Los 5 pasos que tomé para recuperar mi blog de WordPress de un hack

Mi blog, Leaving Work Behind, fue pirateado en abril. Es algo sobre lo que lees con bastante frecuencia pero que nunca esperas que suceda hasta que sea demasiado tarde Para ser honesto, no me veía a mí mismo como un candidato principal: he escrito sobre la seguridad de WordPress con la frecuencia suficiente para tener muchas medidas preventivas. Sin embargo, esas medidas claramente no fueron lo suficientemente integrales.


Ser pirateado es algo por lo que no quiero volver a pasar. Hay muchas razones por las cuales el tiempo de inactividad del sitio web es malo para su blog / negocio: si bien la pérdida de tráfico y los ingresos potenciales son los dos más obvios, no puedo subestimar la cantidad de tiempo que perdí para restaurar el sitio y la cantidad de estrés que esto genera. Me causó.

En esta publicación, quiero revelar lo que sucedió en mi sitio y hacerle saber lo que he hecho para aumentar la seguridad de mi sitio desde.

Ser hackeado: mi historia

Me desperté el jueves 18 de abril y descubrí que mi sitio estaba caído y lo había estado por unas horas. Inmediatamente me puse en contacto con mi proveedor de alojamiento, Westhost, quien me informó que su firewall ModSecurity había detectado actividad inusual en mi sitio y lo había apagado inmediatamente por precaución. Al ejecutar una restauración inicial en el sitio, pude ver de inmediato que había sido pirateado. Si bien los cambios fueron relativamente sutiles, era bastante claro que algunos tipos sin escrúpulos habían estado husmeando.

Resulta que una gran cantidad de sitios de WordPress también fueron pirateados, y Westhost tuvo que cortar su trabajo. Afortunadamente, realizan copias de seguridad diarias del sitio y, a la tarde siguiente, volví a estar en línea con una versión de mi sitio lo más cercana posible a la actual..

Aquí está el efecto que tuvo el hack en mi tráfico:

Estadísticas de Clicky

Para poner en perspectiva el gráfico anterior, el tráfico de esa semana disminuyó ~ 30% en comparación con la semana anterior. Eso teóricamente significaba una caída del 30% en los ingresos..

Es justo decir que estaba ansioso por asegurar (en la medida de mis capacidades) que tal truco no podría repetirse. Tomé medidas de inmediato.

Mis pasos inmediatos

Lo primero que hice fue verificar que había seguido los pasos descritos en mi reciente publicación sobre cómo asegurar su sitio web de WordPress.

Estos fueron los fundamentos absolutos: actualizar mis temas y complementos, asegurarme de que tenía una copia de seguridad reciente, asegurarme de que mi perfil predeterminado no se llamara “admin”, cambiar mi contraseña y buscar complementos de seguridad en mi sitio. Con esos elementos en su lugar, era hora de seguir adelante.

No me hago ilusiones de que mi sitio ahora es 100% seguro; después de todo, no existe un sitio 100% seguro. Dicho esto, sé que es mucho más seguro de lo que era antes y continuaré investigando las medidas de seguridad del sitio ahora y en el futuro. Hasta ahora, esto es lo que he hecho..

1. Instalé VaultPress

Para aquellos de ustedes que no saben, VaultPress es una solución de respaldo y seguridad totalmente automatizada para WordPress. Es propiedad de Automático, los “propietarios” de facto de WordPress.

Después de haber estado usando VaultPress durante algunos días, no puedo creer que fuera tan barato por no haberme dejado perplejo por el servicio de antemano. Su paquete básico comienza en $ 15 por mes. Pagaré eso por tranquilidad cualquier día de la semana..

De hecho, elegí ir con su paquete Premium ($ 40 por mes) que incluye:

  • Copia de seguridad en tiempo real
  • Restauración automática del sitio con un clic
  • Archivos, estadísticas y registro de actividad
  • Recuperación prioritaria ante desastres
  • Soporte prioritario “Concierge”
  • Escaneo diario de seguridad
  • Notificaciones de seguridad
  • Reparadores de un clic para amenazas de seguridad
  • Asistencia de migración del sitio

Básicamente, te tienen cubierto.

Si bien VaultPress no puede garantizar la seguridad de su sitio contra los piratas informáticos, prácticamente lata garantiza que tu sitio pueda restaurarse con relativa facilidad. Hay algo muy relajante al ver instantáneas por hora de sus sitios almacenados en los servidores de VaultPress:

VaultPress Backups

Si bien existen muchas soluciones de respaldo gratuitas, no creo que nada supere la relativa tranquilidad que obtengo de VaultPress. Ahora tienen 90 instantáneas de mi sitio disponibles para restaurar, de las cuales la más reciente tiene solo veinte minutos. Sé que mi sitio está seguro en sus manos.

2. Administré mis perfiles

Un hacker puede acceder potencialmente a su sitio desde cualquiera de los perfiles de administrador dentro de su backend de WordPress, no solo el  utilizar. Cuando cargué mis perfiles, pude ver que tenía otros tres perfiles: un perfil de póster invitado y otros dos perfiles para personas (de confianza) a las que les había dado acceso a mi sitio..

Comencé cerrando esos dos perfiles y cambiando el rol del perfil del afiche invitado a Autor. Esto es algo que le aconsejaría que haga: solo cree tantos perfiles de administrador como sea absolutamente necesario. Además, debe asegurarse de que cada cuenta sea una contraseña única y aleatoria adecuada y que dichas contraseñas se cambien regularmente.

Hay momentos en los que deberá permitir el acceso de personas (como su diseñador web) a su sitio. En tales situaciones, le aconsejo que cree un perfil para ellos con una nueva contraseña, luego elimine ese perfil tan pronto como sea necesario..

Siempre piense en los puntos de entrada de su sitio y si son estrictamente necesarios.

3. Cambié mis contraseñas

Puede pensar que este fue un movimiento obvio, pero en realidad no estoy hablando de mis contraseñas de WordPress. Aunque yo hizo cambiarlos, también estaba seguro de cambiar todas las contraseñas a cuentas particularmente sensibles, es decir:

  • Gmail
  • Facebook
  • Gorjeo
  • Mi cuenta de alojamiento
  • Asociados de Amazon
  • Etc

Si se pregunta por qué hice este movimiento, solo considere la historia de Mat Honan, cuya vida digital entera fue destruida por los hackers que originalmente piratearon su cuenta de Amazon. Si se siente de alguna manera descortés acerca de la seguridad en línea, entonces el artículo anterior es una lectura obligada.

Considere esta cadena simple: un pirata informático obtiene acceso a su cuenta de correo electrónico desde la cual recientemente envió un correo electrónico a su diseñador web con detalles de inicio de sesión para su sitio de WordPress. Eso es todo lo que necesitan para obtener acceso a su sitio y hacer lo que quieran. Hackear puede ser tan elemental.

4. Actualicé a SFTP

Esto es algo que quizás no conozca: los datos que transfiere a través de FTP (incluidos su nombre de usuario y contraseña) no están encriptados. Por lo tanto, cualquier persona que pueda interceptar con éxito las transferencias FTP podrá recoger sus datos de inicio de sesión y acceder a su cuenta.

Esto no solo les permite agregar y eliminar archivos como mejor les parezca, sino que también pueden obtener acceso a su base de datos de WordPress a través de phpMyAdmin y finalmente iniciar sesión en su sitio.

En pocas palabras, no importa cuán seguro sea el acceso directo a su sitio de WordPress si los hackers pueden ingresar a través de FTP. Como tal, recomiendo encarecidamente que deshabilite el acceso FTP a su sitio y transfiera archivos utilizando el protocolo SFTP alternativo, que hace cifrar datos Cualquier buen proveedor de hosting debería poder ayudarte con esto.

Hablando de proveedores de hosting …

5. Considere la idoneidad de su solución de alojamiento

Me alegro de estar con Westhost. Fue su cortafuegos ModSecurity el que detectó el hack en primer lugar y cerró mi sitio antes de que se pudieran hacer daños graves. También llevan a cabo copias de seguridad diarias automáticas (que se utilizaron para restaurar el sitio) y tienen un excelente soporte al cliente para arrancar.

¿Puedes decir lo mismo para tu proveedor de hosting? Hay tantas opciones excelentes por ahí que sería una locura quedarse con un proveedor con el que no está satisfecho. Puede considerar cambiar a una de las soluciones de alojamiento administrado (como WPEngine) como lo hizo WPExplorer recientemente.

Cualquiera sea su elección, asegúrese de preguntar sobre las medidas de seguridad que toman. Considere las medidas que he tomado anteriormente y asegúrese de que sean compatibles con su solución de alojamiento.


La moraleja de la historia es esta: no comprometer la seguridad. En última instancia, mantener su sitio seguro es más importante que cualquier cosa más. No tiene sentido tener un gran contenido o un nuevo diseño si nadie puede verlo porque su sitio ha sido destrozado por hackers despiadados.

Los tipos nefastos que no tienen nada mejor que hacer con sus vidas que piratear los sitios de las personas no desaparecerán pronto. Cuanto antes lo acepte y tome medidas razonables para proteger su sitio contra ataques, mejor para la seguridad a largo plazo de sus activos en línea.

Me encantaría saber qué piensa sobre las medidas que he tomado. ¿Hay alguna recomendación adicional que haría? Infórmenos en la sección para comentarios!

Jeffrey Wilson Administrator
Sorry! The Author has not filled his profile.
follow me
    Like this post? Please share to your friends:
    Adblock
    detector
    map