¿Qué es el hackeo de sitios web?
Se considera que tu sitio web ha sido hackeado cuando alguien obtiene acceso no autorizado a los datos de tu sitio.
¿Por qué se hackean los sitios?
Puede haber diferentes motivos para hackear un sitio web. Los sitios pueden hackearse para infectar los equipos de los visitantes con virus y software malicioso. También pueden hackear el sitio para usar la dirección de correo de tu dominio y enviar spam. Otra forma de aprovechar un sitio comprometido es colocar botones o enlaces que conduzcan a páginas de estafas o que inicien la descarga de virus a tu PC. Además, los hackers pueden “secuestrar” tu sitio web y luego chantajearte. Si tu sitio es bastante popular, los competidores incluso pueden contratar hackers para borrar tus archivos o dejar tu sitio inaccesible durante un período de tiempo.
Métodos de hackeo y cómo proteger tu sitio web
Robo de contraseñas de FTP y/o de la cuenta de hosting
No recomendamos dar acceso a tu cuenta de hosting en absoluto. Es mejor facilitar únicamente las credenciales de acceso FTP. Además, muchos paneles de control permiten crear usuarios con distintos niveles de acceso. Por lo tanto, si necesitas dar acceso a tus archivos (por ejemplo, a tu webmaster), te recomendamos crear un usuario con permisos limitados.
¿Cómo evitar el robo de contraseñas de FTP y de la cuenta de hosting?
Procura no proporcionar tus credenciales a terceros. Si necesitas hacerlo, asegúrate de que la persona sea de confianza. Aun así, recomendamos dar únicamente acceso a un cliente FTP o crear un usuario independiente con un nivel de acceso limitado. Asimismo, asegúrate de que todas tus contraseñas sean difíciles de adivinar y contengan símbolos, letras y números.
Brecha de seguridad en la empresa de hosting
Es posible que se produzca una brecha de seguridad, pero ocurre muy raramente. La mayoría de las empresas reconocidas se toman la seguridad en serio; por ello, recomendamos utilizar sus servicios en lugar de los de una empresa recién creada o no verificada.
¿Cómo evitar estas situaciones?
Elige proveedores de hosting fiables que cuenten con muchos clientes en todo el mundo. Puedes consultar nuestro pie de página para encontrar el hosting que se adapte a tus necesidades. Además, puedes ver el ranking de proveedores con la mejor relación calidad-precio aquí.
Hackeo de CMS
No importa si el CMS es gratuito, de pago o personalizado. Si es un CMS popular, los hackers intentarán encontrar vulnerabilidades que les permitan hackear miles de sitios a la vez. Sin embargo, esto también provoca el proceso inverso: cuanto más intentan hackear el CMS, más seguro se vuelve en cada nueva versión.
Otra vía de acceso al CMS es a través de extensiones (plugins, módulos, etc.) descargadas de sitios de terceros. Pueden contener scripts maliciosos.
¿Cómo evitar el hackeo de un CMS?
Asegúrate de que tu CMS esté actualizado. Descarga tanto el CMS como sus extensiones solo del sitio oficial. Allí encontrarás muchas extensiones gratuitas. Si tienes un CMS a medida, probablemente necesites realizar auditorías de seguridad periódicamente. Este servicio es bastante costoso. Además, no es fácil encontrar una empresa de auditoría decente y confiable. Por eso, lo mejor que puedes hacer es investigar a fondo antes de encargar ese tipo de CMS, leer reseñas de clientes y decidir si vale la pena. Por cierto, puedes consultar en nuestro sitio nuestros artículos sobre Joomla y la seguridad de WordPress.
Permisos de archivos
Los permisos de archivos pueden representarse como números o símbolos. Básicamente, todos los archivos pueden leerse, escribirse y ejecutarse. Cada una de estas acciones puede permitirse o denegarse, con distintos niveles de especificidad; para eso existen los permisos. Por ejemplo, si un archivo tiene el valor de permisos “777”, significa que cualquiera puede leer, escribir o ejecutarlo.
¿Cómo configurar correctamente los permisos de archivos?
Configura los siguientes valores de permisos: 755 para carpetas y 644 para archivos. También recomendamos verificarlo con tu proveedor de hosting, un webmaster con experiencia o el desarrollador de tu CMS antes de cambiar los permisos de tus archivos y carpetas, para evitar problemas. Puedes leer más sobre permisos de archivos en este artículo.
Inyección SQL
Hoy en día, la mayoría de los sitios usan bases de datos SQL para generar páginas dinámicas. Este proceso se realiza mediante consultas SQL. Por eso, un hacker puede modificar la consulta e introducir código malicioso a través de entradas en la página web. A esto se le llama inyección SQL.
¿Cómo proteger tu sitio web de una inyección SQL?
En primer lugar, recomendamos usar un CMS seguro. Además, si tienes experiencia en programación, es posible validar las consultas SQL. Por ejemplo, puedes usar la función de PHP mysql_real_escape_string, que elimina el código malicioso de la consulta.
Cross-site scripting (XSS)
Este es un tipo de vulnerabilidad que suele encontrarse en aplicaciones web. El atacante busca ejecutar scripts maliciosos en el navegador de la víctima, insertando código malicioso en una página o aplicación web legítima. Básicamente, si el sitio se hackea de esta manera, el hacker puede obtener las credenciales de acceso de cualquier visitante. El visitante ni siquiera notará la diferencia, ya que el sitio se verá y funcionará con total normalidad.
¿Cómo proteger tu sitio del cross-site scripting?
Lamentablemente, es bastante difícil proteger tu sitio de estos ataques. Incluso sitios populares como Facebook pueden sufrir ataques XSS. Aconsejamos usar un CMS seguro y contratar a un administrador de sistemas con experiencia para garantizar la seguridad de tu sitio. Si en este momento no puedes permitirte un webmaster, elimina el formulario de registro de tu sitio para evitar el robo de datos sensibles.
Virus informáticos
Sí, los virus siguen siendo comunes y pueden perjudicar tu sitio web. Si tu PC está infectado, existe la posibilidad de que ya se hayan robado tus credenciales de acceso al panel de control.
¿Cómo proteger el sitio de los virus del PC?
En primer lugar, no guardes tu contraseña en el navegador ni en un archivo en tu PC. En segundo lugar, instala un antivirus y realiza análisis de seguridad periódicos. Y no olvides actualizarlo tan a menudo como sea posible. También recomendamos usar sistemas Unix, ya que son más seguros.
No descargues ni instales software sospechoso, no hagas clic en enlaces ni descargues adjuntos de correos electrónicos enviados desde direcciones desconocidas.
Consejos
- Analiza tus sitios en busca de virus de forma regular. Puedes encontrar instrucciones detalladas aquí.
- Realiza copias de seguridad de tus sitios con la mayor frecuencia posible (una vez al día es suficiente).
- Guarda los archivos de registro con regularidad, porque los proveedores de hosting conservan los logs aproximadamente 2 semanas y luego los eliminan. Contienen información sobre todas las solicitudes enviadas al servidor. Esto puede ayudar a localizar un acceso inusual, es decir, cuando un hacker intentó entrar en tu sitio.
- Si tienes un sitio de comercio electrónico que admite algún sistema de pago, asegúrate de usar un certificado SSL o de conectar tu sitio a un sistema de pago externo.
- Verifica dos veces qué funciones y herramientas de seguridad ofrece tu proveedor de hosting. La mayoría de las empresas de hosting se toman en serio la seguridad de sus clientes y ofrecen muchas herramientas gratuitas disponibles en el panel de control o incluidas en el plan.
- Si contrataste a un webmaster para desarrollar tu sitio, asegúrate de que una de sus tareas principales sea protegerlo de todo tipo de ataques y vulnerabilidades. Para confirmar que se han solucionado todos los problemas de seguridad, pide a otro webmaster que intente hackear tu sitio. Puede parecer excesivamente preventivo; sin embargo, estas acciones ayudan a garantizar que tu sitio y los datos de tus visitantes estén protegidos frente a software malicioso y brechas de seguridad en general.
