El28,4% de los mayores sitios web del mundo funcionan con WordPress. Esta alta distribución hace que los sitios WP sean un objetivo popular para los hackers. Especialmente los operadores de sitios pequeños suelen pensar que están a salvo, porque ¿quién piratearía un blog con poco alcance o sin datos sensibles? Hoy te mostraré por qué esto es una falacia peligrosa cuando se trata de la seguridad de WordPress.

WordPress es especialmente interesante para los atacantes porque muchos sitios lo utilizan. Para muchas formas de ataque, lo que importa no es la "calidad" de los objetivos hackeados, sino simplemente ser capaz de infiltrarse en el mayor número posible de sitios de forma automatizada. El ejemplo de la vulnerabilidad que se explota de forma sistemática se muestra con el ejemplo del vulnerabilidad de seguridad en WordPress 4.7.1. En ese momento, innumerables páginas fueron desfiguradas en la página de inicio con el aviso "hackeado por".

La empresa de seguridad Sucuri había encontrado la vulnerabilidad y la había transmitido a WordPress. Y aunque el problema se solucionó en WordPress 4.7.2, millones de sitios fueron hackeados en los llamados ataques de desfiguración después de que se conociera el exploit. millones de sitios fueron pirateados en los llamados ataques de desfiguración..

Este ejemplo muestra que cadasitio de WordPress es interesante para los atacantes. En la mayoría de los casos, los ataques se ejecutan de forma completamente automática. Hoy te mostraré cómo puede ser un ataque de este tipo, cuál es el objetivo de los hackers y qué consecuencias puede tener para ti y para los sitios tu una vez que tu sitio haya sido hackeado con éxito.

Los piratas informáticos quieren secuestrar los sitios de WordPress de tu

Como ya he dicho: la mayoría de las veces no se trata de lo grande que es el sitio o de lo que hay que conseguir. Un gran número de sitios web que no han tapado ciertos agujeros de seguridad son simplemente atacados automáticamente. Una vez que sitio está infectado, puede ser utilizado indebidamente para enviar spam o distribuir malware a los visitantes de sitio.

De este modo, los hackers crean una red de proveedores de malware o una botnet de la que pueden abusar posteriormente para realizar ataques DDoS o de fuerza bruta. Por lo tanto, el individuo sitio a menudo sólo es interesante como parte de un conjunto mayor. Y cuantos más sitios secuestre o infecte un atacante, más valiosa será su maquinaria de malware.

Aumenta el número de ataques a WordPress

El número de ataques a los sitios web está actualmente en aumento. Según Google, en 2016 Se hackearon un 32% más de sitios que en 2015. Uno de los tipos de ataque más comunes era el llamado ataque de fuerza bruta. Aquí se intenta introducir la combinación correcta de nombre de usuario y contraseña por mera conjetura. O los atacantes ya tienen listas de contraseñas que prueban.

Esto también lo subrayan las cifras del proveedor de seguridad Wordfence. Durante meses, el Estadounidenses han registrado un aumento constante de estos ataques a WordPress.

El alcance es la capital de los hackers

Esto se puede ilustrar muy bien con el ejemplo de una red de bots. Una botnet es una red de sitios web secuestrados (que también pueden ser dispositivos finales con capacidad de Internet o routers) que se utiliza, por ejemplo, para lanzar ataques DDoS contra sitios web o servidores. Los elementos de la red de bots se activan y bombardean el objetivo a la orden con tantas peticiones que el sitio se colapsa o el servidor se sobrecarga.

Cuantos más sitios web pueda incluir un hacker en su red de bots, más poderosa y, por tanto, más valiosa se vuelve. Pero esto también significa que el secuestro de instalaciones de WordPress es a menudo sólo el primer paso para los hackers. El segundo paso es crear algo que se pueda monetizar.

Las tres Is: Informar, identificar, infiltrar

A grandes rasgos, los hacks no específicos de WordPress pueden dividirse en tres fases:

Fase 1: Obtener información

En el primer paso, el atacante busca conocimientos sobre las vulnerabilidades conocidas o desconocidas de WordPress. Esto puede hacerse, por ejemplo, a través de plataformas como el Base de datos de vulnerabilidad WPScan es posible.

Con los ataques de desfiguración que he mencionado al principio del post, habría bastado con mirar WordPress.org .

Fase 2: Identificar los vectores de ataque

Ahora un atacante sabe por dónde empezar y debe escribir un script en la fase 2 que le permita elegir esas páginas de la masa de páginas que tienen la vulnerabilidad. En el caso de los ataques de defacement en WordPress 4.7 y 4.7.1, esto fue fácilmente posible leyendo la versión de WordPress.

Fase 3: Ataques automatizados

Una vez encontrado, el atacante puede -de nuevo automáticamente- hackear el sitio y realizar los cambios (no) deseados. Algunos ejemplos típicos son:

• Robo de datos: Un atacante intenta robar datos sensibles de tus sitio o de los visitantes de tus sitio . Pueden ser direcciones de correo electrónico o datos bancarios, pero en principio cualquier cosa que pueda venderse o reutilizarse es interesante. Por ejemplo, un hacker puede colocar un formulario falso en tus sitio que robe todos los datos introducidos. Y esto en un entorno de total confianza y además encriptado con SSL.
• Secuestro sitio: Un atacante puede integrar tu WordPress-sitio en una red de bots. De este modo, el hacker se asegura el control de tu sitio y puede, por ejemplo, realizar con él ataques DoS o DDoS a la orden.
• Inyectar código malicioso: El código malicioso se coloca en tus sitio . De este modo, un atacante puede, por ejemplo, abusar de los espacios publicitarios de tu para sus propios fines o colocar formularios en tus sitio que roben los datos personales de los usuarios de tus .

En la mayoría de los casos, los hacks de WordPress cuestan tiempo y dinero

Es imposible decir en términos generales qué costes tienen los hackers de WordPress y qué consecuencias directas o indirectas puede tener un ataque. Sin embargo, los operadores de sitios web hackeados deben estar siempre preparados para estas tres consecuencias:

1) Costes de restauración

Cada día se producen millones de ataques a sitios de WordPress. Sólo el fabricante de plugins Wordfence mide una media de 35 millones de ataques de fuerza bruta y 4,8 millones de ataques de exploits en abril de 2017. diario. En otras palabras: no hay seguridad absoluta. Todo lo que puedes hacer es mantener la probabilidad de ser hackeado lo más baja posible y crear mecanismos adecuados que te permitan restaurar rápidamente tu sitio si se produce lo peor.

En el mejor de los casos, tienes una copia de seguridad de sitio y puedes simplemente restaurarla. Si las copias de seguridad también están infectadas o no es posible restaurarlas, la cosa se complica. Entonces tienes que gastar tiempo y dinero para eliminar el malware manualmente.

2) Pérdida de volumen de negocio

Dependiendo del tipo de código malicioso que se haya inyectado y del tiempo que haya que mantener tu sitio , también puedes incurrir en costes en forma de pérdida de ingresos por publicidad y ventas.

3) Pérdida de confianza

Google lo ve todo: Un sitio hackeado suele contener código malicioso que propaga malware. Si Google reconoce esto - y no haces nada al respecto - tu sitio acaba en una lista negra. Cuando se accede al sitio web, los visitantes verán un aviso de seguridad que les advierte de la existencia de malware o phishing. Esto también puede hacer que tu se vea afectado en su posición en los motores de búsqueda (SERP) y que pierdas un alcance significativo.

Conclusión: Los ataques a los sitios de WordPress son bastante normales

Por supuesto, este artículo no pretende incitar a un pánico infundado. Pero lo que debe quedar claro es esto: El hecho de que tengas un "pequeño" sitio no significa que no debas abordar activamente la cuestión de la seguridad del sitio web.

Por ejemplo, es importante saber que la mayoría de las vulnerabilidades pueden eliminarse mediante actualizaciones periódicas. Y que un certificado SSL tu sitio no protege contra los ataques de los hackers.

He mencionado al principio que el gran tamaño de WordPress como CMS hace que cualquier sitio sea un objetivo potencial. Pero este tamaño también conlleva una ventaja decisiva: una comunidad mundial de voluntarios y el personal de las empresas de WordPress trabajan sin descanso para hacer que WordPress sea más seguro. Y así, tarde o temprano, hay una solución adecuada para cada vulnerabilidad y para cada problema.