Qué es un ataque de fuerza bruta
Un ataque de fuerza bruta es cuando alguien, normalmente un programa automatizado, prueba miles de combinaciones de usuario y contraseña contra el acceso de tu WordPress hasta dar con la correcta y entrar sin permiso. También se conoce como «brute force attack» o «ataque de diccionario».
Es como si alguien se plantara delante de la cerradura de tu tienda probando, una tras otra, miles de llaves distintas sin parar hasta encontrar la que abre; con una cerradura normal tardaría una eternidad, pero con software automatizado, lo que tardaría una persona años, un programa lo prueba en minutos u horas. Un ataque de fuerza bruta usa software que envía automáticamente intentos de inicio de sesión a tu panel de WordPress, probando combinaciones habituales de usuario y contraseña, o listas de contraseñas filtradas de otras webs, una tras otra y a gran velocidad, hasta encontrar una que funcione.
Cómo funciona
- Un programa automatizado localiza la página de acceso de tu WordPress.
- Empieza a enviar intentos de inicio de sesión con combinaciones de usuario y contraseña extraídas de listas conocidas o generadas al azar.
- Si tu WordPress no limita el número de intentos, el programa puede probar miles de combinaciones en poco tiempo sin ser detenido.
- Si da con la combinación correcta, consigue acceso de administrador a tu web como si fuera tú.
- Incluso si no lo consigue, el propio volumen de intentos puede ralentizar tu web o agotar recursos del servidor.
Ejemplo
Una gestoría en Santander notó que su web iba cada vez más lenta a ciertas horas del día, sin ningún cambio de contenido ni de tráfico real de clientes. Al revisar los registros de acceso descubrimos miles de intentos de inicio de sesión por minuto desde distintas direcciones, probando contraseñas contra el usuario «admin». Limitamos el número de intentos de acceso permitidos, cambiamos el nombre de usuario genérico y añadimos una capa adicional de verificación, y tanto la lentitud como los intentos de acceso desaparecieron de los registros.
Señales de que te afecta
- Tu web va más lenta de lo normal sin motivo aparente, sobre todo en ciertas franjas horarias.
- Al revisar los registros de acceso aparecen cientos o miles de intentos de inicio de sesión fallidos.
- Tu hosting te avisa de un consumo inusual de recursos o de un posible ataque en curso.
- Recibes notificaciones de inicio de sesión que no reconoces, aunque hayan fallado.
Cómo lo resolvemos
Limitamos el número de intentos de acceso permitidos, reforzamos los accesos con contraseñas robustas y verificación adicional, y revisamos los registros para confirmar que ningún intento haya tenido éxito antes del cambio. Si quieres que revisemos la seguridad de los accesos de tu web, en nuestro servicio de seguridad WordPress nos encargamos de protegerla frente a este tipo de ataques, valorando también si conviene añadir un WAF que filtre estos intentos antes de que lleguen a WordPress. Un ataque de fuerza bruta que tiene éxito suele acabar, poco después, en una web marcada en una lista negra o infectada con malware.
Preguntas frecuentes
¿Cómo sé si alguien ha conseguido entrar en mi web con un ataque de este tipo?
Revisando si hay usuarios administradores que no reconoces, cambios en archivos o contenido que no has hecho tú, o avisos de tu hosting sobre actividad sospechosa.
¿Basta con poner una contraseña larga para estar a salvo?
Ayuda mucho, pero no es suficiente por sí sola: limitar el número de intentos de acceso y añadir una verificación adicional reduce el riesgo mucho más que una contraseña robusta sola.
¿Por qué mi web, que es pequeña, iba a interesarle a nadie para esto?
Los ataques de fuerza bruta casi nunca van dirigidos a una web en concreto: son programas automáticos que prueban miles de webs de WordPress por igual, buscando cualquiera con un acceso débil, sea grande o pequeña.