El hosting dice que la web está limpia pero un escáner muestra malware, ¿a quién le creemos?

Eso se llama redirección condicional. Los que escriben el código muestran la página limpia a los usuarios de escritorio para no ser detectados y solo atacan a los móviles. Haz la prueba entrando desde el buscador usando los datos móviles de tu teléfono y vas a ver el malware en acción.

No esperes limpieza a nivel de aplicación en un soporte de hosting compartido. Mientras el servidor no se caiga ellos no tocan archivos, y por contrato la seguridad de la web corre por cuenta del cliente. Te toca contratar una limpieza profesional ya mismo.

Haz un respaldo completo de la web de inmediato. Luego instala un plugin de seguridad reconocido para WordPress y pasa un escaneo profundo a la base de datos. Borra los scripts extraños que encuentre y cierra todas las sesiones activas.

baja el codigo fuente de la web con curl simulando un user-agent movil dese la consola... ahi vas a ver clarito el js oculto que le manda al navegador los del hosting nomas no se quisieron complicar.

Plan de acción urgente en tres pasos para detectarlo: 1) Elimina por completo todos los temas y plugins viejos que no uses en el sitio, 2) Revisa manualmente si hay bloques de código extraños en el archivo de configuración del directorio raíz de WordPress, 3) Entra al panel de indexación del buscador y comprueba si ha saltado alguna alerta de seguridad.

En un caso parecido perdimos tres semanas; como el hosting decía que estaba limpio no hicimos nada. Al final el buscador metió nuestra web en la lista negra con pantalla roja y el tráfico orgánico nos cayó un 85%. Tuvimos que pagar 600 dólares a un experto externo para que nos lo limpiara.

El año pasado tuvimos esa misma contradicción con la web de la oficina. Por las noches la página redirigía a webs de farmacias falsas, pero por la mañana, cuando el soporte del hosting abría el ticket, el sitio salía limpio. Resulta que el código malicioso estaba programado para ejecutarse solo de noche. Por eso los escáneres externos dan resultados mucho más fiables.

Rara vez se encuentra un texto que lo explique tan claro. Antes de decidir, mirad qué datos tenéis en la mano.

Si la verificación en dos pasos está activa, una contraseña robada no sirve de nada por sí sola. También me gustaría saber si alguien lo hace de otra manera.

Hay un punto que me genera dudas. en fin que todo el mundo haga algo no significa que sea lo correcto.

Si decidimos sin medir siempre acabamos en el mismo punto. Ánimo.

Estoy siguiendo esto.

Tomo nota gracias.

Yo no me apresuraría. No tengáis miedo de preguntar, quien no pregunta siempre paga más caro.

Por supuesto, cambia si tu situación es diferente.

En este punto no estoy de acuerdo con ustedes. La mayoría de los incidentes no empiezan por una vulnerabilidad, sino por una contraseña filtrada.

Corrijanme si me equivoco.

Voy a resumir el tema porque se han dado varias respuestas diferentes. El error cometido por verificador de seguridad web suele ser reversible, pero caro.

El tiempo que tardas en detectar un problema determina directamente su coste. Por supuesto cambia si tu situación es diferente.

Lo probaré.

No sabía eso. La mayoría de los incidentes no empiezan por una vulnerabilidad, sino por una contraseña filtrada.

Eso es todo, disculpa si me he extendido demasiado.

Gracias por escribir esto es lo correcto. No tengáis miedo de preguntar, quien no pregunta siempre paga más caro.

Por supuesto, cambia si tu situación es diferente.

En este punto no estoy de acuerdo con ustedes. Todo lo que no está por escrito, ambas partes lo recordarán de forma distinta en el futuro.

Yo seguiría por ese camino.