JavaScript malicioso servido por Google Tag Manager puede hacer que un WordPress limpio se comporte como comprometido sin cambiar ficheros ni base de datos. Separa web y cuenta de tags: identifica contenedor, versión/tag que emitió el script y quién podía publicarlo.
Demuestra que el script llega por GTM
Usa source/network y preview/historial del contenedor para mapear la petición o cambio DOM a un tag concreto en vez de asumir inyección WordPress.
Conserva la versión publicada
Registra container ID, versión, tag/trigger y auditoría antes del rollback. Así mantienes evidencia de cuándo entró el comportamiento. Anota también quién publicó esa versión y el timestamp exacto para cruzarlo con accesos y cambios del sitio.
Contén el tag sin destruir medición
Pausa o revierte el tag/versión confirmado manteniendo analytics legítimo cuando sea seguro. No borres el contenedor antes de capturar evidencia/configuración.
Revisa accesos y permisos de publicación
Inspecciona usuarios, workspaces, service accounts y cambios recientes. Revoca/rota acceso comprometido en la capa Google, no solo WordPress.
Busca una segunda vía de inyección
GTM comprometido y WordPress infectado pueden coexistir. Tras rollback, verifica ficheros/base y que desaparece la petición desconocida.
Publica una baseline fiable
Promueve una versión revisada y prueba medición y seguridad. Conserva historial y limita permisos de publicación futuros.
Usa la guía de JavaScript desconocido para comparar inyección de web y termina con verificación de limpieza.