Desde mediados de abril se han detectado ataques contra la plataforma de WordPress a través de botnets. En principio, el ataque se había centrado en los usuarios que utilizan como nombre de usuario "admin", sobre los que los atacantes habían capturado más de 1.000 contraseñas. Pero los atacantes han añadido más comprobaciones en su intento de acceder a las cuentas de Wordpress.
Según Sorin Mustaka, experto en seguridad de Avira, los hackers están analizando los blogs, extrayendo los nombres de usuarios de los que han posteado algún contenido e intentando localizar los passwords de estos usuarios. “Lo más interesante”, explica Mustaka, “es que estos ataques proceden de unos pocos dominios en estos momentos, como hostnoc.net o 163data.com.cn”.
A todos los usuarios de WordPress, Avira les recomienda cuatro sencillas medidas para proteger sus cuentas de estos ataques:
1. Utiliza un password fuerte. Es la medida más básica, aunque se descuida con demasiada frecuencia. Las "contraseñas" deben tener al menos doce caracteres.
2. Renombra la cuenta de administración. Puedes crear una nueva cuenta de administración y borrar la que viene por defecto. Si ya dispones de una instalación de WordPress deberás renombrar la cuenta existente en el MySQL command-line client con una orden como:
UPDATE wp_users SET user_login = 'newuser' WHERE user_login = 'admin'; o usando un MySQL frontend como phpMyAdmin.
3. Cambia la tabla prefijada. Muchos ataques que utilizan comandos directos de inyección SQL presuponen que la tabla prefijada es wp_, la que viene por defecto. Cambiando esto se pueden bloquear al menos algunos de estos ataques.
4. Instala un plugin de seguridad como Wordfence. Asegúrate de que lo configuras correctamente para bloquear las IPs que han intentado fallidamente entrar en tu perfil. Especifica el número de intentos en uno.
También te dejo unos Plugins de seguridad para instalar en tu Wordpress (haz clic en cada uno para descargarlos)
- AskApache. Añade otro nivel de protección por contraseña, mediante la modificación del fichero .htaccess.
- Login LockDown. Restringe el número de intentos fallidos para autenticarse en el blog, bloqueando las IPs que se equivoquen en la contraseña más del número de veces especificado.
De todas formas te recomiendo hacer backups de seguridad periódicamente (yo los tengo para cada domingo) por si acaso.
*Prometo poner mas plugins.
Espero te sirva.
No hay comentarios.:
Publicar un comentario