Una página exige pulsar “Permitir” para demostrar que eres humano, copiar un comando o instalar una actualización. Un CAPTCHA legítimo no requiere permisos de notificación ni instrucciones del sistema operativo. Considera el aviso malicioso hasta demostrar lo contrario.
No sigas las instrucciones ni pidas a los visitantes que las reproduzcan.
Contén el aviso activo
Si aparece ahora, restringe la web o sirve mantenimiento limpio conservando archivos, base y logs. Desactiva una integración publicitaria o Tag Manager confirmada como comprometida si puede aislarse.
Guarda capturas, URL, hora y referrer. No pulses Permitir, descargues ni pegues comandos.
Si alguien ya aceptó notificaciones, indícale los controles oficiales de permisos del navegador y el proceso normal de seguridad de su organización. La web todavía necesita limpieza.
Conserva el hostname exacto que recibió el permiso: puede ser el dominio legítimo, un subdominio comprometido o un destino externo. No confundas revocar el permiso del visitante con eliminar el código que lo solicitó; son dos tareas separadas y ambas deben verificarse.
Reproduce en un perfil aislado
Usa un perfil desechable sin login de WordPress. Registra la red y prueba primera visita, móvil, escritorio y referrer de búsqueda.
Los avisos pueden mostrarse una vez, guardar cookie y desaparecer. Limpia solo el perfil aislado entre pruebas.
Detente antes de interactuar. La cadena de peticiones y el DOM suelen bastar para localizar el cargador.
Distingue un CAPTCHA falso
Identifica de dónde sale el elemento. Un CAPTCHA real se asocia a un formulario y usa el dominio configurado del proveedor. Una capa completa sobre artículos, una solicitud de notificaciones al entrar o una “verificación” que abre otro dominio son sospechosas.
Inspecciona código y DOM buscando iframes, scripts y overlays. Anota dominios y el recurso iniciador.
No autorices un dominio porque se parezca al nombre de un proveedor conocido. Verifica hostname e integración exactos.
Inspecciona scripts externos
Publicidad, chat, consentimiento y Tag Manager pueden cargar scripts adicionales. Compara en staging con cada integración opcional desactivada.
Revisa historial de publicaciones y usuarios del contenedor. Una cuenta de Tag Manager robada puede inyectar el aviso sin tocar WordPress.
Conserva la versión como evidencia antes de revertir. Revoca sesiones afectadas y refuerza accesos después de contener.
Busca en WordPress y hosting
Revisa JavaScript y PHP modificados, plugins desconocidos, cabecera y pie del tema, widgets, opciones y contenido. Comprueba cron, usuarios, contraseñas de aplicación y ejecutables en uploads.
Inspecciona .htaccess, wp-config.php, raíz, redirecciones del hosting y DNS. El cargador puede insertar solo un script externo y alojar el payload fuera.
No elimines únicamente el CSS de la capa: el script y la entrada seguirán activos.
Trata correctamente el abuso de notificaciones
La web solicita permiso mediante APIs del navegador, pero las notificaciones pueden llegar cuando está cerrada. El usuario afectado debe revocar el permiso del origen malicioso.
No ordenes a todos restablecer el navegador sin evidencia. Enlaza documentación oficial y céntrate en el permiso específico.
Retirar un service worker o push script puede requerir una actualización limpia para que los registros existentes caduquen o se desactiven.
Verifica la limpieza
Tras eliminar el código y cerrar la vía, prueba perfiles nuevos bajo referrer y dispositivo originales. Confirma que no aparecen solicitud de notificación, overlay falso, redirección o service worker sospechoso.
Purga la CDN después de limpiar el origen y monitoriza dominios externos, Tag Manager e integridad de archivos.
Prueba además que formularios y CAPTCHA legítimos continúan funcionando. Retirar una integración comprometida no debe dejar el formulario sin protección ni provocar que soporte vuelva a habilitar el contenedor antiguo para resolver una incidencia comercial.
Solicita ayuda urgente
Pide limpieza urgente si el aviso solicita permisos, comandos o descargas. Envía capturas, URLs y horas sin pulsar ni adjuntar archivos descargados.
La reparación debe cubrir WordPress, entrega de terceros y persistencia en visitantes, y demostrar que la primera visita original ya está limpia.