oprosił o wygenerowanie nowego hasła do Twojego konta. Problem w tym, że żadnego resetu nie wykonywałeś. Jeżeli taka sytuacja zdarzyła się raz, mogła być wynikiem pomyłki. Jeśli jednak wiadomości zaczynają pojawiać się regularnie, a szczególnie gdy dotyczą kilku różnych stron WordPress, warto potraktować je jako sygnał ostrzegawczy. Samo otrzymanie wiadomości nie oznacza jeszcze, że doszło […]
oprosił o wygenerowanie nowego hasła do Twojego konta. Problem w tym, że żadnego resetu nie wykonywałeś. Jeżeli taka sytuacja zdarzyła się raz, mogła być wynikiem pomyłki. Jeśli jednak wiadomości zaczynają pojawiać się regularnie, a szczególnie gdy dotyczą kilku różnych stron WordPress, warto potraktować je jako sygnał ostrzegawczy. Samo otrzymanie wiadomości nie oznacza jeszcze, że doszło do włamania. Oznacza natomiast, że ktoś lub jakiś automatyczny skrypt uruchomił procedurę odzyskiwania hasła dla istniejącego konta. Wyjaśniamy, skąd biorą się takie wiadomości, czy należy się ich obawiać i w jaki sposób zabezpieczyć WordPress przed próbami nieautoryzowanego dostępu.
Mechanizm odzyskiwania hasła jest standardową funkcją WordPressa. Użytkownik, który nie pamięta danych dostępowych, może przejść do ekranu logowania i wybrać opcję odzyskania hasła. Następnie podaje nazwę użytkownika lub adres e-mail przypisany do konta. Jeżeli dane są prawidłowe, WordPress generuje klucz resetowania i wysyła wiadomość na adres e-mail użytkownika. Oficjalny kod WordPressa tworzy wiadomość zawierającą m.in. nazwę witryny, login użytkownika oraz odnośnik umożliwiający ustawienie nowego hasła. W polskiej wersji WordPressa komunikat może być przetłumaczony np. jako „Ktoś poprosił o wygenerowanie nowego hasła” lub mieć bardzo podobną treść. Oryginalna wiadomość WordPressa informuje również użytkownika, że jeżeli nie prosił o zmianę hasła, może zignorować e-mail. Samo wysłanie żądania nie powoduje automatycznej zmiany dotychczasowego hasła. Do właściwego resetu konieczne jest wykorzystanie wygenerowanego odnośnika i ustawienie nowego hasła.
Dlatego pojedyncza wiadomość tego rodzaju nie musi oznaczać włamania. Ktoś mógł omyłkowo podać niewłaściwy login lub adres e-mail. Problem zaczyna wyglądać inaczej, kiedy wiadomości pojawiają się wielokrotnie. Jeszcze bardziej charakterystyczna jest sytuacja, w której administrator zarządzający kilkoma stronami zaczyna otrzymywać podobne wiadomości z różnych instalacji WordPressa. Może to wskazywać na aktywność automatycznych botów wyszukujących strony oparte na WordPressie i próbujących uzyskać dostęp do kont o podwyższonych uprawnieniach. Warto zwrócić uwagę również na samą treść wiadomości. WordPress może umieszczać w wiadomości resetującej informację o adresie IP, z którego pochodziło żądanie. Funkcjonalność ta została dodana właśnie po to, aby odbiorca miał więcej informacji o źródle resetu. Jeżeli otrzymaliśmy niezamawianą wiadomość, adres IP może więc stanowić pierwszą wskazówkę przy analizie zdarzenia.
Nie należy natomiast automatycznie zakładać, że osoba, która uruchomiła procedurę resetowania, zna nasze aktualne hasło. Do wywołania takiej wiadomości nie jest potrzebna znajomość hasła. Wystarczy uruchomić funkcję odzyskiwania dostępu i podać odpowiednie dane identyfikujące konto. Dlatego wiadomość o resecie jest przede wszystkim informacją o próbie uruchomienia mechanizmu odzyskiwania hasła, a nie potwierdzeniem przejęcia konta.
Nie zawsze, ale powtarzających się wiadomości zdecydowanie nie należy ignorować. WordPress jest niezwykle popularnym systemem CMS, dlatego jego ekrany logowania są regularnie skanowane przez automatyczne narzędzia. Atakujący nie musi nawet ręcznie odwiedzać poszczególnych witryn. Bot może znaleźć instalację WordPressa, sprawdzić dostępne punkty logowania, próbować rozpoznać istniejących użytkowników, a następnie automatycznie wykonywać kolejne działania. Jednym z najpopularniejszych zagrożeń są ataki brute force. Polegają one na wielokrotnym sprawdzaniu różnych kombinacji nazw użytkowników i haseł w celu znalezienia prawidłowych danych logowania. Oficjalna dokumentacja WordPressa zwraca uwagę, że takie działania są często całkowicie zautomatyzowane, a nawet rozproszone pomiędzy wiele urządzeń tworzących botnet.
Żądanie resetowania hasła nie jest tym samym co atak brute force, ale może być jednym z elementów aktywności wymierzonej w konto. Jeżeli bot zna już nazwę użytkownika, może wykonywać różnego rodzaju żądania dotyczące tego konta. Szczególnie warto zainteresować się sytuacją, gdy jednocześnie w logach serwera lub narzędzia zabezpieczającego widzimy liczne nieudane próby logowania. Schemat może wyglądać następująco: automat znajduje stronę WordPress, identyfikuje potencjalny login administratora, podejmuje próby logowania, a równolegle może uruchamiać procedurę odzyskiwania hasła. Nie oznacza to jeszcze, że którakolwiek z tych czynności zakończyła się powodzeniem.
Znacznie poważniejszym sygnałem byłaby sytuacja, w której oprócz wiadomości dotyczącej resetowania hasła zauważymy inne anomalie: nieznanych użytkowników w panelu administracyjnym, nowe konto z rolą administratora, zmodyfikowane wtyczki lub motyw, przekierowania na obce strony, nieznane pliki na serwerze, wiadomości wysyłane bez naszej wiedzy albo zmiany ustawień WordPressa. Warto też pamiętać, że skuteczny atak na konto administratora może mieć poważne konsekwencje. Administrator posiada możliwość instalowania i modyfikowania elementów witryny, dlatego przejęcie takiego konta może prowadzić do znacznie szerszej kompromitacji serwisu. Z tego względu oficjalne zalecenia dotyczące zabezpieczania WordPressa obejmują stosowanie silnych haseł i dodatkowych warstw ochrony.
Szczególnej uwagi wymaga sytuacja, w której podobne wiadomości przychodzą z kilku niezależnych stron WordPress należących do tej samej osoby lub firmy. Może to sugerować, że ktoś zna powtarzający się login administratora, adres e-mail albo po prostu systematycznie skanuje witryny powiązane z jednym właścicielem. Nie jest to dowód na celowany atak, ponieważ równie dobrze może odpowiadać za to masowy bot. Jest to jednak wystarczający powód, aby sprawdzić zabezpieczenia wszystkich zarządzanych stron, zamiast ograniczać działania do witryny, z której przyszedł ostatni e-mail.
Przede wszystkim nie trzeba korzystać z otrzymanego odnośnika, jeśli sami nie inicjowaliśmy procedury. Jeżeli wiadomość rzeczywiście pochodzi z naszej strony, a my nie chcemy zmieniać hasła, można pozostawić żądanie niewykorzystane. Warto jednak wykorzystać takie zdarzenie jako okazję do przeprowadzenia krótkiego audytu bezpieczeństwa. Pierwszym krokiem powinno być zalogowanie się do WordPressa w normalny sposób – najlepiej przez znany nam adres strony, a nie poprzez link znajdujący się w podejrzanej wiadomości. W panelu Użytkownicy należy sprawdzić wszystkie konta, ze szczególnym uwzględnieniem użytkowników posiadających rolę administratora. Jeżeli pojawiło się konto, którego nie rozpoznajemy, sytuacja wymaga znacznie dokładniejszej analizy.
Następnie warto sprawdzić hasło administratora. Powinno być długie, unikalne i nieużywane w żadnym innym serwisie. To szczególnie istotne w przypadku osób zarządzających wieloma stronami WordPress. Stosowanie tego samego loginu i tego samego hasła w kilkunastu instalacjach powoduje, że wyciek danych z jednego miejsca może zagrozić pozostałym witrynom. WordPress w swoich zaleceniach bezpieczeństwa wskazuje na stosowanie silnych, unikalnych haseł oraz menedżera haseł. Bardzo dobrym rozwiązaniem jest również uwierzytelnianie dwuskładnikowe – 2FA. Wtedy znajomość loginu i hasła nie wystarcza do standardowego zalogowania się na konto. Potrzebny jest dodatkowy składnik uwierzytelnienia. WordPress rekomenduje 2FA dla administratorów i użytkowników posiadających wysokie uprawnienia; funkcję można wdrożyć za pomocą odpowiedniego rozwiązania zabezpieczającego lub systemu tożsamości.
Kolejnym zabezpieczeniem jest ograniczenie liczby prób logowania. Standardowe boty mogą wykonywać ogromną liczbę żądań, dlatego mechanizmy rate limiting pozwalają ograniczać ruch po przekroczeniu określonego poziomu. Jeszcze lepiej, jeśli filtrowanie odbywa się na poziomie serwera, hostingu, CDN lub WAF, ponieważ niepożądane żądania mogą zostać zatrzymane zanim zaczną niepotrzebnie obciążać WordPressa. Oficjalne zalecenia WordPressa wskazują właśnie na rate limiting oraz ochronę realizowaną przez WAF/CDN jako istotne elementy obrony przed zautomatyzowanymi atakami. Warto również przyjrzeć się xmlrpc.php. XML-RPC może być potrzebny niektórym integracjom, dlatego nie należy wyłączać go automatycznie w każdym serwisie. Jeżeli jednak strona go nie wykorzystuje, można rozważyć jego wyłączenie. Jeżeli jest potrzebny, warto przynajmniej ograniczyć i monitorować kierowany do niego ruch. WordPress wskazuje XML-RPC jako jeden z częstych celów prób brute force.
Konieczne jest także regularne aktualizowanie samego WordPressa, wtyczek oraz motywów. Próby zgadywania hasła to tylko jeden z możliwych sposobów ataku. Inną metodą jest wykorzystanie znanej podatności w nieaktualnym komponencie. Oficjalna dokumentacja WordPressa wymienia zarówno próby uzyskania dostępu poprzez hasła, jak i wykorzystanie podatności oprogramowania jako typowe kategorie ataków na witryny. Nie można zapominać o skrzynce e-mail administratora. W przypadku standardowej procedury odzyskiwania hasła to właśnie na nią wysyłany jest odnośnik umożliwiający dalszy reset. Dlatego poczta powinna posiadać inne, unikalne hasło i najlepiej własne uwierzytelnianie dwuskładnikowe. Zabezpieczenie WordPressa przy jednocześnie słabo chronionej skrzynce pocztowej pozostawia istotny punkt ryzyka.
Dobrym uzupełnieniem zabezpieczeń jest prowadzenie logów aktywności. Można dzięki nim sprawdzić, z jakich adresów IP podejmowano próby logowania, ile ich było, jakich nazw użytkowników dotyczyły i czy doszło do skutecznego zalogowania. W przypadku pojedynczego e-maila taka analiza może nie być konieczna, ale przy regularnie powtarzających się resetach pozwala ustalić, czy mamy do czynienia z przypadkowymi żądaniami, czy szerszą aktywnością botów. Otrzymanie wiadomości „Ktoś poprosił o wygenerowanie nowego hasła” nie jest więc równoznaczne z włamaniem na WordPressa. Jeżeli nie wykorzystano linku resetującego i nie doszło do przejęcia innych elementów infrastruktury, samo żądanie nie daje atakującemu dostępu do panelu. Powtarzające się wiadomości są jednak sygnałem, którego nie warto lekceważyć. Szczególnie gdy dotyczą kilku stron jednocześnie, dobrze potraktować je jako impuls do sprawdzenia kont administratorów, haseł, 2FA, logów, aktualizacji oraz zabezpieczeń przed automatycznymi próbami logowania. Dzięki temu nawet jeśli za wiadomościami rzeczywiście stoi bot próbujący znaleźć słabo zabezpieczoną witrynę, jego możliwości zostaną znacząco ograniczone.
Nazywam się Piotr Pawłoś – ekspert SEO i pozycjonowania stron. Od lat zajmuję się tym, co dla wielu jest czarną magią – SEO. Dla mnie to codzienność, pasja i sposób patrzenia na świat online. Każdy dzień zaczynam od analizy wykresów, fraz i wyników wyszukiwania, bo wiem, że za każdą pozycją w Google stoi strategia, pomysł i precyzyjna praca. Pomagam firmom rosnąć w sieci – nie przez przypadek, ale dzięki dobrze przemyślanej optymalizacji SEO, skutecznym kampaniom pozycjonowania i mądremu contentowi wspartemu jakościowym linkbuildingiem.
