Cualquier web es hackeable. La tuya también.

🔐 Cualquier web es hackeable. La tuya también.

No hace falta que sea importante, ni conocida, ni especialmente vulnerable. Basta con que esté online y tenga alguna «puerta mal cerrada». La mayoría de ataques no son personales: son automáticos, masivos, lanzados contra miles de webs al mismo tiempo. Si hay algo que suena a “aquí se puede entrar”, lo van a intentar.

Hace poco me llamaron por una web que se caía constantemente. Era una situación tensa: llamada a tres bandas, el equipo de sistemas explicando que tenían picos altísimos de tráfico y que el servidor no lo aguantaba. Me conecté con el equipo de devops y enseguida vi que el archivo xmlrpc.php estaba expuesto. Pregunté si realmente lo estaban utilizando para algo, y como no era el caso, lo cerré.

Las “visitas” no pararon, pero la saturación del servidor sí. Lo que estaba pasando era bastante claro: bots lanzando ataques de fuerza bruta contra ese punto de entrada. Es decir, peticiones automáticas intentando acceder con combinaciones de usuario y contraseña, a través de xmlrpc.php, que permite múltiples llamadas por lote (multicall). Aunque todos los intentos fallaban, el simple volumen de peticiones era suficiente para colapsar el servidor, creando un efecto de denegación de servicio (DDoS).

Una vez cerramos el acceso, los bots siguieron insistiendo durante un rato, pero al no encontrar respuesta, se fueron. No era un ataque dirigido. Era un ataque masivo que había detectado una vulnerabilidad común, y simplemente la estaba explotando como una más dentro de una lista enorme.

Evidentemente, hay otras formas de protegerse. Si hubiéramos necesitado mantener ese acceso, un firewall bien configurado habría sido lo más adecuado. Pero no era el caso.

Este tipo de situaciones ocurren cada día. Y no son errores graves, pero tampoco son cosas menores. Son esos pequeños detalles que, si no los vigilas, acaban causando problemas serios.

La seguridad, al final, no va de paranoia ni de montar un búnker. Va de saber lo que tienes expuesto y revisar si tiene sentido que siga ahí.

Y ahora que muchos ataques ya ni siquiera los lanzan personas, sino sistemas que aprenden, rastrean y evolucionan solos, aún tiene más sentido no dejar «puertas abiertas» por descuido. La IA también ha llegado a esto. Y no siempre está de nuestro lado, aunque también se usa para fortalecer nuestras defensas.

No se trata de blindar. Se trata de vigilar.

Si trabajas con WordPress y no tienes claro qué puertas tienes abiertas, podemos mirarlo juntos. A veces es más simple de lo que parece.

#WORDPRESS #WORDFENCE #XMLRCP #SEGURIDADWEB #CIBERSEGURIDAD