¿Por qué los sitios web de WordPress son pirateados?

¿Por qué alguien querría piratear el sitio web de su empresa? Los directores de cine pueden hacer que parezca emocionante, pero en realidad se trata de predecir los hábitos humanos, detectar una oportunidad y pura perseverancia. Descubra cómo piensan los piratas informáticos y cómo puede proteger su empresa.

WordPress es el líder del mercado

WordPress es indiscutiblemente el sistema de gestión de contenido (CMS) más popular para sitios web, con un impresionante 59% de la cuota de mercado de CMS. También es uno de los marcos más populares para construir su sitio web, con casi un tercio de todos los sitios web en Internet creados con él.

Fuente: https://w3techs.com/technologies/overview/content_management/allWordp

Esta popularidad también tiene el efecto de hacer de WordPress una plataforma privilegiada para los piratas informáticos y otros usuarios malintencionados. Una pregunta común que encontramos a diario es "¿Por qué alguien querría tener acceso a mi sitio web? No tengo datos de valor para ellos ”. Si bien esta es definitivamente una declaración comprensible, es una mentalidad incorrecta con la que acercarse a la web.

Una estadística desafortunada es que Internet carece gravemente de usuarios bien informados, con solo aproximadamente el 25% de los usuarios a nivel mundial capaces de completar tareas de dificultad media a alta. Esto deja a una cantidad preocupante de usuarios expuestos a abusos por parte de la minoría de usuarios técnicamente competentes.

En esta publicación, analizaremos algunos de los métodos más comunes en los que un sitio web puede verse comprometido, algunas de las razones por las que los sitios web son pirateados y los pasos que los usuarios pueden tomar para protegerse.

¿Cómo se piratean los sitios web?

Cuando alguien escucha la palabra "hacker", la imagen más común es probablemente la de un hombre encapuchado en una habitación oscura frente a un monitor con una plétora de líneas de código corriendo por su pantalla. Sin embargo, la (triste) verdad es que la piratería diaria no es tan interesante. De hecho, los hacks más comunes son de naturaleza bastante simple, y las personas que intentan hackear ni siquiera tienen que ser muy competentes.

Tampoco todos los tipos de piratería provienen del código. Los ataques de ingeniería social, también conocidos como piratería social, siguen siendo algunos de los más amenazadores. Las prácticas comunes de estafa aún se aplican en Internet y pueden provocar que su sitio web sea pirateado. Como esto está más allá del alcance de este artículo, puede leer más sobre las amenazas de ingeniería social en este artículo de Tripwire .

Dejando a un lado la ingeniería social, Internet sigue siendo un lugar hostil para los sitios web. Wordfence, un desarrollador líder de complementos de seguridad de WordPress, publica informes mensuales de ataques de WordPress . Del informe de septiembre podemos ver que la mayoría (91%) de los ataques son en realidad ataques de fuerza bruta.

Un ataque de fuerza bruta es un concepto muy simple. Cualquiera puede probarlo, normalmente sin repercusiones. En esa nota, ¿por qué no iniciamos un ataque de fuerza bruta ahora mismo? Simplemente busque en Google el sitio de su competidor e intente poner / wp-admin al final de su URL. Si tiene suerte, están usando un sitio de WordPress. Todo lo que necesita hacer ahora es poner "admin" como nombre de usuario o una dirección de correo electrónico que sepa que usan comúnmente, es decir, "[email protected]". Luego, piense en cosas que usarían como contraseña: sus nombres, sus productos, fechas importantes ... y siga probando combinaciones. Básicamente, estás comenzando un ataque de fuerza bruta. Ahora imagínese si tuviera acceso a un vocabulario de palabras y una secuencia de comandos que automáticamente intenta iniciar sesión utilizando diferentes combinaciones de nombres de usuario y contraseñas. Existe una gran posibilidad de que las cuentas inseguras se rompan de esta manera.

Con la forma más simple de ataques fuera del camino, es hora de investigar un tipo de ataque más elaborado que intente explotar las debilidades comunes en los archivos de su sitio web. Como muchos de ustedes ya sabrán, un sitio de WordPress tiene varios archivos de temas y complementos en los que se basa. Estos también suelen depender de bibliotecas de código escritas por otros desarrolladores. A veces, en parte debido a la mala calidad del código y en parte debido a las innovaciones en el campo de la piratería, se pueden encontrar exploits.

Con suerte, un ético, también conocido comúnmente como hacker de sombrero blanco, fue el que encontró el exploit. Generalmente, justo después de que un hacker ético encuentra un exploit, se informa al propietario del código, informa al público para mitigar cualquier daño potencial y luego el propietario del código lanza un parche para corregir la vulnerabilidad. En los casos en que un pirata informático malintencionado se encuentra con un exploit, pueden pasar meses o años antes de que se dé a conocer al público. En cualquier caso, una vez que se dan a conocer las vulnerabilidades, se agregan a las listas de vulnerabilidades a las que se puede acceder fácilmente a través de Internet en sitios como este .

También hay ataques dirigidos directamente al servidor. Es un asunto muy complicado y amplio y este post no entrará en detalles. Sin embargo, aquí hay un artículo interesante si desea obtener más información: Cómo hackear un servidor web .

¿Por qué se piratean los sitios web?

Ahora hemos explorado algunas de las formas en que se puede piratear un sitio web, pero la pregunta de por qué fue pirateado sigue sin respuesta. Desafortunadamente, hay muchas razones por las que un usuario malintencionado podría apuntar a su sitio web y van desde el puro aburrimiento hasta la propagación de virus y medios ilegales por todo Internet.

Dado que el aburrimiento puro, aunque es una causa genuina, es bastante sencillo, vamos a pasar a una más complicada: la publicidad. Ha habido muchas formas de ser víctima de ataques de inyección de anuncios , como se les conoce. El concepto es simple: distribuye sus anuncios, a menudo maliciosos, en un sitio genuino para atraer más tráfico al suyo. Esto puede tomar la forma de simplemente mostrar los anuncios en el sitio o, en casos extremos, redirigir todo el tráfico al sitio del pirata informático. Estos anuncios pueden contener código malicioso que lleve a obtener el control sobre la máquina o los datos confidenciales de un usuario.

Otra causa común de piratear un sitio web puede ser simplemente desfigurarlo como parte del hacktivismo . Las causas de este tipo de ataques son tan variadas como los grupos que los llevan a cabo. Hemos recibido muchos informes de sitios web “anónimos” que desfiguran a personas con las que no están de acuerdo, e incluso ISIS implementa la misma técnica.

Desafortunadamente, no todos los trucos son visibles y algunos pueden ser bastante sutiles y difíciles de rastrear. Por ejemplo, si está utilizando su sitio de WordPress como una tienda electrónica, puede almacenar los datos de la tarjeta de crédito o la información personal de su cliente. Esto es muy valioso para cualquier pirata informático y existe una alta probabilidad de que no den a conocer su presencia para poder seguir explotando esta información. Además, como las ganancias monetarias de piratear un sitio web pueden ser bastante sustanciales, incluso encontramos sitios web pirateados solo para minar criptomonedas como bitcoin.

¿Cómo puedo proteger mi sitio?

Si bien todas las vulnerabilidades utilizadas por usuarios malintencionados pueden parecer abrumadoras, existen algunos pasos básicos que puede seguir como usuario legítimo para proteger su sitio web. Aquí hay una lista de verificación de seguridad simple que puede usar:

• Mantenga sus contraseñas seguras: utilice siempre una contraseña segura y guárdela en un lugar seguro. No use la misma contraseña en varios sitios. Actualice su contraseña aproximadamente cada dos meses.

• Nunca use correos electrónicos de administrador o disponibles públicamente para su cuenta de administrador

• Mantenga su sitio web actualizado: como se mencionó anteriormente, los exploits conocidos se hacen públicos. Si su sitio web utiliza una versión obsoleta y vulnerable de un complemento o tema, está en riesgo.

• Utilice una empresa de alojamiento de buena reputación: el alojamiento y el alojamiento proporcionados por una empresa irresponsable pueden provocar que su sitio web sea pirateado porque otro sitio web del mismo servidor se vio comprometido.

• Solo conceda acceso a usuarios en los que pueda confiar: no dé acceso a su sitio web a usuarios que no lo necesiten o en quienes no confíe plenamente. No todo el mundo necesita ser administrador.

• Use un complemento de seguridad: de manera similar a los programas antivirus para computadoras, existen complementos de seguridad para WordPress. Dos de los principales son Sucuri y Wordfence .

• Pregunte: si tiene un problema de seguridad o una pregunta con respecto a su sitio web, consulte a su desarrollador.

En este artículo, investigamos algunos de los métodos comunes y las razones por las que un sitio web puede verse comprometido. Con suerte, con esta información, junto con la lista de verificación de seguridad, la piratería ya no parecerá una amenaza omnipotente que está siempre presente en Internet.

¡Manténgase seguro, manténgase informado!

Si necesita ayuda con su diseño y desarrollo de WordPress, no dude en contactarnos.