brecha:

• Mantén una lista actualizada de qué herramientas están conectadas a qué sitios de clientes.
• Usa contraseñas únicas y verificación en dos pasos en cada cuenta de proveedor.
• Guarda las copias de seguridad en un lugar que controles, con más de una copia, y comprueba que se pueden restaurar.
• Prefiere herramientas que registren cada inicio de sesión y cada acción en un sitio, y que el propietario del sitio pueda desactivar desde WordPress.
• Ten claro quién hace qué en tu equipo el día de un incidente, antes de que llegue ese día.

Cómo lo gestiona Verploy

Verploy se conecta a los sitios de clientes mediante un pequeño plugin conector. Los accesos con un clic a WP Admin desde Verploy quedan registrados, y el propietario del sitio puede desactivarlos en WordPress (Ajustes → Verploy). Cada actualización se revisa. Las arriesgadas se prueban primero en una copia. Más en la página de mantenimiento de WordPress para agencias .