Página web hackeada: indicios y medidas

Las señales de que tu página web ha sido hackeada pueden ser muchas. Entre otras, avisos del antivirus o del navegador, di­re­c­cio­nes web inac­ce­si­bles, spam, problemas de carga o re­di­re­c­cio­na­mie­n­tos no deseados. En una situación así es im­po­r­ta­n­te reac­cio­nar rá­pi­da­me­n­te e informar al proveedor del hosting, modificar los datos de acceso y reparar los puntos débiles de la página, entre otras cosas.

Cómo comprobar si una página web ha sido hackeada

El hackeo de una página web es uno de esos peligros para los que deben pre­pa­rar­se los pro­pie­ta­rios. Por muchas pre­cau­cio­nes de seguridad que se tomen, los hackers más ha­bi­li­do­sos pueden apro­ve­char los fallos de seguridad de las páginas web, apps y cuentas de correo ele­c­tró­ni­co para ejecutar ci­ber­ata­ques. Estos son algunos de los agujeros por los que - puede entrar el malware o que pueden apro­ve­char­se para el robo de datos:

• Seguridad en la nube in­su­fi­cie­n­te
• Ataque de día cero
• Ataques mediante DoS y DDoS
• Phishing

Si bien antes este riesgo afectaba pri­n­ci­pa­l­me­n­te a las grandes empresas, ac­tua­l­me­n­te, con el auge de la di­gi­ta­li­za­ción, las pequeñas y medianas empresas también están expuestas a muchos ci­ber­ata­ques. Además, es cada vez más común que WordPress sea hackeado dado que muchas páginas utilizan este CMS.

Por lo tanto, desde que detectes co­m­po­r­ta­mie­n­tos inusuales en tu página web, debes valorar la situación y actuar con cuidado.

Ante todo, es im­po­r­ta­n­te saber reconocer las señales de hackeo de una página web. Aunque hay métodos difíciles de ide­n­ti­fi­car como los ataques de man-in-the-middle, no­r­ma­l­me­n­te hay ciertos indicios que delatan un ci­ber­ata­que.

Presta atención a los si­guie­n­tes consejos para aprender a ide­n­ti­fi­car el malware y así saber si han hackeado tu página web:

Ad­ve­r­te­n­cias del navegador

Los na­ve­ga­do­res actuales como Microsoft Edge, Google Chrome o Mozilla Firefox ya disponen de funciones de seguridad que reconocen las páginas web inseguras. Una de ellas es la función “HTTPS only”, que bloquea au­to­má­ti­ca­me­n­te las páginas sin SSL o TLS o, al menos, avisa al acceder a ellas. Asimismo, las funciones de na­ve­ga­ción segura protegen de descargas o códigos ma­li­cio­sos. Si accedes a tu página web y el navegador te avisa de que hay un problema de seguridad, este puede deberse a que ha sido hackeada o a que tienes los ce­r­ti­fi­ca­dos caducados.

Avisos del antivirus

Usa antivirus actuales. Los avisos de un programa antivirus son una de las in­di­ca­cio­nes más claras de que tu ordenador o página web está infectada o en peligro.

Página web no accesible

Es posible que no te des cuenta de que te han hackeado hasta que tu proveedor de hosting haya des­ac­ti­va­do tu página web. Este reac­cio­na­rá cuando peligre su propia seguridad in­fo­r­má­ti­ca o reciba avisos de los usuarios de su página web. En estos casos, no siempre se te no­ti­fi­ca­rá antes de des­ac­ti­var tu página web.

Los datos de acceso no funcionan

Si no funcionan tus datos de acceso, todo apunta a que alguien te ha quitado tu cuenta web o eliminado las cuentas de usuario.

Avisos de intentos de acceso

En los ataques de brute force, los hackers intentan adivinar tus datos de acceso. Si se te notifican intentos de acceso no au­to­ri­za­dos, tu página web está en peligro.

Defacing

El defacing se produce cuando un hacker trata de in­te­r­ca­m­biar tu página web o tu index.html por otro que muestre una de­cla­ra­ción del grupo de hackers. Así es como evitan que se pueda acceder a tu página web. Con fre­cue­n­cia en estos casos se hackean páginas co­me­r­cia­les con mo­ti­va­cio­nes políticas o ac­ti­vi­s­tas.

Hijacking

En el hijacking los ci­be­r­de­li­n­cue­n­tes integran una página de fondo, por ejemplo, con código malicioso, a tu página web, de manera que al abrirla se descarga el malware. Aunque un antivirus ac­tua­li­za­do o el propio navegador debería saltar ante una situación así, es posible que tu ordenador ya se haya infectado. Los fallos de seguridad suelen proceder de co­n­tra­se­ñas FTP inseguras o PHP inject.

Secuestro de datos

El ra­n­so­m­wa­re o secuestro de datos es de lo peor que le puede pasar a una empresa. De­pe­n­die­n­do de lo dañino que sea el malware, puede acabar cifrando todos los datos de la página web y la empresa y volverlos inu­ti­li­za­bles. En casos así, el objetivo de los hackers es conseguir una re­co­m­pe­n­sa a cambio de los códigos de de­s­ci­fra­do. Es por eso que debe darse mucho valor a las medidas de pro­te­c­ción de ra­n­so­m­wa­re.

Avisos de Google

La Google Search Console es una he­rra­mie­n­ta de análisis gratuita de Google con la que puedes comprobar el SEO de tu página web. Si aquí te llegan avisos de malware o de backlinks dañados, debes comprobar la seguridad de tu página web.

Página bloqueada por Google

Si Google clasifica tu página como so­s­pe­cho­sa o peligrosa, puede acabar en la lista de bloqueo de Google y dejará de aparecer en los re­su­l­ta­dos de búsqueda. Puedes comprobar si tu página está en la lista de bloqueo a través de la Google Search Console.

Tiempos de carga inusuales

Si de repente ves que tu página web tarda bastante más de lo habitual en cargarse, es posible que tu página web haya sido hackeada. Las in­fe­c­cio­nes como el cr­y­p­to­ja­c­ki­ng pueden so­bre­ca­r­gar la CPU. Los hackers utilizan el cr­y­p­to­ja­c­ki­ng para infectar or­de­na­do­res con malware o integrar programas de minería como Coinhive en páginas oficiales y apro­ve­chan el re­n­di­mie­n­to del ordenador afectado o de los usuarios de la página web para el cr­y­p­to­mi­ni­ng ilegal.

Spam, desvíos o ventanas eme­r­ge­n­tes

Si tus su­s­cri­p­to­res se quejan de recibir una gran cantidad de correos no deseados de una de tus di­re­c­cio­nes de correo ele­c­tró­ni­co, todo apunta a una in­fe­s­ta­ción de malware. También son indicios de hackeo los re­di­re­c­cio­na­mie­n­tos no deseados al visitar una página web, así como las ventanas eme­r­ge­n­tes y los anuncios de­s­co­no­ci­dos.

Website hacked: qué hacer cuando te hackean la página web

En el peor de los casos, se cumplen tus temidas sospechas: alguien ha apro­ve­cha­do los fallos de seguridad para hackear tu página web. Sigue estos siete pasos para so­lu­cio­nar el problema y recuperar la seguridad de tu empresa y tus clientes:

Paso 1. Mantener la calma

Antes que nada, que no cunda el pánico. Actuar de manera pre­ci­pi­ta­da puede causar aún más estragos. Si también se han infectado tus di­s­po­si­ti­vos, no utilices otros datos de acceso para iniciar sesión en cuentas de correo externas ni en cuentas de empresa en los di­s­po­si­ti­vos in­fe­c­ta­dos. Si te han hackeado, usa úni­ca­me­n­te cuentas y or­de­na­do­res externos para co­mu­ni­car­te. En caso de duda, consulta a expertos in­fo­r­má­ti­cos. Por su parte, las empresas deben informar in­me­dia­ta­me­n­te al equipo de seguridad in­fo­r­má­ti­ca si lo tienen.

Paso 2. Modificar datos y derechos de acceso

Si te notifican intentos de acceso no au­to­ri­za­dos en tus sistemas o pro­to­co­los, modifica los datos de acceso. Asegúrate de poner una co­n­tra­se­ña segura que contenga ma­yú­s­cu­las y mi­nú­s­cu­las, cifras, ca­ra­c­te­res es­pe­cia­les y, si es posible, que tenga al menos 12 ca­ra­c­te­res. Debes cambiar los si­guie­n­tes datos de acceso y cuentas:

• Datos de acceso de ad­mi­ni­s­tra­do­res o personas au­to­ri­za­das
• Co­n­tra­se­ñas de la cuenta del hosting
• Cuentas primarias y se­cu­n­da­rias de FTP
• Co­n­tra­se­ñas y datos de acceso de bases de datos
• Cuentas de correo ele­c­tró­ni­co vi­n­cu­la­das

Comprueba y modifica si es necesario los derechos de acceso y la asi­g­na­ción de funciones de todas las personas con derechos de ad­mi­ni­s­tra­dor. No­r­ma­l­me­n­te puede hacerse desde la consola de gestión de los ad­mi­ni­s­tra­do­res o de cuentas FTP. También debes comprobar los derechos de acceso y edición de archivos en el di­re­c­to­rio raíz.

Paso 3. Poner la página web en modo de ma­n­te­ni­mie­n­to

Si tienes la opción, es re­co­me­n­da­ble poner la página web en modo de ma­n­te­ni­mie­n­to hasta que puedas so­lu­cio­nar los problemas. De esta manera no expones a los usuarios a un peligro in­ne­ce­sa­rio y proteges la imagen de tu empresa.

Paso 4. Crear una copia de seguridad de la página web

Hacer de antemano un backup (también copia de seguridad) de los datos de tu página web es co­n­ve­nie­n­te en caso de que te hackeen. Así, tu página puede volver a estar como antes, a una versión limpia y segura. En este proceso asegúrate de hacer más de una copia de seguridad y de guardar al menos dos backups en medios de al­ma­ce­na­mie­n­to distintos.

Paso 5. Comprobar los ficheros log de la página web

Si puedes acceder a la consola de gestión, comprueba los ficheros log de tu página web. Ahí deberías poder ide­n­ti­fi­car el momento y lugar del ci­ber­ata­que con los mensajes de error y pro­to­co­los de acceso. Basándote en eso, puedes cerrar las brechas de seguridad y eliminar el malware, los códigos ma­li­cio­sos, plugins, temas y otros software de terceros. Si no tienes acceso a los logs de tu página web, contacta con tu proveedor de hosting.

Paso 6. Re­s­ta­ble­cer el archivo .htaccess

El archivo .htaccess suele ser blanco de ci­ber­ata­ques ya que contiene ajustes im­po­r­ta­n­tes de las páginas web que se basan en se­r­vi­do­res web Apache. Un ataque al archivo .htaccess puede conllevar re­di­re­c­cio­na­mie­n­tos de malware, archivos PHP ma­li­cio­sos, robo de datos, browser fi­n­ge­r­pri­n­ti­ng o los llamados ataques de abre­va­de­ro. Restaurar el archivo .htaccess y re­s­tri­n­gir los derechos de acceso puede corregir los fallos de seguridad.

Paso 7. Examinar la página web en busca de malware o código malicioso

Si usas WordPress, tienes a tu di­s­po­si­ción un amplio abanico de plugins de seguridad para WordPress tanto gratuitos como de pago. Con ellos puedes examinar los archivos de la web, las apps y los plugins en busca de malware o código malicioso. He aquí algunos de los plugins de seguridad más populares y conocidos:

• WPScan
• Jetpack
• Sucuri Security
• Bu­lle­t­Proof Security

Para páginas web creadas y ge­s­tio­na­das con otros CMS y al­te­r­na­ti­vas a WordPress también hay he­rra­mie­n­tas para hacer análisis de seguridad, mo­ni­to­rear la web y optimizar la seguridad de la red y la página web:

• Si­te­Gua­r­di­ng
• Intruder
• Ho­s­te­d­S­can Security
• Detectify
• ImmuniWeb

Si no quieres usar he­rra­mie­n­tas de terceros, siempre puedes utilizar tu propio antivirus para comprobar ma­nua­l­me­n­te los archivos de tu página web.

¿Por qué se hackea una página web?

Pueden hackearte la página por muchos motivos. En la mayoría de los casos, los hackers buscan en­ri­que­ce­r­se con datos sensibles de bancos, empresas y usuarios, que pueden utilizar di­re­c­ta­me­n­te o vender a otros cri­mi­na­les. Otra forma que tienen los hackers de sacar rédito económico es mediante ci­ber­ata­ques de ra­n­so­m­wa­re, en los que se suele pedir una re­co­m­pe­n­sa a cambio de los datos cifrados de la empresa. Los hackeos también pueden tener mo­ti­va­cio­nes políticas, por ejemplo, cuando se in­ha­bi­li­tan las páginas web de empresas, partidos, pe­r­so­na­jes públicos o in­s­ti­tu­cio­nes.

Por otra parte, están los ci­ber­ata­ques militares; hay grupos de hackers estatales que atacan si­s­te­má­ti­ca­me­n­te in­frae­s­tru­c­tu­ras digitales, roban datos, espían o colapsan sistemas. Asimismo, la fama y la ambición tienen un peso propio, ya que hay grupos de hackers o pa­r­ti­cu­la­res que tratan a las grandes empresas o personas im­po­r­ta­n­tes como trofeos.

Cómo evitar que hackeen una página web

Las si­guie­n­tes pre­cau­cio­nes co­n­tri­bu­yen a proteger una página web del malware:

• Usa co­n­tra­se­ñas seguras que respeten las re­co­me­n­da­cio­nes actuales sobre seguridad para las co­n­tra­se­ñas.
• Si tienes muchas co­n­tra­se­ñas, haz uso de un gestor de co­n­tra­se­ñas para tenerlas a buen recaudo.
• Modifica las co­n­tra­se­ñas y los datos de acceso con re­gu­la­ri­dad y no los guardes en el área del ad­mi­ni­s­tra­dor ni en tu ordenador.
• Usa versiones actuales de PHP; la más reciente es PHP 8.
• Ten siempre al día los plugins, las apps y el resto de software vinculado haciendo las ac­tua­li­za­cio­nes co­rre­s­po­n­die­n­tes.
• Utiliza un programa de antivirus ac­tua­li­za­do.
• Hazte con un proveedor de hosting serio y seguro con elevados es­tá­n­da­res de pro­te­c­ción de datos.
• Usa plugins de seguridad para mo­ni­to­rear la página web.
• Cuenta con un ce­r­ti­fi­ca­do SSL actual.
• Da valor a la tra­n­s­fe­re­n­cia de datos segura entre tu espacio web y los or­de­na­do­res vi­n­cu­la­dos con derechos de acceso vía FTP o SFTP.
• Activa los avisos de accesos no au­to­ri­za­dos y la ve­ri­fi­ca­ción en dos pasos.
• Haz copias de seguridad de los archivos de tu página web.
• Haz que expertos in­fo­r­má­ti­cos o he­rra­mie­n­tas de seguridad pro­fe­sio­na­les examinen tu página web en busca de puntos flacos.
• Vigila los accesos, los permisos a las páginas y las funciones asignadas a los usuarios.
• Utiliza un co­r­ta­fue­gos seguro para tu página web (por ejemplo, Sucuri o Clou­d­fla­re).
• Las grandes empresas deben disponer de un equipo propio de seguridad in­fo­r­má­ti­ca.

¿Te han hackeado la página web? Co­mu­ní­ca­lo co­rre­c­ta­me­n­te a tus clientes

Ante el hackeo de una página web, no solo has de restaurar la seguridad de tu página. Los usuarios suscritos a tus servicios web o que hayan de­po­si­ta­do datos en tu página también deben ser in­fo­r­ma­dos de posibles ci­ber­ata­ques o datos robados. Si les informas tarde, de manera poco clara o incluso in­te­n­ta­n­do ocultar in­fo­r­ma­ción, tu marca puede acabar sufriendo. Piensa en cuando Facebook comunicó el robo de los datos de más de 530 millones de usuarios de 2019 dos años más tarde. Además, si estás sujeto al Re­gla­me­n­to General de Pro­te­c­ción de Datos de la Unión Europea (RGPD), estás obligado a informar a los usuarios sobre robos de datos y fallos de seguridad.

Si te han hackeado la página web, co­mu­ní­ca­lo de manera activa y tra­n­s­pa­re­n­te a tus clientes, idea­l­me­n­te con una de­cla­ra­ción pública o un correo. Expón la situación de manera clara y co­m­pre­n­si­ble, y explica qué datos se han visto afectados y las posibles co­n­se­cue­n­cias que esto puede acarrear. Indica a los clientes qué medidas deben tomar para restaurar la seguridad y la pro­te­c­ción de sus datos. Por ejemplo, aco­n­sé­ja­les cambiar de co­n­tra­se­ña, estar atentos a intentos de acceso so­s­pe­cho­sos o activar la ve­ri­fi­ca­ción de dos pasos.