Así es como los sitios WordPress son atacados casi mil millones de veces al mes

Jan Hornung Última actualización 23.01.2020
4 min.
Brute Force ataques

Solo en mayo de 2017, los sitios WordPress recibieron casi mil millones de impactos de los llamados Brute Force ataques bombardeado. Esto hace que los ataques de inicio de sesión automatizados sean, con mucho, la mayor amenaza para los proyectos de WordPress -WordPress . Afortunadamente, usted puede protegerse rápida y eficazmente contra la avalancha de inicios de sesión. Porque los ataques de Brute Force son fáciles de rechazar.

Hay ladrones que planifican su golpe durante años, reúnen un equipo capaz, bajan en rappel desde los tejados por la noche y abren cajas fuertes de oído. Y luego hay gente que rompe un escaparate con una piedra. En esta categoría se incluyen los ataques aBrute Force , que son, con mucho, los más comunes en los sitios WordPress .

La idea que subyace a los ataques de Brute Force es relativamente sencilla: los hackers intentan adivinar los nombres de usuario y las contraseñas para poder acceder a WordPress -panel de control . Por lo tanto, no se necesitan necesariamente conocimientos profundos ni una gran infraestructura técnica para llevar a cabo con éxito un ataque de este tipo. Basta con una lista de contraseñas y nombres de usuario y un breve guión.

Esto también se refleja en el gran número de ataques. Según las mediciones del proveedor de seguridad Wordfence , en mayo de 2017 se produjeron alrededor de 900 millones de ataques de Brute Force a los sitios WordPress . En abril, hubo incluso 1.380.000.000, es decir, 1.380 millones de ataques. Y dado que aproximadamente el 28,3% de los 10 millones de sitios web más grandes del mundo funcionan actualmente en WordPress , esta cantidad de ataques supone una enorme amenaza para Internet en su conjunto. O al menos uno potencial. Porque puedes defenderte de estos ataques muy fácilmente.

Por eso, hoy explicaré cómo funcionan los ataques de Brute Force y cuál es el riesgo de tu sitio .

Lo que cuenta es el público

Brute Force Los ataques son básicamente poco imaginativos. De ahí el nombre: brute forceque en alemán significa algo así como fuerza bruta.

Un solo hacker tardaría siglos en revisar sólo el nombre de usuario "admin" con, por ejemplo, una lista de las 500 peores contraseñas. Sin embargo, la idea romántica de que los sitios son hackeados por personas que teclean manualmente todas las contraseñas posibles no se corresponde con la realidad.

Los hackers automatizan sus procesos de trabajo. Trabajan con bots, es decir, programas que atacan automáticamente las WordPress páginas. Estos bots también pueden combinarse en miles en grandes redes, las llamadas botnets.

Los bots conocen muy bien las vulnerabilidades de sus víctimas. Las redes de bots, en particular, consiguen comprobar numerosas IP y, por tanto, innumerables sitios web simultáneamente y a la velocidad del rayo en busca de fallos en la arquitectura de seguridad.

Una vez que han encontrado un sitio web con la correspondiente vulnerabilidad, atacan una y otra vez y prueban automáticamente decenas de miles de las contraseñas y nombres de usuario más comunes hasta que consiguen entrar. Las bases de datos de libre acceso que enumeran las contraseñas más comunes de diversas plataformas y redes facilitan aún más su trabajo.

Es precisamente esta automatización lo peligroso de los Brute Force ataques. Incluso si usted está ejecutando un sitio web relativamente desconocido, cuyo pequeño alcance lo hace poco atractivo para los hackers humanos, puede quedar atrapado en el punto de mira de un bot o botnet. Los robots no distinguen entre sitios web grandes y pequeños. Sólo distinguen entre los buenos y los malos seguros. Y porque tantos sitios están listados bajo WordPress la probabilidad de que una carrera de WordPress sitio para golpear, por supuesto, más grande que con otros CMS.

Datos y alcance, ese es el botín

Pero, ¿por qué los hackers también atacan a los sitios web pequeños con sus redes de bots? En principio, siempre se trata de dos recursos: datos y alcance. Porque ambos pueden venderse o alquilarse, es decir, monetizarse. Para ello, las páginas de destino suelen estar infectadas con malware.

Con esto, el hacker puede hacer lo siguiente, por ejemplo:

  • Envío de correos spam desde tus sitio que aterrizan directamente en las bandejas de entrada de tus destinatarios
  • tu sitio en una red de bots y utilizarlos para otros ataques
  • Acceder a las bases de datos tus clientes o miembros de la comunidad y robar datos sensibles
  • Alojar contenidos ilegales con usted
  • Redirija su tráfico

El peligro aumenta constantemente, al igual que la cuota de mercado de WordPress .

Por lo tanto, ser víctima de un ataque exitoso en Brute Force no es algo trivial. Pero, ¿cuál es el riesgo de que los hackers ataquen tu sitio ? Para poder evaluar el peligro, conviene echar un vistazo a las cifras disponibles.

Número de ataques de Brute Force en millones y cuota de mercado de WordPress .
Número de ataques de Brute Force en millones y cuota de mercado de WordPress .

La proporción de sitios WordPress aumenta constantemente, mientras que el número de ataques Brute Force , en cambio, fluctúa mucho. En algunos casos, esto se debe a que las redes de bots más grandes estaban activas durante este período. Por ejemplo, una botnet de routers domésticos estuvo activa en abril de 2017.

Por supuesto, en estas estadísticas sólo se incluyen los ataques fallidos que fueron evitados por el respectivo software de seguridad. Por lo tanto, los ataques exitosos de Brute Force no se cuentan aquí. Tampoco lo son los ataques a sitios que no tienen instalado el Plugins de Sucuri o Wordfence .

Se puede ver por el gran número de ataques: Cualquiera que dirija un sitio web sin protección es culpable de negligencia grave. Porque hay millones de ataques contra WordPress sitios web cada día. Afortunadamente, la protección contra Brute Forcelos ataques es relativamente fácil.

Teóricamente muy peligroso, prácticamente fácil de manejar

En principio, una protección eficaz contra los ataques de Brute Force se basa en dos mecanismos: contraseñas seguras y listas negras eficaces. Si las credenciales de tu son difíciles de adivinar y se cambian con regularidad, y si se bloquean las IPs atacantes y las regiones con IPs particularmente agresivas, se reduce masivamente el riesgo de un hackeo exitoso.

Aunque las cifras demuestran que los ataques a Brute Force son una grave amenaza para los sitios tu WordPress -que se espera que crezca gracias a los ataques automatizados y al gran número de sitios operados por WordPress -, en la práctica casi sólo tienen éxito con los operadores de sitios descuidados.

RAIDBOXER desde el inicio y Jefe de Apoyo. En el bar y WordCamps le gusta hablar de PageSpeed y del rendimiento de los sitios web. La mejor manera de sobornarlo es con un expreso o un pretzel bávaro.

Artículos relacionados

Comentarios sobre este artículo

Escribe un comentario

Tu dirección de correo electrónico no se publicará. Los campos obligatorios están marcados con *.