Prečo útočníci napádajú aj malé firemné weby
„Kto by mi hackol web? Veď sme malá firma a nemáme čo ukradnúť.“ Túto vetu počúvam často. A chápem ju. Lenže útočník si váš web vôbec nevyberá podľa toho, kto ste. Vyberá ho podľa toho, aký softvér na ňom beží.
Útok nie je osobný
Väčšina útokov na weby nie je cielená. Nik nesedí za počítačom a nerozmýšľa, ktorú košickú firmu napadne. Robia to automatické programy, ktoré nepretržite prechádzajú obrovské množstvo webov a hľadajú známe chyby.
Predstavte si zlodeja, ktorý chodí ulicou a skúša kľučky na všetkých autách. Nezaujíma ho, komu auto patrí. Zaujíma ho len to, ktoré je odomknuté. Pri weboch je to rovnaké, len ten zlodej je program a za deň vyskúša milióny „kľučiek“.
Ako útočník nájde slabé miesto
Takmer každý WordPress web sa skladá z jadra, témy a doplnkov. Každá z týchto častí je kód a v kóde sa občas nájde chyba. Ak ju možno zneužiť na prístup k webu, hovorí sa jej zraniteľnosť.
Keď niekto takú chybu objaví, výrobca vydá opravu a chyba sa zverejní. Známe chyby dostávajú medzinárodné označenie CVE, aby sa o nich dalo hovoriť jednoznačne. Zverejnenie je správne, lebo vďaka nemu sa majitelia webov dozvedia, že majú aktualizovať. Lenže dozvedia sa to aj útočníci.
Útočníkovi potom stačí, aby jeho program hľadal weby, na ktorých beží stará verzia s touto chybou. Kto aktualizoval, má dvere zamknuté. Kto nie, má ich otvorené. A je úplne jedno, či je to veľký e-shop alebo vizitka miestneho remeselníka.
Čo útočník z vášho webu má
Aj malý web má pre útočníka hodnotu. Nie kvôli vám, ale kvôli tomu, čo s ním môže robiť:
- SEO spam. Na váš web vloží články alebo skryté odkazy na online kasína, stránky pre dospelých a ďalšie pochybné stránky. Váš web má u Google určitú dôveru a útočník si ju takto „požičia“ pre svoje stránky. Viac v článku o skrytých spamových odkazoch.
- Presmerovanie návštevníkov. Vašich návštevníkov pošle na podvodné stránky. Za každého človeka, ktorého tam dostane, môže dostať zaplatené.
- Zneužitie servera. Z vášho servera rozosiela spam, útočí na ďalšie weby alebo na ňom ukladá svoje súbory. Server sa preťažuje a vy to vidíte len ako pomalší web.
- Údaje. Ak web zbiera kontakty, objednávky alebo rezervácie, útočník sa môže dostať aj k nim.
Všetky tieto veci fungujú tým lepšie, čím dlhšie si nikto ničoho nevšimne. Preto útočníci robia všetko pre to, aby web navonok vyzeral normálne.
Prečo práve WordPress
WordPress nie je zlý alebo nebezpečný systém. Je jednoducho najrozšírenejší. Čím viac webov beží na rovnakom softvéri, tým viac sa útočníkom oplatí hľadať v ňom chyby. Samotné jadro WordPressu sa navyše aktualizuje pomerne spoľahlivo. Problém býva najčastejšie v doplnkoch a témach, najmä v tých, ktoré niekto roky neaktualizoval.
V prípadovej štúdii bola vstupnou bránou práve zastaraná súčasť témy so známou chybou. Útočník ju nehľadal na konkrétnom webe. Jeho program ju našiel sám.
Čo z toho plynie pre vás
Dobrá správa je, že keď útok nie je osobný, nemusíte byť nedobytná pevnosť. Stačí nebyť to odomknuté auto na ulici. V praxi to znamená:
- Aktualizujte WordPress, tému aj doplnky. Nie raz za rok, ale priebežne.
- Mažte doplnky, ktoré nepoužívate. Aj vypnutý doplnok je kód na serveri.
- Nepoužívajte nelegálne kópie platených doplnkov. Prečo, píšem v článku Neaktualizované pluginy.
- Zapnite dvojfaktorové prihlásenie, aby samotné ukradnuté heslo nestačilo.
- Majte zálohy a vedzte, ako sa z nich web obnovuje.
Ak sa o to nechcete starať sami, presne na toto slúži mesačná správa webu. A ak máte podozrenie, že sa niekto dnu už dostal, pozrite si, čo obsahuje vyčistenie napadnutého webu.
Zdroje: CVE: Čo je CVE, WordPress: Zabezpečenie WordPressu, Google: Pravidlá proti spamu.