Os 5 passos que tomei para recuperar meu blog WordPress de um hacker

Meu blog, Leaving Work Behind, foi invadido em abril. É algo sobre o qual você lê com bastante frequência, mas nunca espera realmente acontecer com você até que seja tarde demais Para ser sincero, não me considerava o principal candidato – escrevi sobre segurança do WordPress com frequência suficiente para ter várias medidas preventivas em vigor. No entanto, essas medidas claramente não eram suficientemente abrangentes.


Ser hackeado é algo pelo qual não quero passar novamente. Existem muitas razões pelas quais o tempo de inatividade do site é ruim para o seu blog / empresa: embora a perda de tráfego e a renda potencial sejam os dois mais óbvios, não posso subestimar a quantidade de tempo que perdi na restauração do site e a quantidade de estresse que ele causa me causou.

Neste post, quero revelar o que aconteceu com o meu site e informar o que tenho feito para aumentar a segurança do meu site desde.

Ser hackeado: minha história

Acordei na quinta-feira, 18 de abril, para descobrir que meu site estava inoperante e estava em funcionamento há algumas horas. Entrei imediatamente em contato com meu provedor de hospedagem, Westhost, que me informou que o firewall do ModSecurity havia detectado atividades incomuns no meu site e o desligado imediatamente por precaução. Ao executar uma restauração inicial no site, pude ver imediatamente que ele havia sido hackeado. Embora as mudanças tenham sido relativamente sutis, ficou claro o suficiente que alguns tipos sem escrúpulos estavam bisbilhotando.

Acontece que um grande número de sites WordPress também foi invadido e a Westhost teve seu trabalho cortado. Felizmente, eles fazem backups diários do site e, na tarde seguinte, eu estava de volta online com uma versão do meu site o mais próximo possível da atualidade.

Aqui está o efeito que o hack teve no meu tráfego:

Estatísticas de Clicky

Para colocar o gráfico acima em perspectiva, o tráfego daquela semana caiu ~ 30% quando comparado à semana anterior. Teoricamente, isso significava uma queda de 30% na renda.

É justo dizer que eu estava empenhado em garantir (da melhor maneira possível) que tal invasão não pudesse ser repetida. Tomei uma ação imediatamente.

Meus passos imediatos

A primeira coisa que fiz foi verificar se eu estava seguindo as etapas descritas na minha recente postagem sobre como proteger seu site WordPress.

Esses eram os fundamentos absolutos: atualizar meus temas e plugins, garantir que eu tivesse um backup recente, garantir que meu perfil padrão não fosse nomeado “admin”, alterar minha senha e verificar plug-ins de segurança no meu site. Com esses itens no lugar, era hora de seguir em frente.

Não tenho ilusões de que meu site agora seja 100% seguro – afinal, não existe um site 100% seguro. Dito isto, sei que é muito mais seguro do que era antes e continuarei pesquisando medidas de segurança do site agora e no futuro. Até agora, é isso que eu fiz.

1. Instalei o VaultPress

Para aqueles que não sabem, VaultPress é uma solução totalmente automatizada de backup e segurança para WordPress. É propriedade de Automattic, os “proprietários” de fato do WordPress.

Depois de usar o VaultPress há alguns dias, não acredito que fui tão barato por não ter desistido do serviço de antemão. O pacote básico começa em US $ 15 por mês. Pagarei isso em paz em qualquer dia da semana.

Na verdade, eu escolhi usar o pacote Premium (US $ 40 por mês), que inclui:

  • Backup em tempo real
  • Restauração automatizada de sites com um clique
  • Arquivos, estatísticas e log de atividades
  • Recuperação de Desastre Prioritária
  • Suporte prioritário ao “concierge”
  • Verificação diária de segurança
  • Notificações de segurança
  • Fixadores com um clique para ameaças à segurança
  • Assistência para migração de sites

Basicamente, eles te protegem.

Embora o VaultPress não possa garantir a segurança do seu site contra hackers, ele praticamente lata garanta que seu site possa ser restaurado com relativa facilidade. Há algo muito tranqüilizador em ver instantâneos de hora em hora de seus sites armazenados nos servidores do VaultPress:

Backups do VaultPress

Embora existam muitas soluções de backup gratuitas por aí, acho que nada supera a relativa tranqüilidade que recebo do VaultPress. Eles têm 90 instantâneos do meu site disponíveis para restauração no momento, dos quais o mais recente tem apenas vinte minutos. Eu sei que meu site está seguro em suas mãos.

2. Eu gerenciei meus perfis

Um hacker pode acessar seu site potencialmente a partir de qualquer um dos perfis de administrador dentro do seu back-end do WordPress – não apenas aquele você usar. Quando carreguei meus perfis, pude ver que eu tinha três outros perfis – um perfil de pôster convidado e dois outros perfis para pessoas (confiáveis) que eu tinha dado acesso ao meu site.

Comecei desligando esses dois perfis e alterando a função do perfil do pôster convidado para Autor. Isso é algo que eu recomendo que você faça – crie apenas quantos perfis de administrador forem absolutamente necessários. Além disso, é claro que você deve garantir que cada conta seja uma senha aleatória e única adequadamente e que essas senhas sejam alteradas regularmente.

Há momentos em que você precisará permitir que pessoas (como seu web designer) acessem seu site. Em tais situações, aconselho que você crie um perfil para eles com uma nova senha e exclua esse perfil assim que sua necessidade terminar.

Sempre pense nos pontos de entrada do seu site e se eles são estritamente necessários.

3. Mudei minhas senhas

Você pode pensar que essa foi uma decisão óbvia, mas na verdade não estou falando das minhas senhas do WordPress. embora eu fez alterá-las, também tive certeza de alterar todas as senhas para contas particularmente sensíveis, ou seja:

  • Gmail
  • Facebook
  • Twitter
  • Minha conta de hospedagem
  • Associados da Amazon
  • Etc

Se você está se perguntando por que fiz essa mudança, considere a história de Mat Honan, cuja vida digital inteira foi destruída por hackers que originalmente invadiram sua conta na Amazon. Se você se sentir culpado pela segurança on-line, o artigo acima é uma leitura obrigatória.

Considere esta cadeia simples: um hacker obtém acesso à sua conta de email a partir da qual você enviou recentemente um email ao seu web designer com detalhes de login para o seu site WordPress. É tudo o que eles precisam para ter acesso ao seu site e fazer o que bem entenderem. Hacking pode ser tão elementar.

4. Atualizei para SFTP

Aqui está algo que você talvez não saiba: todos os dados transferidos por FTP (incluindo seu nome de usuário e senha) são completamente criptografados. Portanto, qualquer pessoa que seja capaz de interceptar transferências de FTP com êxito poderá coletar seus detalhes de login e obter acesso à sua conta.

Isso não apenas permite que eles adicionem e removem arquivos como entenderem, mas também podem acessar o banco de dados do WordPress via phpMyAdmin e, por fim, fazer login no seu site.

Simplificando, não importa o quão seguro é o acesso direto ao seu site WordPress, se eles conseguirem acessar via FTP. Como tal, recomendo fortemente que você desabilite o acesso FTP ao seu site e transfira arquivos usando o protocolo SFTP alternativo, que faz criptografar dados. Qualquer bom provedor de hospedagem deve poder ajudá-lo com isso.

Falando em provedores de hospedagem…

5. Considere a adequação da sua solução de hospedagem

Estou feliz por estar com a Westhost. Foi o firewall do ModSecurity que detectou o hack e desligou o site antes que danos sérios pudessem ser causados. Eles também realizam backups diários automáticos (que foram usados ​​para restaurar o site) e contam com suporte ao cliente inicializado.

Você pode dizer o mesmo para o seu provedor de hospedagem? Existem tantas opções excelentes por aí que você ficaria louco por ficar com um provedor com o qual não está satisfeito. Você pode considerar mudar para uma das soluções de hospedagem gerenciada (como o WPEngine) como o WPExplorer fez recentemente.

Seja qual for sua escolha, não deixe de perguntar sobre as medidas de segurança que eles tomam. Considere as medidas que tomei acima e garanta que sejam compatíveis com sua solução de hospedagem.


A moral da história é esta: não comprometa a segurança. Por fim, manter seu site seguro é mais importante do que qualquer coisa outro. Não adianta ter um ótimo conteúdo ou um design novo e bonito se ninguém puder vê-lo porque seu site foi destruído por hackers cruéis.

Tipos nefastos que não têm nada melhor a ver com suas vidas do que invadir sites de pessoas não vão desaparecer tão cedo. Quanto mais cedo você aceitar isso e tomar medidas razoáveis ​​para proteger seu site contra ataques, melhor para a segurança a longo prazo de seus ativos online.

Gostaria muito de saber o que você pensa sobre as medidas que tomei. Existem recomendações adicionais que você faria? Deixe-nos saber na seção de comentários!

Jeffrey Wilson Administrator
Sorry! The Author has not filled his profile.
follow me
    Like this post? Please share to your friends:
    Adblock
    detector
    map