Warum werden WordPress-Websites gehackt?

Warum sollte jemand die Website Ihres Unternehmens hacken wollen? Filmregisseure mögen es aufregend erscheinen lassen, aber in Wirklichkeit geht es darum, menschliche Gewohnheiten vorherzusagen, eine Gelegenheit zu erkennen und reine Beharrlichkeit. Erfahren Sie, wie Hacker denken und wie Sie Ihr Unternehmen schützen können.

WordPress ist Marktführer

WordPress ist unbestritten das beliebteste Content-Management-System (CMS) für Websites mit beeindruckenden 59 % des CMS-Marktanteils. Es ist auch eines der beliebtesten Frameworks zum Erstellen Ihrer Website, da fast ein Drittel aller Websites im Internet damit erstellt wurden.

Quelle: https://w3techs.com/technologies/overview/content_management/allWordp

Diese Popularität hat auch den Effekt, dass WordPress zu einer erstklassigen Plattform für Hacker und andere böswillige Benutzer wird. Eine häufige Frage, die uns täglich begegnet, lautet: „Warum sollte jemand Zugang zu meiner Website erhalten? Ich habe keine für sie wertvollen Daten“. Dies ist zwar definitiv eine verständliche Aussage, aber es ist die falsche Mentalität, mit dem Web umzugehen.

Eine bedauerliche Statistik ist, dass es im Internet stark an gut informierten Benutzern mangelt, da nur etwa 25% der Benutzer weltweit in der Lage sind, Aufgaben mit mittlerem bis hohem Schwierigkeitsgrad zu erledigen. Dies führt dazu, dass eine besorgniserregende Anzahl von Benutzern dem Missbrauch durch die Minderheit der technisch versierten Benutzer ausgesetzt ist.

In diesem Beitrag werden wir einige der gängigsten Methoden durchgehen, mit denen eine Website kompromittiert werden kann, einige der Gründe, warum Websites gehackt werden und welche Schritte Benutzer unternehmen können, um sich selbst zu schützen.

Wie werden Websites gehackt?

Wenn jemand das Wort „Hacker“ hört, ist das häufigste Bild eines Mannes mit Kapuze in einem dunklen Raum vor einem Monitor, auf dem eine Vielzahl von Codezeilen über seinen Bildschirm laufen. Die (traurige) Wahrheit ist jedoch, dass alltägliches Hacken nicht so interessant ist. Tatsächlich sind die häufigsten Hacks recht einfach und die Leute, die versuchen zu hacken, müssen nicht einmal sehr kompetent sein.

Nicht alle Arten von Hacking stammen auch von Code. Social Engineering – auch bekannt als Social Hacking – gehören nach wie vor zu den bedrohlichsten Angriffen. Im Internet gelten immer noch gängige Betrugspraktiken, die dazu führen können, dass Ihre Website gehackt wird. Da dies den Rahmen dieses Artikels sprengen würde , können Sie in diesem Stolperdraht-Artikel mehr über Social-Engineering-Bedrohungen lesen .

Abgesehen von Social Engineering ist das Internet immer noch ein unfreundlicher Ort für Websites. Wordfence, ein führender Entwickler von WordPress-Sicherheits-Plugins, veröffentlicht monatliche WordPress-Angriffsberichte . Aus dem Bericht vom September geht hervor, dass es sich bei der Mehrheit (91%) der Angriffe tatsächlich um Brute-Force-Angriffe handelt.

Ein Brute-Force-Angriff ist ein sehr einfaches Konzept. Jeder kann es versuchen, normalerweise ohne Auswirkungen. Warum starten wir in diesem Zusammenhang nicht gleich einen Brute-Force-Angriff? Google einfach die Website deines Konkurrenten und versuche, /wp-admin an das Ende seiner URL zu setzen. Wenn Sie Glück haben, verwenden sie eine WordPress-Site. Jetzt müssen Sie nur noch „admin“ als Benutzernamen oder eine E-Mail-Adresse eingeben, von der Sie wissen, dass sie häufig verwendet wird, dh „[email protected]“. Dann denken Sie an Dinge, die sie als Passwort verwenden würden: ihre Namen, ihre Produkte, wichtige Daten ... und probieren Sie immer wieder Kombinationen aus. Sie beginnen im Wesentlichen mit einem Brute-Force-Angriff. Stellen Sie sich nun vor, Sie hätten Zugriff auf einen Wortschatz und ein Skript, das automatisch versucht, sich mit verschiedenen Kombinationen von Benutzernamen und Passwörtern anzumelden. Es besteht eine hohe Wahrscheinlichkeit, dass unsichere Konten auf diese Weise geknackt werden.

Nachdem die einfachste Form von Angriffen aus dem Weg geräumt wurde, ist es an der Zeit, eine ausgeklügeltere Art von Angriff zu untersuchen, die versucht, allgemeine Schwachstellen in den Dateien Ihrer Website auszunutzen. Wie viele von Ihnen vielleicht bereits wissen, verfügt eine WordPress-Site über eine Reihe von Theme- und Plugin-Dateien, auf die sie angewiesen ist. Diese stützen sich auch häufig auf Codebibliotheken, die von anderen Entwicklern geschrieben wurden. Manchmal – teils aufgrund schlechter Codequalität und teils aufgrund von Innovationen im Bereich Hacking – lassen sich Exploits finden.

Hoffentlich war ein ethischer, auch als White Hat Hacker bekannt, derjenige, der den Exploit gefunden hat. Im Allgemeinen wird der Eigentümer des Codes sofort, nachdem ein ethischer Hacker einen Exploit findet, darauf aufmerksam gemacht, er macht die Öffentlichkeit darauf aufmerksam, um mögliche Schäden zu minimieren, und dann veröffentlicht der Eigentümer des Codes einen Patch, um die Schwachstelle zu beheben. In Fällen, in denen ein böswilliger Hacker auf einen Exploit stößt, kann es Monate oder Jahre dauern, bis er der Öffentlichkeit bekannt wird. Auf jeden Fall werden Exploits nach Bekanntwerden in Schwachstellenlisten aufgenommen, die auf Websites wie dieser über das Internet leicht zugänglich sind .

Es gibt auch Angriffe, die direkt auf den Server abzielen. Es ist eine sehr komplizierte und umfassende Angelegenheit, und dieser Beitrag wird nicht ins Detail gehen. Hier ist jedoch ein interessanter Artikel, wenn Sie mehr darüber erfahren möchten: Wie man einen Webserver hackt .

Warum werden Websites gehackt?

Wir haben jetzt einige Möglichkeiten untersucht, wie eine Website gehackt werden kann, aber die Frage, warum sie gehackt wurde, bleibt weitgehend unbeantwortet. Leider gibt es viele Gründe, warum ein böswilliger Benutzer Ihre Website ins Visier nimmt. Sie reichen von purer Langeweile bis hin zur Verbreitung von Viren und illegalen Medien im gesamten Internet.

Da reine Langeweile zwar eine echte Ursache ist, aber ganz einfach ist, kommen wir zu einem komplizierteren: Werbung. Es gab viele Möglichkeiten, Opfer von sogenannten Ad Injection-Angriffen zu werden. Das Konzept ist einfach: Sie verteilen Ihre oft schädlichen Anzeigen auf einer echten Website, um mehr Verkehr auf Ihre eigene zu lenken. Dies kann in der einfachen Anzeige der Werbung auf der Website erfolgen oder im Extremfall den gesamten Datenverkehr auf die Website des Hackers umleiten. Diese Anzeigen können dann bösartigen Code enthalten, der dazu führt, die Kontrolle über den Computer eines Benutzers oder sensible Daten zu erlangen.

Eine weitere häufige Ursache für das Hacken der eigenen Website kann sein, dass sie einfach als Teil des Hacktivismus verunstaltet wird . Die Ursachen dieser Art von Angriffen sind so unterschiedlich wie die Gruppen, die sie ausführen. Wir haben viele Berichte über „anonyme“ Verunstaltung von Websites von Menschen erhalten, mit denen sie nicht einverstanden sind, und sogar ISIS setzt dieselbe Technik ein.

Leider sind nicht alle Hacks sichtbar und einige können sehr subtil und schwer zu verfolgen sein. Wenn Sie beispielsweise Ihre WordPress-Site als E-Shop verwenden, können Sie die Kreditkartendaten oder persönlichen Daten Ihres Kunden speichern. Dies ist für jeden Hacker sehr wertvoll und es besteht eine hohe Wahrscheinlichkeit, dass er seine Anwesenheit nicht bekannt gibt, damit er diese Informationen weiter ausnutzen kann. Da die monetären Gewinne durch das Hacken einer Website beträchtlich sein können, begegnen wir sogar Websites, die nur gehackt wurden, um Kryptowährungen wie Bitcoin zu minen .

Wie kann ich meine Website schützen?

Obwohl alle Exploits, die von böswilligen Benutzern verwendet werden, überwältigend erscheinen können, gibt es einige grundlegende Schritte, die Sie als legitimer Benutzer unternehmen können, um Ihre Website zu schützen. Hier ist eine einfache Sicherheitscheckliste, die Sie verwenden können:

• Bewahren Sie Ihre Passwörter sicher auf: Verwenden Sie immer ein starkes Passwort und bewahren Sie es an einem sicheren Ort auf. Verwenden Sie nicht dasselbe Kennwort auf mehreren Websites. Aktualisieren Sie Ihr Passwort etwa alle zwei Monate.

• Verwenden Sie niemals Admin- oder öffentlich zugängliche E-Mails für Ihr Admin-Konto

• Halten Sie Ihre Website aktuell: Wie oben erwähnt, werden bekannte Exploits veröffentlicht. Wenn Ihre Website eine veraltete, anfällige Version eines Plugins oder Themes verwendet, sind Sie gefährdet.

• Verwenden Sie ein seriöses Hosting-Unternehmen: Gemeinsames Hosting und Hosting, das von einem unverantwortlichen Unternehmen bereitgestellt wird, kann dazu führen, dass Ihre Website gehackt wird, weil eine andere Website auf demselben Server kompromittiert wurde.

• Gewähren Sie nur Benutzern, denen Sie vertrauen können , Zugriff : Geben Sie Benutzern keinen Zugriff auf Ihre Website, die ihn nicht benötigen oder denen Sie nicht vollständig vertrauen. Nicht jeder muss Admin sein.

• Verwenden Sie ein Sicherheits-Plugin: Ähnlich wie bei Antivirenprogrammen für Computer gibt es Sicherheits-Plugins für WordPress. Zwei der wichtigsten sind Sucuri und Wordfence .

• Fragen: Wenn Sie ein Sicherheitsproblem oder eine Frage zu Ihrer Website haben, wenden Sie sich an Ihren Entwickler.

In diesem Artikel haben wir einige gängige Methoden und Gründe untersucht, warum eine Website kompromittiert werden kann. Hoffentlich wird das Hacken mit diesen Informationen neben der Sicherheitscheckliste nicht mehr wie eine allmächtige Bedrohung erscheinen, die im Internet allgegenwärtig ist.

Bleiben Sie sicher, bleiben Sie informiert!

Wenn Sie Hilfe bei Ihrem WordPress-Design und -Entwicklung benötigen, zögern Sie nicht, uns zu kontaktieren.