Cómo se piratean los sitios web

Módulo 7: Seguridad · Tiempo de lectura: 8 minutos

Objetivo de aprendizaje: Después de esta lección podrá explicar de forma realista cómo se piratean normalmente los sitios WordPress, por qué los sitios pequeños también son objetivo y qué buscan los intrusos.

Conceptos clave: vulnerabilidad, fallo en un plugin o tema, escaneos automáticos, credential stuffing, fuerza bruta, software nulled, ordenador infectado, consecuencias (spam, redirección, phishing, malware), superficie de ataque

«Mi sitio es demasiado pequeño para resultar interesante»

Este es el malentendido más habitual. Casi ningún ataque a WordPress va dirigido a un sitio concreto. Los intrusos utilizan programas que recorren automáticamente miles de sitios por hora buscando una sola cosa: un punto débil conocido. Si el programa lo encuentra, entra, sin importar si el sitio es de una multinacional o del club de fútbol local.

Lo que quieren no es su sitio, sino lo que su sitio puede hacer:

• Spam y abuso en buscadores: miles de páginas ocultas o enlaces de medicamentos, apuestas o tiendas falsas, que se aprovechan del buen nombre de su dominio en Google.
• Redirección: los visitantes (a menudo solo los que llegan desde Google o desde un móvil) son enviados a un sitio falso o a una página de estafa. Usted no ve nada, porque entra a través de un marcador.
• Phishing: una página de inicio de sesión falsa de un banco o servicio de reparto, escondida en su carpeta uploads, con el nombre de su dominio en el enlace.
• Difundir malware entre los visitantes.
• Enviar correo: su servidor envía spam y, después, su propio correo deja de llegar.
• Capacidad de cálculo: su paquete se utiliza para atacar otros sitios o para minar criptomonedas.
• Datos: en una tienda online o un sitio de socios, los datos de sus clientes.

Vía de entrada 1: un fallo en un plugin o tema

Esta es, con diferencia, la más importante. Según el informe anual de Patchstack, una empresa que hace seguimiento de los fallos de WordPress, en 2024 se encontraron 7.966 nuevas vulnerabilidades en el ecosistema de WordPress. El 96% estaba en plugins, el 4% en temas, y en el propio WordPress solo siete. La mayoría de los fallos no son fáciles de explotar, pero algunos sí, y esos se escanean de forma masiva en cuestión de horas o días tras hacerse públicos.

El patrón es casi siempre el mismo:

1. Se encuentra un fallo en la versión 3.2 de un plugin popular.
2. El creador publica la versión 3.2.1 con una corrección. El fallo se hace público.
3. En poco tiempo, programas escanean internet buscando sitios con la versión 3.2 o anterior.
4. Quien no haya actualizado todavía, sufre una intrusión.

El peligro no está, por tanto, en un fallo secreto que nadie conoce, sino en un fallo conocido para el que ya existe una actualización que no se ha instalado. Por eso las actualizaciones (lección 7.2) son la medida más importante de todas, y conviene eliminar lo que no se utiliza (lección 5.4): cada plugin que está instalado, incluso desactivado, aumenta su superficie de ataque.

Un caso especial son los plugins abandonados: el creador ha dejado de mantenerlos y ya no llegan correcciones. Y el software nulled (lección 5.3): una copia robada de un plugin de pago, a menudo con una puerta trasera incorporada.

Vía de entrada 2: las contraseñas

La segunda gran vía de entrada es iniciar sesión con una contraseña válida:

• Credential stuffing: en una filtración de datos de otro servicio se han filtrado millones de combinaciones de correo electrónico y contraseña. Los programas prueban esas combinaciones en todo tipo de sitios, incluidas las páginas de inicio de sesión de WordPress. Si utiliza la misma contraseña que en ese servicio filtrado, entran sin problema.
• Fuerza bruta: un programa simplemente prueba muchísimas contraseñas, a menudo con nombres de usuario habituales como admin. Con una contraseña larga y única esto no tiene ninguna posibilidad, pero sí consume capacidad de cálculo de su servidor.
• Phishing: un correo falso del tipo «su WordPress debe actualizarse, inicie sesión aquí» con un enlace a una página de inicio de sesión falsificada.

La lección 7.3 trata sobre la defensa: gestor de contraseñas, verificación en dos pasos y la limitación de los intentos de inicio de sesión.

Vía de entrada 3: todo lo que rodea a WordPress

No todos los ataques empiezan en WordPress:

• Un ordenador infectado suyo o de su creador de sitios web, con un programa que roba contraseñas, por ejemplo las contraseñas guardadas en un programa de FTP.
• FTP normal sin cifrado, en una red pública.
• Otro sitio en el mismo paquete: una vieja instalación de pruebas olvidada, un Joomla antiguo en una subcarpeta. Todos los sitios de un mismo paquete suelen compartir el mismo usuario en el servidor. Si el sitio antiguo es pirateado, el intruso también puede acceder a su WordPress.
• Una contraseña de base de datos filtrada, por ejemplo a través de una copia de wp-config.php en la carpeta web (lección 1.3).
• Formularios sin control que se usan indebidamente para enviar spam.

Con un buen proveedor de alojamiento, su paquete está aislado del de otros clientes en el mismo servidor (en servidores DirectAdmin con CloudLinux, por ejemplo, mediante CageFS). Lo que ocurra dentro de su propio paquete, sin embargo, sigue siendo responsabilidad suya.

Lo que nota (y lo que no)

Un buen ataque no se nota al principio. Los intrusos quieren usar su sitio el mayor tiempo posible. Señales (la lección 7.5 lo trata en detalle):

• Google avisa de «Este sitio puede estar pirateado», o ve páginas extrañas de su dominio en los resultados de búsqueda (pruebe a buscar site:example.com);
• los visitantes le avisan de que acaban en otro sitio;
• hay administradores o archivos que no reconoce;
• su proveedor de alojamiento o un escáner de malware avisa de algo;
• su correo deja de llegar de repente, o su paquete está lleno o va lento.

Defensa por capas

Ninguna medida es infalible. La seguridad es una suma de capas, de modo que un fallo en una capa no lo deja todo abierto de golpe:

1. Actualizar (lección 7.2): cierra los fallos conocidos. Con diferencia, lo más importante.
2. Pocos componentes (lecciones 5.3 y 5.4): menos cosas que actualizar, menos fallos.
3. Proteger el inicio de sesión (lección 7.3): contraseñas largas y únicas, verificación en dos pasos, mínimo de permisos necesarios (lección 3.3).
4. Reforzar (lección 7.4): permisos, configuraciones y cabeceras que limitan los daños.
5. Copias de seguridad (lección 8.1): si algo sale mal, puede volver atrás.
6. Saber qué hacer si algo sale mal (lección 7.5).

Resumen

• Casi todos los ataques son automáticos y no dirigidos; los sitios pequeños son un objetivo igual de válido.
• Los intrusos quieren lo que su sitio puede hacer: spam, redirección, phishing, correo, capacidad de cálculo, datos.
• La vía de entrada más importante es un fallo conocido en un plugin o tema para el que ya existía una actualización (en 2024 el 96% de las nuevas vulnerabilidades estaba en plugins).
• La segunda vía de entrada son las contraseñas: reutilizadas, adivinadas o robadas mediante engaño.
• Un ordenador infectado, un FTP normal o un sitio antiguo olvidado en el mismo paquete también pueden ser la vía de entrada. Defiéndase por capas.

Cuestionario

Ejercicio

Ejercicio D7.1: Su propia lista de riesgos. Elabore una lista con todo lo que haya en su paquete de alojamiento que pueda ser una vía de entrada: cada instalación de WordPress (también las de prueba y los sitios antiguos), cada plugin y cada tema (también los inactivos), cada cuenta con permisos de administrador (WordPress, FTP, el panel de alojamiento) y los ordenadores desde los que se inicia sesión. Anote junto a cada elemento: cuándo se actualizó por última vez, si sigue siendo necesario (sí/no) y quién es responsable. Marque las tres cosas que va a ordenar o actualizar esta semana y anote por qué precisamente esas.

Para saber más

Estos artículos describen los pasos en los paneles de WebOké; en otros paneles funcionan de forma parecida.

• ¡Ayuda! Mi web ha sido hackeada. ¿Cómo puedo solucionarlo o evitarlo?
• Manual de DirectAdmin 18.2: Mi sitio web ha sido hackeado: plan de acción
• State of WordPress Security in 2025 (Patchstack, en inglés): https://patchstack.com/whitepaper/state-of-wordpress-security-in-2025/
• Seguridad de WordPress (developer.wordpress.org, en inglés): https://developer.wordpress.org/advanced-administration/security/hardening/