Negli ultimi giorni il mondo della sicurezza informatica ha lanciato un importante allarme che riguarda WordPress, la piattaforma con cui è realizzata una grande parte dei siti web presenti su Internet.
È stata infatti scoperta una vulnerabilità critica, soprannominata WP2Shell, che potrebbe consentire a un malintenzionato di prendere il controllo di un sito web senza conoscere username e password e senza sfruttare plugin difettosi. La vulnerabilità interessa direttamente il cuore di WordPress (il cosiddetto core) ed è per questo che ha attirato l’attenzione di tutta la comunità informatica.
Cosa significa in parole semplici?
Immagina di avere una porta blindata perfetta, ma che il costruttore scopra un difetto nella serratura.
Non importa quanto sia robusta la porta: se il difetto esiste, qualcuno potrebbe riuscire ad aprirla.
È esattamente quello che è successo. Alcuni ricercatori hanno individuato due piccoli difetti che, combinati insieme, permettono a un attaccante di eseguire codice sul server e quindi di compromettere completamente il sito.
Chi rischia davvero?
La buona notizia è che non tutti i siti WordPress sono vulnerabili.
Il problema riguarda soltanto alcune versioni di WordPress e, soprattutto, i siti che non sono stati aggiornati.
Chi mantiene il proprio sito aggiornato o si avvale di veri professionisti per la sua gestione ha ridotto enormemente il rischio.
Cosa potrebbe fare un hacker?
Se un sito vulnerabile viene compromesso, l’attaccante potrebbe:
- modificare il sito;
- installare malware;
- rubare dati;
- creare nuovi utenti amministratori;
- utilizzare il sito per diffondere spam o attaccare altri sistemi.
Per questo motivo gli esperti consigliano di intervenire immediatamente.
Come proteggersi?
La regola è semplice:
- affidarsi a professionisti per la gestione di sicurezza
- aggiornare sempre WordPress all’ultima versione disponibile;
- mantenere aggiornati anche plugin e tema;
- effettuare backup regolari;
- utilizzare password robuste e autenticazione a due fattori;
- controllare periodicamente lo stato di sicurezza del sito.
E’ proprio questo il guaio!
Il tuo sito, non è spesso il bersaglio, ma il tramite! Gli attacchi oggi sono concentrati su siti web di qualsiasi dimensione per utilizzare, all’insaputa del proprietario, le risorse del server su cui si appoggia.
Nemmeno ti accorgi di essere stato attaccato finché non è troppo tardi, il tuo sito rallenta, o il tuo hosting ti oscura il sito per essere stato hackerato. Questo perché per un hacker è molto più conveniente utilizzare una rete di migliaia di piccoli server nel momento in cui decide di sferrare un attacco importante… e il tuo sito… potrebbe essere tra gli zombie che tuo malgrado parteciperanno all’attacco.
Oppure potrebbero usare il tuo dominio per inviare migliaia di email di phishing, rendendo inutilizzabile il tuo dominio poiché finirebbe in lista nera per i principali provider di posta
Un consiglio per aziende e professionisti
Molte aziende pensano al sito web come a una brochure online, ma oggi è un vero strumento di lavoro.
Proprio come si aggiorna il sistema operativo del computer o dello smartphone, anche un sito web ha bisogno di manutenzione continua.
Trascurare gli aggiornamenti significa aumentare il rischio di subire attacchi informatici che possono compromettere immagine, dati e continuità del business.
Questa vicenda dimostra ancora una volta quanto sia importante gestire un sito web in maniera professionale.
La sicurezza informatica non riguarda soltanto grandi aziende o enti pubblici: anche il sito di un professionista, di un negozio o di una piccola impresa può diventare un bersaglio.
Se non sei sicuro che il tuo sito sia aggiornato o desideri una verifica dello stato di sicurezza, contattaci: un controllo oggi può evitare problemi molto più costosi domani.