Han hackeado la web, redirigen a los visitantes a otro sitio — ¿qué hacer en la primera hora?

Lo primero de todo descarga por FTP el archivo de configuración del servidor al ordenador y mírale el contenido. Normalmente incrustan redirecciones externas formadas por cadenas de caracteres sin sentido entre las reglas de redirección. Si conoces el estado original del archivo, borra esas líneas extrañas y guarda, al menos la redirección se detendrá temporalmente.

Que la redirección solo funcione en móvil y en los que llegan desde buscadores es un clásico control de referer. El código malicioso puede estar escrito no solo en los archivos del núcleo, sino directamente en las tablas de configuración de la base de datos. Si tienes permiso SSH en el servidor, puedes escanear los archivos modificados en las últimas 48 horas y listar al instante los archivos extraños.

Al abrir un ticket a la empresa de hosting, transmite estos tres datos sin falta: 1) Desde qué dispositivo y fuente se activa la redirección, 2) La primera hora y minuto en que se detectó el incidente, 3) Si hay o no archivos desconocidos creados sin autorización en los directorios. Así lo pasarán directamente al equipo de seguridad en vez de darte la respuesta automática estándar.

El año pasado nos pasó lo mismo en nuestra web de ventas al por mayor en Frankfurt. Entramos en pánico y restauramos el backup de ayer, dos horas después volvieron a hackearla xq había una vulnerabilidad en un plugin de formularios sin actualizar. Perdimos 2.000 euros al día. Volver solo al backup sin cerrar el agujero no es una solución definitiva ni de coña.

Nota: esto es mi experiencia, puede no aplicar a todos.

¿Teníais en la web algún tema o plugin instalado por terceros y sin actualizar desde hace mucho? Y el hosting, ¿es un servidor compartido o un VPS solo para vosotros? Si es compartido, tb hay muchas posibilidades de q haya saltado desde otra web del mismo servidor.

si el hosting tiene backup automático no dejéis q lo sobrescriba así como así. primero apartad una copia del estado actual infectado... a veces el backup de ayer q creéis q está limpio tb puede esar infectado puede q haya q mirar al menos una semana atrás.

Dado que operáis en el mercado alemán, examinar si los datos de los usuarios se han filtrado es importante en cuanto a vuestras responsabilidades legales. Si existe la posibilidad de que se haya accedido a datos de clientes o a las páginas de pago, puede surgir la obligación de notificar la situación a la autoridad de protección de datos del estado federado correspondiente.

Revisad ya la consola de búsqueda, si ha aparecido un aviso en la pestaña de problemas de seguridad tendréis q solicitar una revisión en cuanto termine la limpieza.

Buen trabajo. Intentar hacerlo solo es la vía más cara.

Si escribís el resultado aquí también servirá de ayuda a otros.

Han surgido tres opiniones distintas, todas se complementan. Un informe de escaneo automático no es lo mismo que una prueba de penetración.

Separemos los conceptos se están confundiendo. Tomar medidas sin hacer inventario es dejar abierta una puerta que no ves.

Si no lo pones por escrito desde el principio luego surgen discusiones. Si tenéis dudas, escribid os responderé en la medida de lo posible.

A nosotros nos pasó esto. La gente no defiende el proceso defiende la costumbre. La resistencia viene de ahí.

Espero que le sea útil.

Estoy siguiendo esto.

a nosotros nos pasó esto. la verdad que la copia de seguridad sea accesible en la misma red y con la misma identidad la convierte en parte del objetivo.

tambiién me gustaría saber si alguien lo hace de otra manera.

Resumen breve para nuevos usuarios: Que la copia de seguridad sea accesible en la misma red y con la misma identidad la convierte en parte del objetivo.

Por supuesto, cambia si tu situación es diferente.

Yo pasé por esto, déjenme contarlo. Las decisiones apresuradas son las que hay que corregir seis meses después.

Si el permiso y el alcance no están por escrito, que no empiece la prueba. Si escribís el resultado aquí, también servirá de ayuda a otros.

Quisiera hacer una pregunta. La mayoría de los incidentes no empiezan por una vulnerabilidad, sino por una contraseña filtrada.

Corrijanme si me equivoco.

Si vas por ahí, resuelve esto desde el principio. Empezad con una pequeña prueba, no lo integréis todo de golpe.

Al tomar decisiones, escribe también el peor escenario, no solo el mejor. Si tenéis dudas, escribid, os responderé en la medida de lo posible.