Ako sa hacknú webové stránky

Modul 7: Zabezpečenie · Čas čítania: 8 minút

Cieľ lekcie: Po tejto lekcii dokážete reálne vysvetliť, ako sa WordPress stránky väčšinou hacknú, prečo sú terčom aj malé stránky a čo útočníci týmito útokmi sledujú.

Kľúčové pojmy: zraniteľnosť, chyba v pluginu alebo téme, automatické skenovanie, credential stuffing, brute force, nulled softvér, infikovaný počítač, dôsledky (spam, presmerovanie, phishing, malvér), plocha útoku (attack surface)

„Moja stránka je príliš malá na to, aby bola zaujímavá“

Toto je najčastejšia mylná predstava. Takmer žiadny hack WordPress stránky nie je cielený na jednu konkrétnu stránku. Útočníci používajú programy, ktoré automaticky prechádzajú tisíce stránok za hodinu a hľadajú jednu vec: známe slabé miesto. Ak ho program nájde, prelomí zabezpečenie bez ohľadu na to, či ide o stránku nadnárodnej spoločnosti alebo miestneho futbalového klubu.

Čo útočníkov zaujíma, nie je vaša stránka samotná, ale to, čo vaša stránka dokáže:

• Spam a zneužitie vo vyhľadávačoch: tisíce skrytých stránok alebo odkazov na lieky, hazardné hry alebo falošné obchody, ktoré sa vezú na dobrom mene vašej domény v Google.
• Presmerovanie: návštevníci (často len tí z Google alebo z telefónu) sú presmerovaní na falošnú stránku alebo podvodnú stránku. Vy nič nevidíte, pretože vy prichádzate cez záložku.
• Phishing: falšovaná prihlasovacia stránka banky alebo donáškovej služby, ukrytá v priečinku uploads, s vaším doménovým menom v odkaze.
• Šírenie malvéru medzi návštevníkov.
• Odosielanie e-mailov: váš server rozosiela spam a následne sa vaša vlastná pošta prestane doručovať.
• Výpočtový výkon: váš balík je zneužitý na útoky na iné stránky alebo na ťažbu kryptomien.
• Údaje: pri webovom obchode alebo členskej stránke údaje o vašich zákazníkoch.

Vstup 1: chyba v pluginu alebo téme

Toto je zďaleka najdôležitejší spôsob. Podľa ročnej správy spoločnosti Patchstack, ktorá sleduje zraniteľnosti WordPressu, bolo v roku 2024 objavených 7 966 nových zraniteľností v ekosystéme WordPress. 96 % sa nachádzalo v pluginoch, 4 % v témach a v samotnom WordPresse len sedem. Väčšinu chýb nie je možné len tak zneužiť, ale časť áno, a tie sú v priebehu hodín alebo dní po zverejnení masovo skenované.

Priebeh je takmer vždy rovnaký:

1. V populárnom pluginu sa nájde chyba vo verzii 3.2.
2. Autor vydá verziu 3.2.1 s opravou. Chyba sa zverejní.
3. Krátko nato programy skenujú internet a hľadajú stránky s verziou 3.2 alebo staršou.
4. Kto ešte neaktualizoval, je napadnutý.

Nebezpečenstvo teda nespočíva v tajnej chybe, o ktorej nikto nevie, ale v známej chybe, na ktorú už existuje aktualizácia, ktorá nebola nainštalovaná. Preto sú aktualizácie (lekcia 7.2) najdôležitejším opatrením a odstráňte, čo nepoužívate (lekcia 5.4): každý plugin, ktorý tam je, aj keď je deaktivovaný, zväčšuje vašu plochu útoku.

Osobitným prípadom sú opustené pluginy: autor skončil s vývojom, opravy už neprichádzajú. A nulled softvér (lekcia 5.3): ukradnutá kópia platného pluginu, často so vstavaným zadnými vrátkami.

Vstup 2: heslá

Druhým veľkým vstupom je prihlásenie sa platným heslom:

• Credential stuffing: pri úniku údajov inej služby unikli milióny kombinácií e-mailovej adresy a hesla. Programy skúšajú tieto kombinácie na rôznych stránkach vrátane prihlasovacích stránok WordPressu. Ak používate rovnaké heslo ako pri tej unikinutej službe, útočníci sa dostanú dnu.
• Brute force: program jednoducho skúša veľké množstvo hesiel, často s bežne používanými používateľskými menami ako admin. Pri dlhom, jedinečnom hesle nemá šancu, ale aj tak to stojí váš server výpočtový výkon.
• Phishing: falošný e-mail „váš WordPress treba aktualizovať, prihláste sa tu“ s odkazom na falšovanú prihlasovaciu stránku.

Lekcia 7.3 sa venuje obrane: správca hesiel, dvojfaktorové overenie (2FA) a obmedzenie počtu pokusov o prihlásenie.

Vstup 3: všetko okolo WordPressu

Nie každý hack sa začína vo WordPresse:

• Infikovaný počítač váš alebo vášho webového vývojára, s programom, ktorý kradne heslá, napríklad heslá uložené v FTP programe.
• Bežné FTP bez šifrovania, vo verejnej sieti.
• Iná stránka v rovnakom balíku: zabudnutá stará testovacia inštalácia, staré Joomla v podpriečinku. Všetky stránky v jednom balíku zvyčajne zdieľajú rovnakého používateľa na serveri. Ak sa hackne stará stránka, útočník sa môže dostať aj do vášho WordPressu.
• Uniknuté heslo k databáze, napríklad cez kópiu súboru wp-config.php vo webovom priečinku (lekcia 1.3).
• Formuláre bez kontroly, ktoré sú zneužité na odosielanie spamu.

U dobrého hostingového poskytovateľa je váš balík oddelený od balíkov iných zákazníkov na rovnakom serveri (napríklad na serveroch DirectAdmin s CloudLinuxom pomocou CageFS). Čo sa deje v rámci vášho vlastného balíka, zostáva však vašou zodpovednosťou.

Čo si všimnete (a čo nie)

Dobrý hack si na prvý pohľad nevšimnete. Útočníci chcú vašu stránku využívať čo najdlhšie. Signály (lekcia 7.5 sa im venuje podrobnejšie):

• Google hlási „Táto stránka je pravdepodobne napadnutá hackermi“, alebo vo výsledkoch vyhľadávania vidíte čudné stránky z vašej domény (skúste vyhľadať site:example.com);
• návštevníci hlásia, že sa dostávajú niekam inam;
• objavia sa administrátori alebo súbory, ktoré nepoznáte;
• váš hostingový poskytovateľ alebo skener malvéru niečo nahlási;
• vaša pošta sa zrazu prestane doručovať, alebo je váš balík plný alebo pomalý.

Obrana vo vrstvách

Žiadne opatrenie nie je nepriestrelné. Zabezpečenie je súčet vrstiev, aby chyba v jednej vrstve hneď neotvorila všetko:

1. Aktualizácie (lekcia 7.2): uzatvárajú známe chyby. Zďaleka najdôležitejšie.
2. Málo súčastí (lekcia 5.3 a 5.4): menej na aktualizovanie, menej chýb.
3. Zabezpečenie prihlásenia (lekcia 7.3): dlhé jedinečné heslá, dvojfaktorové overenie, princíp minimálnych oprávnení (lekcia 3.3).
4. Spevnenie (hardening) (lekcia 7.4): oprávnenia, nastavenia a hlavičky, ktoré obmedzujú škodu.
5. Zálohy (lekcia 8.1): ak sa aj niečo pokazí, viete sa vrátiť späť.
6. Vedieť, čo robiť, keď sa niečo pokazí (lekcia 7.5).

Zhrnutie

• Takmer všetky hacky sú automatické a necielené; malé stránky sú terčom rovnako ako veľké.
• Útočníci chcú to, čo vaša stránka dokáže: spam, presmerovanie, phishing, poštu, výpočtový výkon, údaje.
• Najväčším vstupom je známa chyba v pluginu alebo téme, na ktorú už existovala aktualizácia (v roku 2024 bolo 96 % nových zraniteľností v pluginoch).
• Druhým vstupom sú heslá: opakovane použité, uhádnuté alebo vylákané.
• Vstupom môže byť aj infikovaný počítač, bežné FTP alebo zabudnutá stará stránka v rovnakom balíku. Bráňte sa vo vrstvách.

Kvíz

Úloha

Úloha D7.1: Váš vlastný zoznam rizík. Vytvorte zoznam všetkého vo vašom hostingovom balíku, čo môže byť vstupným bodom: každá inštalácia WordPressu (aj testovacie a staré stránky), každý plugin a každá téma (aj neaktívna), každý účet s administrátorskými právami (WordPress, FTP, hostingový panel) a počítače, z ktorých sa prihlasuje. Pri každej položke uveďte: kedy bola naposledy aktualizovaná, či je ešte potrebná (áno/nie) a kto je zodpovedný. Zaškrtnite tri veci, ktoré tento týždeň upracete alebo aktualizujete, a napíšte, prečo práve tie.

Ďalšie čítanie

Tieto články opisujú kroky v paneloch WebOké; v iných paneloch fungujú podobne.

• Pomoc! Moja stránka bola napadnutá. Ako to vyriešiť a ako tomu predísť?
• Návod na DirectAdmin 18.2: Moja webová stránka je napadnutá: postup krok za krokom
• State of WordPress Security in 2025 (Patchstack, v angličtine): https://patchstack.com/whitepaper/state-of-wordpress-security-in-2025/
• Zabezpečenie WordPressu (developer.wordpress.org, v angličtine): https://developer.wordpress.org/advanced-administration/security/hardening/