Cont de admin cu parolă slabă, spart prin brute force

Nu orice compromitere vine dintr-un exploit sofisticat. Uneori e cea mai simplă cauză din lume: o parolă slabă pe un cont de administrator.

Ce s-a întâmplat

Un cont de admin folosea o parolă scurtă și previzibilă. Boturile de brute-force lovesc /wp-login.php (și xmlrpc.php) cu mii de combinații pe zi — iar o parolă slabă cedează. Odată intrat, atacatorul avea acces complet la panou.

Cum am prins-o

• logurile de autentificare arătau sute de încercări eșuate urmate de un login reușit de la un IP necunoscut;
• xmlrpc.php era activ și folosit pentru amplificarea atacului (multiple parole per cerere).

Cum am rezolvat

• parolă nouă, lungă și unică, pe toate conturile de admin;
• 2FA obligatoriu;
• rate-limiting / limitare a încercărilor de login și blocare după N eșecuri;
• xmlrpc.php dezactivat (nu era folosit legitim);
• pagina de login mutată de pe calea implicită;
• un audit al celorlalte conturi, ca să nu fi rămas ceva în urmă.

Lecția

Cea mai ieftină măsură de securitate e o parolă bună + 2FA. Fără ele, e doar o chestiune de timp până când boturile nimeresc combinația. Cu ele, atacul de brute-force devine irelevant.