El defacement (desfiguración de sitios web) es un ataque en el que los intrusos modifican el contenido visible de un sitio, normalmente sustituyendo sus páginas por sus propios mensajes, imágenes o propaganda.
Cómo funciona el defacement
Para desfigurar un sitio, los atacantes necesitan acceso de escritura a su contenido o sus archivos. Vías típicas:
- explotar vulnerabilidades en gestores de contenidos y sus plugins, como instalaciones desactualizadas de WordPress, Joomla o Drupal;
- fallos de inyección como la inyección SQL o la inyección de código, seguidos de la subida de una web shell;
- contraseñas robadas o débiles de paneles de administración del CMS, FTP o paneles de control del alojamiento;
- comprometer un servidor de alojamiento compartido o un registro DNS y redirigir el dominio a otra página.
MITRE ATT&CK describe la técnica como External Defacement (T1491.002). Los autores suelen dejar una firma y registrar sus «trofeos» en archivos públicos como Zone-H.
Por qué es importante
El defacement es un ataque visible y simbólico preferido por los hacktivistas durante los conflictos políticos. En enero de 2022, decenas de sitios web del Gobierno de Ucrania fueron desfigurados con mensajes amenazantes poco antes de que se descubrieran ataques destructivos con wipers. Aunque no se roben datos, el defacement daña la reputación y la confianza, puede provocar advertencias de buscadores y navegadores y demuestra que el atacante controlaba el servidor, algo que también podría aprovechar para colocar malware, páginas de phishing o spam SEO.
Cómo prevenirlo
- Mantener actualizados el CMS, los temas y los plugins, y eliminar los componentes que no se usen.
- Proteger las cuentas de administración con contraseñas fuertes y autenticación multifactor.
- Usar un cortafuegos de aplicaciones web y supervisión de la integridad de archivos para detectar cambios.
- Guardar copias de seguridad fuera de línea para restaurar el sitio rápidamente y, después, investigar cómo entraron los atacantes.
