¿Han hackeado la web de tu hotel? Señales, qué hacer y cómo pedir a Google que quite el aviso

Actualizada: 10 de noviembre de 2026

Un aviso rojo de Google delante de tu web, enlaces raros en los resultados o un motor de reservas que no funciona: así suele notarse que la web de un hotel ha sido hackeada. Y cada día con aviso son reservas directas que se pierden. Esta guía resume lo que pudimos comprobar el 10 de noviembre de 2026 en la ayuda de Google, en INCIBE y en el texto del RGPD, y marca con claridad lo que no pudimos confirmar. No recomendamos ningún servicio de pago.

La respuesta corta

Lo esencial:

Mira el informe «Problemas de seguridad» de Search Console: Google indica ahí si ha detectado contenido pirateado, malware o ingeniería social (phishing).
Limpia la web, cierra el agujero por el que entraron y solo después pide la revisión desde ese mismo informe.
Google dice que una revisión puede tardar de unos días a unas semanas; si la web está limpia, retira los avisos del navegador y de los resultados en 72 horas.
En España, el 017 de INCIBE es gratuito y confidencial, de 8:00 a 23:00 todos los días, también para empresas.
Si se han podido ver datos de clientes, el RGPD (art. 33) fija un plazo de 72 horas para notificar a la autoridad de protección de datos.

Señales de que la web está hackeada

Lo que describe Google:

Aviso a pantalla completa en el navegador antes de entrar en tu web, o una etiqueta de aviso junto a tu web en los resultados de Google. Google lo describe así en la ayuda del informe de seguridad.
Páginas que no creaste (por ejemplo, de productos o apuestas) que aparecen en Google con tu dominio: es lo que Google llama contenido pirateado.
Descargas que Chrome marca como peligrosas o formularios que piden datos que tú nunca pides (ingeniería social).
Señales prácticas, consejo nuestro: usuarios administradores que no reconoces, cambios en la página de reservas o en el botón de pago, o huéspedes que dicen que la web les redirige a otro sitio.

Qué hacer en las primeras horas

Pasos prácticos:

Cambia todas las contraseñas: gestor de contenidos, alojamiento web (hosting), FTP, base de datos, correo y Search Console. Usa contraseñas fuertes y distintas, como recomienda Google.
Revisa los usuarios del gestor de contenidos y del hosting y borra los que no reconozcas.
Actualiza el gestor de contenidos (por ejemplo, WordPress), el tema y los plugins, y elimina los que no uses: Google cita el software desactualizado y los complementos de terceros como vías de entrada.
Restaura una copia de seguridad limpia, anterior al hackeo, y vuelve a actualizarlo todo después: si restauras sin corregir el fallo, pueden volver a entrar.
Revisa el motor de reservas: que los enlaces de «Reservar» lleven a tu motor real y que la página de pago no haya cambiado. Si el motor es de un proveedor externo, avísale. Consejo nuestro.
Pasa un antivirus actualizado en los ordenadores desde los que se gestiona la web: Google recomienda proteger también esos equipos.

Cómo pedir a Google que quite el aviso

Según la ayuda de Google:

Requisitos: tener la web verificada en Search Console, haber eliminado el contenido malicioso, haber corregido la vulnerabilidad y tener la web en línea.
Comprueba que la portada y una página que estaba hackeada ya cargan limpias y que Google puede rastrearlas (sin bloqueos ni «noindex»).
En el informe «Problemas de seguridad», pulsa «Solicitar revisión» y explica el problema, qué hiciste y el resultado. No envíes otra solicitud mientras una esté pendiente.
Plazos que publica Google: hackeo con spam, hasta varias semanas; malware, unos días; phishing, alrededor de un día. Si la web está limpia, los avisos se retiran en 72 horas.

Datos de clientes y RGPD: la regla de las 72 horas

Información general, no asesoramiento jurídico:

El artículo 33 del RGPD dice que el responsable debe notificar una violación de datos personales a la autoridad de control sin dilación indebida y, si es posible, en las 72 horas siguientes a tener constancia, salvo que sea improbable que suponga un riesgo para las personas.
Si se notifica más tarde, hay que explicar el motivo del retraso.
Si tu motor de reservas o tu proveedor web trata los datos por ti (encargado), el art. 33 le obliga a avisarte sin dilación indebida.
La autoridad en España es la AEPD. No hemos revisado su procedimiento de notificación: consulta su web o a un profesional. Esto no es asesoramiento jurídico.

Ayuda gratuita por país

Lo que pudimos comprobar:

España: 017 de INCIBE, gratuito y confidencial, de 8:00 a 23:00 todos los días; también WhatsApp 900 116 117 y Telegram @INCIBE017 (La Moncloa, 14 de julio de 2026). Asesora; no es para denuncias.
Italia: la guía de ACN (julio de 2024) permite a empresas no obligadas notificar de forma voluntaria un incidente a CSIRT Italia mediante el formulario de csirt.gov.it/segnalazione.
Portugal: CERT.PT, alojado en el Centro Nacional de Cibersegurança (CNCS), cubre el ciberespacio portugués y el dominio .pt. No encontramos un formulario para pymes que pudiéramos leer: no confirmado.
Grecia: EL-CSIRT, de la Autoridad Nacional de Ciberseguridad, atiende a entidades críticas, esenciales e importantes; no confirmamos que atienda a un hotel pequeño.

Cómo ayuda iQuota

iQuota pone alojamientos independientes a disposición de los asistentes de IA con reserva directa, pago en el alojamiento y 0 % de comisión, con el precio y las condiciones que fija cada alojamiento. No podemos garantizar que un asistente de IA te recomiende.

¿Quieres que las IA den tus datos reales, con reserva directa y sin comisión? Los primeros 30 hoteles entran gratis hasta el 30 de junio de 2027.

Ver el programa Hoteles Fundadores

Preguntas frecuentes

¿Cuánto tarda Google en quitar el aviso rojo?

Google dice que una revisión puede tardar de unos días a unas semanas (phishing, alrededor de un día; malware, unos días; spam, hasta varias semanas). Si la web está limpia, retira los avisos en 72 horas.

¿Dónde pido la revisión?

En el informe «Problemas de seguridad» de Search Console, cuando ya hayas limpiado la web y corregido el fallo.

¿Hay ayuda gratuita en España?

Sí: el 017 de INCIBE, gratuito y confidencial, de 8:00 a 23:00 todos los días.

¿Tengo que avisar a la autoridad de protección de datos?

Si hubo una violación de datos personales con riesgo para las personas, el art. 33 del RGPD fija 72 horas. Es información general, no asesoramiento jurídico.

¿Tengo que pagar a una empresa de limpieza?

No necesariamente. Google publica gratis los pasos y la solicitud de revisión es gratuita. Si no te ves capaz, pide ayuda a tu proveedor web.

Fuentes

Más guías para hoteles

Más guías para hoteles →

English · Italiano · Português · Ελληνικά