El envenenamiento SEO es una técnica en la que los atacantes manipulan el posicionamiento en buscadores para que sitios maliciosos aparezcan en los primeros resultados de búsquedas populares o concretas.
Cómo funciona el envenenamiento SEO
En lugar de enviar correos de phishing, los atacantes esperan a que las víctimas acudan a ellos. Con técnicas de optimización de sombrero negro suben sus páginas en los rankings:
- comprometen sitios legítimos, a menudo instalaciones de WordPress desactualizadas, y añaden páginas ocultas llenas de palabras clave;
- crean grandes redes de enlaces y páginas de spam que apuntan al sitio malicioso;
- se centran en búsquedas de software gratuito, herramientas crackeadas, plantillas y documentos, o en noticias de última hora;
- usan cloaking: los rastreadores de los buscadores ven contenido inofensivo y los visitantes reales, la versión maliciosa.
MITRE ATT&CK recoge la técnica como T1608.006. A menudo se combina con el malvertising, en el que los delincuentes compran anuncios de búsqueda en lugar de ganarse posiciones orgánicas.
Por qué es importante
Los usuarios confían en los resultados de búsqueda, así que las páginas envenenadas logran altas tasas de clics sin que ningún filtro de correo se interponga. Las campañas de Gootloader son un ejemplo conocido: colocaban páginas de foro falsas en sitios hackeados que respondían a búsquedas como plantillas de contratos y entregaban un ZIP con un archivo JavaScript que instalaba un cargador de malware, lo que derivaba en ransomware y otras intrusiones. Operaciones similares distribuyen infostealers mediante descargas falsas de software popular y apuntan a administradores de sistemas que buscan herramientas como utilidades de gestión remota.
Cómo protegerse
- Descargar software solo de los sitios oficiales del fabricante o de repositorios corporativos gestionados.
- Desconfiar de los resultados que llevan a entradas de foro con enlaces de descarga o archivos comprimidos inesperados.
- Bloquear la ejecución de scripts .js y .vbs descargados y usar filtrado web.
- Mantener actualizados el CMS y los plugins propios para que el sitio no sirva de alojamiento a páginas envenenadas.
