Peste 90 de încercări de login în 40 de minute, pe un WordPress mic
Pe internet nu trebuie să fii un site celebru ca să fii atacat. Chiar și un site WordPress mic, cu trafic redus, este scanat și verificat în permanență de boți automați care caută instalări vulnerabile.
Într-un interval de aproximativ 40 de minute, logurile unui site WordPress au înregistrat peste 90 de accesări ale paginii /wp-login.php, venite din zeci de locații și din mai multe țări.
Ce caută acești boți?
În majoritatea cazurilor, astfel de accesări sunt complet automate și fac parte din scanări desfășurate permanent pe internet. Boții încearcă să identifice:
- site-uri WordPress fără protecții suplimentare;
- parole slabe sau reutilizate;
- pluginuri și teme vulnerabile;
- versiuni WordPress neactualizate;
- conturi de administrare ușor de ghicit.
Nu înseamnă că fiecare acces reprezintă o încercare reușită de spargere. De cele mai multe ori este doar o verificare automată, iar boții trec imediat la următoarea adresă.
De unde au venit accesările?
În perioada analizată au fost observate solicitări provenite din mai multe țări.
| Țară | Accesări (aprox.) |
|---|---|
| Rusia | 18 |
| Israel | 11 |
| Statele Unite | 11 |
| Ucraina | 6 |
| Seychelles | 6 |
| Țările de Jos | 6 |
| Turcia | 5 |
| Suedia | 3 |
| China | 3 |
| Franța | 3 |
| Germania | 1 |
| Polonia | 1 |
| Spania | 1 |
| Armenia | 1 |
| Emiratele Arabe Unite | 1 |
| Regatul Unit | 1 |
| Lituania | 1 |
| România | 1 |
Trebuie menționat că țara din care apare conexiunea nu indică neapărat originea atacatorului. Multe dintre aceste IP-uri aparțin serverelor închiriate, VPS-urilor, serviciilor cloud sau infrastructurii compromise și sunt folosite doar ca puncte intermediare.
De ce sunt atât de multe țări?
Boții sunt distribuiți la nivel mondial. În loc să folosească un singur server, operatorii folosesc sute sau mii de IP-uri diferite pentru a evita blocarea rapidă. Același tipar apare zilnic pe milioane de site-uri WordPress și nu este specific unei anumite regiuni.
Accesarea din România
Printre toate solicitările automate a existat și o accesare din România, provenită din rețeaua unui furnizor local de internet. Spre deosebire de celelalte conexiuni, aceasta pare să provină de la o conexiune rezidențială și nu există suficiente informații pentru a spune că este un atac sau un bot. Poate fi un utilizator legitim, administratorul site-ului sau o simplă verificare manuală. Din acest motiv, IP-ul nu este publicat.
Concluzie
Acest exemplu arată că un site WordPress, indiferent cât de mic este, este vizitat în permanență de roboți care caută oportunități de compromitere. Faptul că apar zeci de accesări la /wp-login.php într-un timp foarte scurt este un comportament obișnuit pe internet și nu înseamnă automat că site-ul a fost spart.
Protecții precum parole puternice, autentificarea în doi pași (2FA), limitarea încercărilor de autentificare și actualizarea regulată a WordPress-ului și a pluginurilor reduc semnificativ riscul ca astfel de scanări automate să ducă la compromiterea site-ului.