Kto ma dostęp do Twojej strony? Zapomniane konta jako furtka dla hakerów

Zapytany "kto ma dostęp administracyjny do Twojej strony", niemal nikt nie potrafi odpowiedzieć od razu. Zwykle pada "no, my, i chyba jeszcze agencja, która to robiła... a, i chyba ten programista, co pomagał nam dwa lata temu przy jednej rzeczy". Ta niepewność to nie drobiazg - to jedna z najczęstszych przyczyn włamań, jakie widziałem, i jedna z najrzadziej branych pod uwagę.

Dlaczego to najprostsza droga do włamania

W poprzednich wpisach tej serii pisałem o lukach w nieaktualnych wtyczkach - to sposób, w jaki ktoś włamuje się, wykorzystując błąd w kodzie. Zapomniane konto to zupełnie inna droga, dużo prostsza: zamiast szukać dziury w zabezpieczeniach, wystarczy po prostu się zalogować. Nie trzeba łamać niczego - wystarczy znać (albo odgadnąć) dane do logowania konta, o którym nikt już nie pamięta, że w ogóle istnieje.

Takie konto to zwykle jedno z kilku źródeł: były pracownik, który miał dostęp do zaplecza strony i po odejściu z firmy nikt go nie usunął; poprzednia agencja albo freelancer, z którym współpraca się skończyła, ale konto zostało; albo konto testowe założone "tymczasowo" na etapie budowy strony, które po prostu nigdy nie zostało skasowane.

Słabe hasła i brak dwuskładnikowego logowania

Problem pogłębia się, gdy dołożyć do tego typowe nawyki hasłowe. Wiele takich zapomnianych kont ma hasła ustawione dawno temu, często proste, czasem takie same jak w innych serwisach danej osoby - a jeśli to hasło "wycieknie" gdziekolwiek indziej w internecie (a wycieki haseł z różnych serwisów zdarzają się regularnie), automaty próbują tego samego hasła również na innych stronach, w tym na Twojej.

Dwuskładnikowe logowanie (w skrócie 2FA) to dodatkowe zabezpieczenie - oprócz hasła, przy logowaniu trzeba podać jeszcze jednorazowy kod, na przykład z aplikacji w telefonie. Nawet jeśli ktoś zdobędzie samo hasło, bez tego drugiego składnika i tak się nie zaloguje. Problem w tym, że w praktyce mało która strona na WordPressie ma to włączone, a jeszcze rzadziej ma to włączone na starych, zapomnianych kontach.

Co warto sprawdzić w panelu swojej strony

Kilka rzeczy, które można zrobić samodzielnie, nawet bez dużej wiedzy technicznej:

• Lista użytkowników. W panelu WordPressa jest sekcja z listą wszystkich kont mających dostęp do strony. Warto ją przejrzeć i dla każdego konta zadać sobie pytanie - czy ta osoba lub firma nadal powinna mieć dostęp?
• Data ostatniego logowania. Konto, które nie logowało się od roku czy dwóch, to kandydat do usunięcia albo przynajmniej do zmiany hasła.
• Poziom uprawnień. WordPress rozróżnia różne role - nie każde konto musi mieć pełne uprawnienia administratora. Jeśli ktoś potrzebuje dostępu tylko do publikowania tekstów na blogu, nie potrzebuje dostępu do ustawień technicznych całej strony.
• Hasła wspólne z innymi serwisami. Jeśli Ty albo ktoś z zespołu używa tego samego hasła co do poczty czy innych kont, warto to zmienić - wyciek w zupełnie innym miejscu może otworzyć drzwi tutaj.

Jeśli po takim przeglądzie okaże się, że nie wiadomo, do czego jakieś konto należy, albo nie da się go bezpiecznie usunąć bez ryzyka zablokowania czegoś ważnego - to dobry moment, żeby poprosić o pomoc kogoś, kto zrobi to porządnie, zamiast klikać na oślep w panelu administracyjnym.

Konkretny scenariusz z praktyki

Typowa sytuacja wygląda tak: firma korzystała z usług freelancera przez rok, współpraca się skończyła w dobrej atmosferze, nikomu nie przyszło do głowy, żeby formalnie zamknąć mu dostęp - w końcu rozstanie było polubowne. Dwa lata później to konto wciąż istnieje w panelu, z pełnymi uprawnieniami administratora, z hasłem ustawionym raz, dawno temu. Nie chodzi o to, że ten konkretny freelancer planuje coś złego - chodzi o to, że jeśli jego hasło (być może to samo, którego używa też gdzie indziej) wycieknie w zupełnie innej sprawie, ktoś obcy dostaje pełny dostęp do Twojej strony, a nikt nawet nie wie, że tej drogi trzeba było pilnować.

Dokładnie ten sam mechanizm dotyczy kont zakładanych "tymczasowo" - na przykład dla stażysty, który miał pomóc przy jednej kampanii, albo dla partnera biznesowego, który miał wgrać kilka zdjęć. Tymczasowe rozwiązania mają to do siebie, że rzadko ktoś pamięta, żeby je formalnie zakończyć.

Prosty nawyk, duża różnica

Przegląd listy dostępu do strony to jedna z tych rzeczy, które zajmują dziesięć minut, a które prawie nikt nie robi, bo po prostu nikomu nie przychodzi to do głowy. A jednocześnie to jeden z najprostszych sposobów na to, żeby zamknąć furtkę, która stoi otworem czasem od lat - bez potrzeby aktualizowania czegokolwiek, bez zaawansowanej wiedzy technicznej, tylko poprzez uporządkowanie tego, kto właściwie ma klucze do Twojej strony.