Come vengono violati i siti web

Modulo 7: Sicurezza · Tempo di lettura: 8 minuti

Obiettivo della lezione: dopo questa lezione saprà spiegare in modo realistico come vengono violati solitamente i siti WordPress, perché anche i piccoli siti sono un bersaglio e cosa vogliono ottenere gli intrusi.

Concetti chiave: vulnerabilità, falla in un plugin o in un tema, scansioni automatiche, credential stuffing, brute force, software nulled, computer infetto, conseguenze (spam, reindirizzamento, phishing, malware), superficie di attacco

"Il mio sito è troppo piccolo per essere interessante"

Questo è l'equivoco più diffuso. Quasi nessun attacco a WordPress è mirato a un sito specifico. Gli intrusi usano programmi che analizzano automaticamente migliaia di siti all'ora, cercando una sola cosa: una falla nota. Se il programma la trova, entra, che si tratti del sito di una multinazionale o della squadra di calcio locale.

Quello che vogliono non è il Suo sito, ma cosa il Suo sito può fare:

• Spam e abuso dei motori di ricerca: migliaia di pagine o link nascosti per farmaci, scommesse o negozi falsi, che sfruttano la buona reputazione del Suo dominio su Google.
• Reindirizzamento: i visitatori (spesso solo quelli provenienti da Google o da cellulare) vengono inviati a un sito falso o a una pagina truffaldina. Lei non vede nulla, perché arriva tramite un segnalibro.
• Phishing: una pagina di accesso contraffatta di una banca o di un servizio di consegna, nascosta nella Sua cartella uploads, con il Suo nome di dominio nel link.
• Diffusione di malware verso i visitatori.
• Invio di email: il Suo server invia spam, e di conseguenza le Sue email smettono di arrivare.
• Capacità di calcolo: il Suo pacchetto viene utilizzato per attacchi contro altri siti o per il mining di criptovalute.
• Dati: in un negozio online o in un sito con iscrizione, i dati dei Suoi clienti.

Via d'accesso 1: una falla in un plugin o in un tema

Questa è di gran lunga la più importante. Secondo il rapporto annuale di Patchstack, un'azienda che monitora le vulnerabilità di WordPress, nel 2024 sono state scoperte 7.966 nuove vulnerabilità nell'ecosistema WordPress. Il 96% si trovava nei plugin, il 4% nei temi, e in WordPress stesso solo sette. La maggior parte delle falle non è facilmente sfruttabile, ma una parte sì, e queste vengono scansionate in massa entro ore o giorni dalla pubblicazione.

Lo schema è quasi sempre lo stesso:

1. Viene scoperta una falla nella versione 3.2 di un plugin popolare.
2. Lo sviluppatore rilascia la versione 3.2.1 con la correzione. La falla diventa pubblica.
3. In breve tempo, dei programmi scansionano internet alla ricerca di siti con la versione 3.2 o precedente.
4. Chi non ha ancora aggiornato viene violato.

Il pericolo quindi non risiede in una falla segreta sconosciuta a tutti, ma in una falla nota per cui esiste già un aggiornamento che non è stato installato. Per questo motivo gli aggiornamenti (lezione 7.2) sono la misura più importante in assoluto, e deve rimuovere ciò che non utilizza (lezione 5.4): ogni plugin presente, anche se disattivato, aumenta la Sua superficie di attacco.

Un caso particolare sono i plugin abbandonati: lo sviluppatore ha smesso di aggiornarli, non arrivano più correzioni. E il software nulled (lezione 5.3): una copia rubata di un plugin a pagamento, spesso con una backdoor incorporata.

Via d'accesso 2: le password

La seconda grande via d'accesso è l'accesso con una password valida:

• Credential stuffing: in seguito a una violazione di dati di un altro servizio, sono trapelate milioni di combinazioni di indirizzo email e password. I programmi provano queste combinazioni su svariati siti, incluse le pagine di accesso di WordPress. Se utilizza la stessa password di quel servizio compromesso, gli intrusi riescono a entrare.
• Brute force: un programma prova semplicemente moltissime password, spesso con nomi utente comuni come admin. Con una password lunga e unica questo metodo non ha speranza, ma costa comunque capacità di calcolo al Suo server.
• Phishing: un'email falsa del tipo "il Suo WordPress deve essere aggiornato, acceda qui" con un link a una pagina di accesso contraffatta.

La lezione 7.3 tratta la difesa: gestore di password, autenticazione a due fattori e limitazione dei tentativi di accesso.

Via d'accesso 3: tutto ciò che circonda WordPress

Non tutti gli attacchi iniziano in WordPress:

• Un computer infetto Suo o del Suo sviluppatore web, con un programma che ruba le password, ad esempio quelle salvate in un programma FTP.
• FTP normale senza crittografia, su una rete pubblica.
• Un altro sito nello stesso pacchetto: una vecchia installazione di test dimenticata, un vecchio Joomla in una sottocartella. Tutti i siti in un unico pacchetto condividono solitamente lo stesso utente sul server. Se il vecchio sito viene violato, l'intruso può raggiungere anche il Suo WordPress.
• Una password del database trapelata, ad esempio tramite una copia di wp-config.php nella cartella web (lezione 1.3).
• Moduli senza controlli sfruttati per inviare spam.

Presso un buon provider di hosting, il Suo pacchetto è isolato da quello di altri clienti sullo stesso server (sui server DirectAdmin con CloudLinux, ad esempio tramite CageFS). Ciò che accade all'interno del Suo stesso pacchetto resta però di Sua responsabilità.

Cosa nota (e cosa no)

Un attacco ben eseguito inizialmente non si nota. Gli intrusi vogliono usare il Suo sito il più a lungo possibile. Segnali (la lezione 7.5 li approfondisce):

• Google segnala "Questo sito potrebbe essere stato violato", oppure vede pagine strane del Suo dominio nei risultati di ricerca (provi a cercare site:example.com);
• i visitatori segnalano di finire altrove;
• compaiono amministratori o file che non conosce;
• il Suo provider di hosting o uno scanner di malware segnala qualcosa;
• le Sue email improvvisamente non arrivano più, oppure il Suo pacchetto è pieno o lento.

Difesa a più livelli

Nessuna misura è impermeabile al cento per cento. La sicurezza è una stratificazione di livelli, in modo che un errore in un livello non apra immediatamente tutto:

1. Aggiornare (lezione 7.2): chiude le falle note. Di gran lunga la cosa più importante.
2. Pochi componenti (lezioni 5.3 e 5.4): meno cose da aggiornare, meno falle.
3. Proteggere l'accesso (lezione 7.3): password lunghe e uniche, autenticazione a due fattori, permessi minimi (lezione 3.3).
4. Rafforzare (lezione 7.4): permessi, impostazioni e intestazioni che limitano i danni.
5. Backup (lezione 8.1): se le cose vanno comunque male, può tornare indietro.
6. Sapere cosa fare se le cose vanno male (lezione 7.5).

Riepilogo

• Quasi tutti gli attacchi sono automatici e non mirati; i piccoli siti sono bersagli tanto quanto gli altri.
• Gli intrusi vogliono ciò che il Suo sito può fare: spam, reindirizzamento, phishing, email, capacità di calcolo, dati.
• La via d'accesso principale è una falla nota in un plugin o in un tema per cui esisteva già un aggiornamento (nel 2024 il 96% delle nuove vulnerabilità era nei plugin).
• La seconda via d'accesso sono le password: riutilizzate, indovinate o sottratte con phishing.
• Anche un computer infetto, FTP normale o un vecchio sito dimenticato nello stesso pacchetto possono essere la via d'accesso. Si difenda a più livelli.

Quiz

Esercizio

Esercizio D7.1: Il Suo elenco personale dei rischi. Crei un elenco di tutto ciò che nel Suo pacchetto di hosting potrebbe rappresentare una via d'accesso: ogni installazione di WordPress (anche siti di test e vecchi siti), ogni plugin e ogni tema (anche se inattivo), ogni account con permessi di amministrazione (WordPress, FTP, il pannello di hosting), e i computer da cui si effettua l'accesso. Indichi per ogni elemento: quando è stato aggiornato l'ultima volta, se è ancora necessario (sì/no), e chi è responsabile. Segni quali tre cose sistemerà o aggiornerà questa settimana e annoti perché proprio quelle.

Per approfondire

Questi articoli descrivono i passaggi nei pannelli di WebOké; in altri pannelli funzionano in modo simile.

• Aiuto! Il mio sito è stato hackerato. Come posso risolvere o prevenire il problema?
• Guida DirectAdmin 18.2: Il mio sito web è stato violato: piano d'azione
• State of WordPress Security in 2025 (Patchstack, in inglese): https://patchstack.com/whitepaper/state-of-wordpress-security-in-2025/
• Sicurezza di WordPress (developer.wordpress.org, in inglese): https://developer.wordpress.org/advanced-administration/security/hardening/