Hackeado: reconocer, reparar y prevenir

Módulo 7: Seguridad · Tiempo de lectura: 10 minutos

Objetivo de aprendizaje: Después de esta lección podrá reconocer un hackeo, repararlo en el orden correcto y evitar que vuelva a suceder.

Conceptos clave: señales de un hackeo, documentar, aislar, sustituir todas las contraseñas y salts, encontrar la vía de entrada, registros, copia de seguridad limpia, reinstalación limpia, sumas de comprobación, administradores desconocidos, PHP en uploads, mu-plugins, Search Console, notificar una brecha de seguridad

Qué es un hackeo

Un sitio está hackeado cuando alguien ha obtenido el control sin autorización sobre (una parte de) su sitio: puede modificar archivos o la base de datos, o ejecutar código. A menudo mantiene el acceso mediante una puerta trasera: un archivo oculto o un fragmento de código con el que puede volver más tarde, incluso después de que usted cierre la brecha original.

Esto último es el núcleo de esta lección: no basta con eliminar solo el daño visible. Mientras exista la puerta trasera, o siga abierta la brecha por la que entró, volverá a ocurrir. A menudo en cuestión de días.

Reconocer un hackeo

Señales (algunas las verá, otras tendrá que buscarlas):

• Google muestra en su sitio el mensaje "Es posible que este sitio esté hackeado", o Search Console notifica un problema de seguridad.
• En los resultados de búsqueda (site:example.com) aparecen páginas que no reconoce, a menudo en otro idioma o sobre medicamentos, apuestas o tiendas falsas.
• Los visitantes son redirigidos, a menudo solo si llegan a través de Google o desde un teléfono móvil. Usted no lo nota porque ha iniciado sesión o llega mediante un marcador. Compruébelo en una ventana privada accediendo desde un resultado de búsqueda.
• En Usuarios aparece un administrador que no reconoce.
• Hay archivos PHP en wp-content/uploads, o archivos con nombres extraños en la carpeta raíz o en wp-content/mu-plugins.
• Su proveedor de alojamiento o un escáner de malware notifica archivos infectados; su correo es rechazado o su paquete envía spam.
• El sitio se vuelve lento de repente o su espacio de almacenamiento se llena.

El plan de acción

1. Mantener la calma y documentar

No elimine nada de inmediato. Anote lo que observa y desde cuándo, haga capturas de pantalla, y cree una copia del estado actual (archivos y base de datos, o una copia de seguridad adicional a través de su proveedor de alojamiento). Necesitará esa copia para encontrar la vía de entrada, y como prueba. No la guarde en la carpeta web.

2. Detener el daño a los visitantes

Desactive el sitio temporalmente o póngalo tras una página de mantenimiento, sobre todo si los visitantes son redirigidos a malware o phishing. En DirectAdmin puede suspender el dominio; en otros paneles puede proteger todo el sitio con contraseña o colocar un index.html temporal con un aviso.

3. Sustituir todas las contraseñas y claves

Parta de la base de que el intruso conoce cualquier contraseña que pudiera encontrarse en el sitio o a través de él. Cambie, preferiblemente desde otro ordenador (limpio):

• la contraseña de su panel de alojamiento y de todas las cuentas FTP y SFTP (elimine las cuentas que no utilice);
• la contraseña del usuario de la base de datos, y actualícela en wp-config.php;
• las contraseñas de todos los administradores de WordPress, y elimine las cuentas que no reconozca;
• las claves y salts en wp-config.php (lección 1.3). Con esto caducan todas las cookies de inicio de sesión, incluidas las del intruso;
• las contraseñas de aplicación (lección 3.3) y las claves de API de las integraciones;
• las contraseñas de correo electrónico, si se envió spam a través de un buzón.

Después, active la verificación en dos pasos en todo (lección 7.3).

4. Encontrar la vía de entrada

Sin conocer la vía de entrada, no puede estar seguro de que está cerrada. Las causas más frecuentes (lección 7.1), y dónde buscar:

• Un plugin o tema desactualizado: ¿qué componentes estaban atrasados? Busque los nombres en una base de datos de vulnerabilidades (lección 5.3).
• Una contraseña filtrada: revise el historial de inicio de sesión de su panel de alojamiento y de FTP.
• Los registros del servidor web: busque alrededor del momento en que aparecieron los primeros archivos extraños, solicitudes POST a archivos desconocidos o a archivos de plugins, a menudo desde la misma dirección IP.
• Archivos por fecha: ordene en el Administrador de archivos o mediante SFTP por fecha de modificación. Los archivos modificados al mismo tiempo, especialmente fuera de una actualización, merecen atención.

5. Limpiar

Dos caminos, y a menudo una combinación:

A. Restaurar una copia de seguridad limpia anterior al hackeo (lección 8.2). Elija una copia de seguridad de una fecha claramente anterior a las primeras señales, ya que los intrusos a veces esperan semanas. Restaure por completo, de modo que también desaparezcan los archivos añadidos. Después, actualice todo de inmediato (de lo contrario, la brecha volverá a estar ahí). Inconveniente: todo lo posterior a la copia de seguridad (entradas, pedidos) se pierde.

B. Reconstruir desde cero con el contenido existente:

1. Sustituya WordPress mismo por una copia nueva de wordpress.org (wp-admin, wp-includes y los archivos sueltos; no wp-content ni wp-config.php). Con WP-CLI puede comprobar primero qué ha cambiado:

wp core verify-checksums
wp plugin verify-checksums --all

Estos comandos comparan sus archivos con las versiones oficiales y notifican cualquier archivo modificado o adicional (el segundo solo para plugins del repositorio de wordpress.org).

2. Elimine todos los plugins y temas e instálelos de nuevo desde la fuente, en la última versión. Lo que no necesite, no vuelva a instalarlo.
3. Compruebe wp-content/uploads en busca de archivos PHP y otros archivos que no sean multimedia, y wp-content/mu-plugins.
4. Compruebe .htaccess en busca de reglas de redirección extrañas, y wp-config.php en busca de líneas que no reconozca.
5. Compruebe la base de datos: administradores desconocidos, las opciones siteurl, home y active_plugins en wp_options, y busque en las entradas scripts insertados (<script con direcciones extrañas).
6. Revise las tareas programadas: cronjobs en su panel de alojamiento y WP-Cron (con un plugin o wp cron event list).

Un escáner de malware (de su proveedor de alojamiento o un plugin) ayuda a encontrar problemas, pero no confíe ciegamente en él: lo que no encuentre puede seguir estando ahí.

6. Cerrar la brecha y verificar

• Actualice todo, refuerce la seguridad (lección 7.4) y vuelva a activar el sitio.
• ¿Aparece su sitio marcado como no seguro en Google? Solicite en Search Console, en Problemas de seguridad, una nueva revisión, solo cuando todo esté limpio.
• Vigile las semanas siguientes: archivos nuevos, administradores nuevos, notificaciones de su escáner. Si vuelve a ocurrir, es que aún no se ha encontrado la vía de entrada o una puerta trasera.

Datos personales: notificar una brecha de seguridad

Si los intrusos pudieron acceder a datos personales (datos de clientes de una tienda online, envíos de formularios, listas de socios, los usuarios de su sitio), se trata de una brecha de seguridad en el sentido del RGPD. En ese caso debe notificarlo en un plazo de 72 horas desde que lo descubrió a la autoridad de protección de datos de su país, salvo que sea improbable que suponga un riesgo para las personas afectadas (artículo 33 del RGPD). Si el riesgo es alto, también debe informar directamente a esas personas (artículo 34). En cualquier caso, documente lo ocurrido y lo que hizo, aunque no notifique. Si tiene dudas, consulte la página de la autoridad de protección de datos de su país (lección 9.3).

Pedir ayuda

Limpiar un hackeo requiere tiempo y experiencia. Si no está seguro de haberlo solucionado todo, pida ayuda: su creador de sitios web, una empresa especializada, o su proveedor de alojamiento (algunos proveedores, también WebOké, ofrecen este servicio, normalmente de pago). Facilíteles la copia del paso 1, lo que ha observado y cuándo, y lo que ya ha hecho.

Resumen

• Un hackeo a menudo deja una puerta trasera; no basta con eliminar solo el daño visible.
• Orden: documentar, proteger a los visitantes, sustituir todas las contraseñas y salts, encontrar la vía de entrada, limpiar, cerrar la brecha y verificar.
• La limpieza puede hacerse con una copia de seguridad limpia de bastante antes del hackeo, o instalando de nuevo WordPress, plugins y temas desde cero y revisando uploads, mu-plugins, .htaccess y la base de datos.
• wp core verify-checksums muestra qué archivos de WordPress han sido modificados.
• Si se trató de datos personales, notifique la brecha de seguridad en un plazo de 72 horas a la autoridad de protección de datos, salvo que un riesgo sea improbable.

Cuestionario

Ejercicio

Ejercicio D7.5: Su plan de emergencia para un hackeo. Complete el plan de emergencia para su propio sitio, de modo que no tenga que pensarlo cuando llegue el momento: dónde están sus copias de seguridad y hasta cuándo se remontan, quién tiene qué contraseñas y cómo las cambiaría todas (lista), dónde encuentra los registros de su alojamiento, a quién llama para pedir ayuda, y qué datos personales hay en su sitio (para saber si debe notificar una brecha de seguridad). Después, realice el ejercicio: ¿qué cinco pasos tomaría en la primera hora si recibe el aviso "Es posible que este sitio esté hackeado", en qué orden, y por qué ese orden?

Para saber más

Estos artículos describen los pasos en los paneles de WebOké; en otros paneles funcionan de forma similar.

• Manual de DirectAdmin 18.2: Mi sitio web ha sido hackeado: plan de acción
• ¡Ayuda! Mi web ha sido hackeada. ¿Cómo puedo solucionarlo o evitarlo?
• Manual de DirectAdmin 15.11: Imunify360: escanear su sitio web en busca de malware
• Manual de DirectAdmin 17.2: Resumen del sitio y registros: el registro de errores y el registro de accesos
• Manual de DirectAdmin 3.4: Historial de inicio de sesión: ¿quién inició sesión y cuándo?
• Brechas de seguridad de datos (Autoriteit Persoonsgegevens, Países Bajos): https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken
• Preguntas frecuentes: mi sitio ha sido hackeado (wordpress.org, en inglés): https://wordpress.org/documentation/article/faq-my-site-was-hacked/