A WordPress az egyik legnépszerűbb CMS rendszer évek óta.
Mi is leginkább WordPressel dolgozunk, mert szeretjük. Mint minden CMS rendszernek, ennek is megvannak előnyei és persze hátrányai is. A CMS rendszer tulajdonképpen egy sablon, ami aztán tovább alakítható az ízlésünk szerint. Mivel sablon, sok azonos dolog található a kódolásban is, ezért könnyű célpontja lehet a hackereknek. A 2018-as évben a SUCURI felmérése alapján a CMS rendszereket ért hacker támadások 90%-as WordPress oldalakat érintett. Ezen nem kell nagyon csodálkozni, mivel az egyik legnépszerűbb CMS rendszer a WordPress, a nagy számok törvénye alapján ha ebből van a legtöbb, a legtöbb támadást is a WordPress kapja.
Kép forrása: sucuri.net
Sokan úgy gondolják, hogy az ő WordPress oldalát nem kell frissíteni, mert miért pont az ő kis pék üzletének a weboldalát törné fel valaki? Mi haszna származna neki abból? Nincs ott semmi olyan fontos. Valószínűleg így is lenne, ha a hacker támadások nagy részét emberek végeznék és nem robotok. A robot azonban nem a weboldal tartalmát nézi, hanem biztonsági rést keres, ahol bejuthat és megfertőzheti az oldalt. Legyen az egy pékség vagy egy kis virágbolt weboldala. Nyilván a hackelő robotok mögött emberek állnak, de mint említettem nem a „tartalomra” utaznak. A kódolás gyengeségeit, a kiskapukat kutatják.
A Sucuri szakértők a hacker támadások okait nagy részben a WordPress téma sebezhetőségében, a CMS rendszer, valamint a bővítmények frissítésének elhanyagolásában látják.
Az e-kereskedelmi oldalakat vizsgálva a Sucuri azt állapította meg, hogy a megtámadott oldalak nagy része friss verziót futtatott. Még a 90%-ban hackelt WordPress weboldalak csak 36%-a volt elavult, a többi CMS rendszer esetében (PretaShop, OpenCart, Joomla, stb. ) majdnem mindegyik az volt.
Kép forrása: sucuri.net
„Az elavult verziók tendenciája arra enged következtetni, hogy az e-kereskedelmi webhelyek nem frissítik az oldalaikat hogy elkerüljék oldaluk funkcionalitásának megszünését vagy a pénzveszteséget.” – mondja Sucuri.
„A támadók nagy érdeklődést mutatnak az értékes ügyféladatokkal ( hitelkártya, felhasználói információk) rendelkező e-kereskedelmi webhelyek célzásában. Ezeknek a weboldal tulajdonosoknak feltétlenül frissíteniük kell a szoftvereiket annak érdekében, hogy a weboldalukon a legújabb biztonsági fejlesztéseket alkalmazzák, „betömve” ezzel a biztonsági réseket.”
„Mégis, annak ellenére, hogy néhány webhely elavult CMS verziót futtat, a „fertőzések” legfőbb oka az összetevők ( pl. bővítmények – pluginok) sérülékenysége„.- állapította meg Sucuri.
Egyre több spam ( kéretlen levél)
Amikor a hacker támadások megtörténtek, Sucuri elmondása szerint a vizsgált oldalak 68%-ban a támadók backdoor-t telepítettek.
A Sucuri szakértők felmérése alapján a támadók a hackelt oldalak 56%-át rosszindulatú műveletekre használták, és 51%-ra spam oldalakat telepítettek. Ez a szám 2017-ben még csak 44% volt.
„(A SEO spam) az elmúlt évek egyik leggyorsabban növekvő (hackelés) fajtája” – mondja Sucuri.
Kép forrása: sucuri.net
„Nehéz felismerni és benyomásokon alapuló affiliate marketing által vezérelt erős gazdasági motorja van.”
„Mostanában, a Search Engine Poisoning (SEP) támadások eredménye az, hogy a támadók megpróbálják befolyásolni a webhely rangsorolását a keresőkben, hogy bevételre tegyenek szert affiliate marketingból vagy egyéb blackhat taktikákból. SEO spam rendszerint a PHP, adatbázis injektorok vagy .htaccess átirányítások révén történik.”
„A SEO támadások által érintett webhelyek gyakran fertőzöttek a spam tartalmával, vagy átirányítják a látogatókat a spam-specifikus oldalakra. A nem kívánt tartalom rendszeresen megtalálható gyógyszer hirdetések formájában vagy más egyéb népszerű iparágak oldalain is mint például divat, szórakoztatás (pornográf anyagok, esszé írás, divat márkák, kölcsönök és online szerencsejátékok.)
Érdemes a fenti tényeket figyelembe venni! A jó hír, hogy van megoldás.
Csökkenthetjük a támadások esélyét azzal,
- ha biztonságos tárhelyet választunk,
rendszeresen frissítjük a CMS rendszert, - magát a WordPress témát és a
- bővítményeket is,
- minél kevesebb bővítményt használunk.
Megér ennyi ráfordítást, hogy egy jól működő weboldal továbbra is az maradjon, ne egy ilyen banánhéjjon múljon weboldalának használhatósága.
Megjegyzés:
Gyakran találkozunk olyan weboldal tulajdonosokkal, akik WordPressben jártas szakembert keresnek, mert az oldaluk készítőjét nem érik el. Amikor az oldal készült nem kötöttek vele karbantartási szerződést, a kapcsolat a megszakadt. Az oldal átadása óta nem frissült, senki nem nyúlt hozzá. A tulajdonos azonban most valami módosítást, kiegészítést szeretne. Ha szerencséje van, az oldalát nem törték még fel. (Az informatikában egy év is nagy idő, amikor hetente jönnek ki frissítések.) Ráadásul nem szívesen piszkálnak bele a fejlesztők egymás munkáiba. Könnyen előfordulhat, hogy az oldal olyan bővítményeket tartalmaz, amik már régen elavultak, nem fejlesztették, a WordPress sablon sem frissíthető, mert ez nem kompatibilis azzal és így tovább, az egész oldal összeomolhat, ha mégis megpróbálkozunk a frissítéssel. A megoldás általában egy teljesen új weboldal készítése.
Az eddigi tapasztalataink alapján, úgy tűnik megéri a karbantartási szerződés kötése, egy havonta kissebb összeg ellenében biztonsában tudhatjuk weboldalunkat, ahelyett, hogy 1-3 évente megint újat kellene csináltatni egy nagyobb összegért.