Skąd biorą się włamania na WordPressa — i czyja to wina

„WordPress jest dziurawy” — to zdanie pada w co drugiej rozmowie po włamaniu. Jest wygodne, bo przenosi winę na oprogramowanie. Tyle że z danych o realnych atakach wynika co innego: sam rdzeń WordPressa odpowiada za margines włamań. Zdecydowana większość idzie przez wtyczki, motywy i hasła — czyli przez to, co na stronie doinstalowano i jak się nią opiekowano.

To dobra wiadomość. Oznacza, że o bezpieczeństwie Twojej strony decydujesz Ty, a nie loteria.

Droga numer 1: przeterminowana wtyczka

Schemat jest zawsze ten sam. Badacz albo włamywacz znajduje lukę w popularnej wtyczce. Autor wydaje poprawkę. Informacja o luce staje się publiczna — i od tego momentu boty masowo skanują internet w poszukiwaniu stron, które jeszcze nie zaktualizowały. Nie trzeba być nikim ważnym, żeby zostać ofiarą; wystarczy mieć podatną wersję. Boty nie wybierają celów, one odhaczają listę.

Dlatego strona „nieruszana od dwóch lat, bo działała” to nie jest strona stabilna — to strona z dwuletnią listą publicznie znanych luk. Jak aktualizować, żeby niczego przy tym nie zepsuć, opisaliśmy osobno.

Osobna kategoria to wtyczki i motywy z nielegalnych źródeł — „premium za darmo”. Znaczna część takich paczek ma malware wszyte już w momencie pobrania. To nie jest ryzyko włamania, to włamanie na własne życzenie.

Droga numer 2: hasło

Druga najczęstsza droga nie wymaga żadnej luki. Boty całą dobę próbują logować się do paneli WordPressa parami typu admin / firma2019, admin / 123qwe. Mają nieograniczoną cierpliwość i słowniki z milionami haseł z wycieków. Jeśli Twoje hasło do panelu jest gdziekolwiek indziej używane albo da się je wygooglować z Twojego Facebooka — to kwestia czasu.

Minimum, które zamyka tę drogę: hasło wygenerowane przez menedżera haseł (nie wymyślone), inne dla panelu, FTP i hostingu, plus limit prób logowania. Konto o loginie admin najlepiej w ogóle zlikwidować — boty próbują go w pierwszej kolejności.

Droga numer 3: sąsiedzi i otoczenie

Rzadsza, ale warta znajomości: włamanie nie przez Twoją stronę. Inna strona na tym samym koncie hostingowym (stary testowy WordPress, którego nikt nie pamięta), wyciek hasła FTP z zawirusowanego komputera, konto u wykonawcy, który dawno skończył współpracę, ale dostępy zostały. Audyt dostępów raz na jakiś czas kosztuje pół godziny i zamyka drzwi, o których istnieniu łatwo zapomnieć.

Dlaczego celują akurat w Ciebie? Nie celują

Najczęstsze pytanie po włamaniu brzmi: „kto miałby się włamywać na stronę małej firmy?”. Nikt. Włamywacz nie zna Twojej firmy i nie obchodzi go ona — jego bot znalazł podatną wersję wtyczki na liście miliona przeskanowanych adresów. Zhakowana strona ma dla niego wartość hurtową: rozsyła spam, hostuje przekierowania, podbija SEO cudzych stron. Twoja marka i Twoi klienci to koszt uboczny.

Z tego wynika praktyczny wniosek: bycie małym nie chroni. Chroni bycie zaktualizowanym.

Co realnie wystarcza

Bez kupowania „pakietów security” i sześciu wtyczek-strażników:

• aktualizacje rdzenia, wtyczek i motywów — regularnie, nie raz w roku,
• mocne, unikalne hasła i limit prób logowania,
• kopia zapasowa, która naprawdę da się odtworzyć — nie chroni przed włamaniem, ale zamienia katastrofę w niedogodność,
• usuwanie nieużywanych wtyczek i motywów — wyłączona wtyczka to nadal kod na serwerze, przez który da się wejść,
• raz na jakiś czas rzut oka na listę sygnałów włamania.

To wszystko jest do zrobienia samodzielnie w godzinę miesięcznie. Problem w tym, że tej godziny zwykle nie ma — i strona wraca do stanu „nieruszana, bo działa”.

---

Wolisz, żeby ktoś pilnował tego za Ciebie? Opieka nad stroną od 149 zł netto miesięcznie: aktualizacje, kopie zapasowe i całodobowy monitoring działania strony. Bez umowy terminowej.