¿Su WordPress fue hackeado? Qué hacer en las primeras 24 horas

Lo que es

Un compromiso de WordPress suele significar que alguien ha obtenido la capacidad de modificar archivos, la base de datos o las cuentas de usuario. Entre las señales habituales se encuentran usuarios administradores desconocidos, plugins o archivos desconocidos, JavaScript inyectado, páginas de spam indexadas por los motores de búsqueda, redirecciones que solo afectan a algunos visitantes, envío de correo spam o advertencias de un navegador o de un motor de búsqueda. Los puntos de entrada frecuentes incluyen plugins y temas desactualizados o abandonados, contraseñas reutilizadas o débiles, credenciales de alojamiento o FTP comprometidas y permisos de archivo inseguros. Las primeras 24 horas consisten en confirmar lo que está ocurriendo, limitar daños adicionales, dejar constancia y prepararse para una limpieza adecuada. La limpieza detallada, archivo por archivo, se aborda como un paso propio.

Para quién es

Esta lista de verificación está dirigida a:

• Propietarios de empresas y equipos de marketing que gestionan un sitio WordPress sin un equipo de seguridad dedicado
• Agencias que dan soporte al sitio de un cliente que acaba de notificarse como comprometido
• Personal interno de TI que ha recibido un aviso de suspensión del alojamiento o una advertencia del navegador
• Cualquier persona que necesite informar con claridad a un proveedor antes de que comience el trabajo de limpieza

Qué ayuda a aclarar

Seguir la lista de verificación ayuda a aclarar:

• Si el sitio está realmente comprometido o presenta un fallo de configuración o de un plugin
• Qué ha cambiado, cuándo y qué cuentas pueden estar implicadas
• Quién es el titular del alojamiento, el dominio, el DNS y las copias de seguridad, y quién puede autorizar cambios
• Si los datos de clientes o los flujos de pago podrían verse afectados y requieren una atención separada

Qué se incluye

• Hora 0-2: anote qué se detectó, cuándo y quién lo detectó; haga capturas de pantalla de las advertencias, las redirecciones y las páginas desconocidas
• Hora 0-2: identifique quién controla el alojamiento, el registrador del dominio, el DNS, la CDN y la administración de WordPress
• Hora 1-4: haga una copia completa de los archivos y de la base de datos en su estado actual y guárdela por separado; no sobrescriba las copias de seguridad anteriores
• Hora 1-4: considere poner el sitio en modo de mantenimiento o pedir a su proveedor de alojamiento que restrinja el acceso si los visitantes se están viendo perjudicados
• Hora 2-6: desde un dispositivo limpio, cambie las contraseñas del alojamiento, de FTP/SFTP, de la base de datos y de los administradores de WordPress; active la MFA cuando esté disponible
• Hora 2-6: revise los usuarios de WordPress y elimine o desactive las cuentas que no reconozca, anotando lo que eliminó
• Hora 4-12: recopile los registros de acceso del servidor disponibles y los avisos de seguridad del proveedor de alojamiento
• Hora 6-24: informe a un proveedor cualificado con sus notas, los registros y la copia de seguridad, y acuerde un alcance de limpieza

Qué no se incluye

• Comandos de eliminación de malware o instrucciones para editar archivos del núcleo sin una copia de seguridad
• Asesoramiento legal sobre si es obligatorio notificar una violación de datos
• Afirmar que cambiar las contraseñas resuelve por sí solo el compromiso
• Recomendaciones para contactar con el atacante o tomar represalias contra él

Cuándo elegirlo

Utilice esta lista de verificación en cuanto sospeche de un compromiso, antes de empezar a borrar archivos o a restaurar copias de seguridad. Si el sitio procesa pagos o almacena datos personales de clientes, involucre desde el principio a quien sea responsable de las obligaciones legales y de privacidad; las obligaciones de notificación dependen de los hechos y de la jurisdicción, y este artículo no constituye asesoramiento legal. Si el proveedor de alojamiento ha suspendido la cuenta, pregunte qué necesita de usted para restablecer el acceso y si dispone de registros que pueda utilizar.

Nuestro enfoque

Dé prioridad a la contención y al registro de lo ocurrido frente a la rapidez de una limpieza visual. Un sitio que vuelve a parecer normal puede seguir conteniendo una puerta trasera que permita al atacante regresar en pocos días. Restaurar una copia de seguridad antigua sin cerrar el punto de entrada suele provocar una reinfección. Una vez completados los pasos iniciales, la limpieza debe abarcar los archivos, la base de datos, los usuarios, las tareas programadas y la configuración del servidor, y continuar con el cierre del punto de entrada y el refuerzo de la seguridad. Nuestro servicio Incident Recovery ofrece una revisión y clasificación inicial de un problema acordado en un sitio web o en WordPress, contención práctica, limpieza de código malicioso, puertas traseras y usuarios no autorizados, restauración segura, cierre del punto de entrada identificado y un informe escrito con recomendaciones de refuerzo de la seguridad. Es un trabajo con alcance definido para el sitio web confirmado, y las determinaciones legales corresponden a su asesor jurídico. Sea quien sea quien le ayude, pídale que le explique qué encontró y qué cambió, y conserve ese informe junto con sus notas.

Incident Recovery

Preguntas frecuentes

Artículos relacionados