Mi sitio web ha sido hackeado, ¿y ahora qué?

Lunes, 7 de abril de 2008

Muy bien, te han hackeado. Le pasa a muchos webmasters, incluso a pesar del arduo trabajo que dedicas a evitar que este tipo de cosas sucedan. Los consejos de prevención incluyen mantener tu sitio actualizado con el último software y parches, crear una cuenta en
Google Webmaster Tools
para ver qué se está indexando, vigilar tus archivos de registro para asegurarte de que no ocurre nada sospechoso, etc. (Hay más información en la
Lista de verificación rápida de seguridad
que publicamos el año pasado).

Recuerda que no estás solo; los sitios hackeados son cada vez más comunes. Ser hackeado puede provocar que tu sitio se infecte con badware (más específicamente malware, un tipo de badware). Echa un vistazo al
StopBadware’s informe publicado recientemente sobre
Tendencias en badware 2007
para obtener un análisis exhaustivo de las amenazas y tendencias del año anterior. Consulta
este informe técnico ligero
en el
Google Online Security Blog
que destaca el número creciente de resultados de búsqueda que contienen una URL etiquetada como dañina. Para obtener informes técnicos aún más profundos sobre el análisis de malware basado en web, consulta
El fantasma en el navegador
(pdf) y este
informe técnico
(pdf) sobre descargas automáticas. Lléelos y tendrá una comprensión mucho mejor del alcance del problema. También incluyen algunos ejemplos reales para diferentes tipos de malware.

El primer paso en cualquier caso debería ser ponerse en contacto con su proveedor de alojamiento, si tiene uno. A menudo, ellos pueden encargarse de la mayor parte del trabajo pesado técnico por usted. Muchos webmasters utilizan alojamiento compartido, lo que puede dificultar la realización de algunas de las cosas que se enumeran a continuación. Ciertos consejos marcados con un asterisco (*) son casos en los que los webmasters que utilizan alojamiento compartido probablemente necesitarán asistencia de su proveedor de alojamiento. En el caso de que tenga el control total de su servidor, le recomendamos cubrir estas cuatro bases:

Sacar su sitio web fuera de línea

• Saque su sitio web fuera de línea temporalmente, al menos hasta que sepa que ha solucionado las cosas.
• Si no puede ponerlo fuera de línea, devuelva un
  503 código de estado
  para evitar que sea rastreado.
• En las Webmaster Tools, utilice la
  herramienta de eliminación de URL
  para eliminar de los resultados de búsqueda cualquier página o URL hackeada que pueda haberse añadido. Esto evitará que las páginas hackeadas se muestren a los usuarios.

Evaluación de daños

• Es una buena idea averiguar exactamente qué buscaba el hacker.
  • ¿Buscaban información confidencial?
  • ¿Querían tomar el control de su sitio para otros fines?
• Busque archivos modificados o subidos en su servidor web.
• Revise los registros de su servidor en busca de actividades sospechosas, como intentos fallidos de inicio de sesión, historial de comandos (especialmente como root), cuentas de usuario desconocidas, etc.
• Determine el alcance del problema: ¿tiene otros sitios que puedan verse afectados?

Recuperación

• Lo absolutamente mejor que puede hacer aquí es una reinstalación completa del sistema operativo desde una fuente confiable. Es la única forma de estar completamente seguro de que ha eliminado todo lo que el hacker pudo haber hecho.*
• Después de una reinstalación reciente, use la copia de seguridad más reciente que tenga para restaurar su sitio. No olvide asegurarse de que la copia de seguridad esté limpia y no tenga contenido hackeado.*
• Actualice cualquier paquete de software a la última versión. Esto incluye cosas como plataformas de bitácoras, sistemas de gestión de contenido o cualquier otro tipo de software de terceros instalado.
• Cambie sus contraseñas:
  consulte nuestro centro de ayuda para obtener consejos sobre cómo crear una contraseña segura

Restauración de su presencia en línea

• Vuelva a poner su sistema en línea.
• Si es usuario de Webmaster Tools, inicie sesión en su cuenta
  • Si su sitio fue marcado como que tiene malware, solicite una revisión para determinar si su sitio está limpio
  • Si utilizó la herramienta de eliminación de URL en URL que desea conservar en el índice, solicite que Webmaster Tools vuelva a incluir su contenido revocando la eliminación.
• Vigile las cosas, ya que el hacker puede intentar regresar.

Respuestas a otras preguntas que pueda estar haciendo:

¿Es mejor poner mi sitio fuera de línea o usar robots.txt para evitar que sea rastreado?
Ponerlo fuera de línea es una mejor opción; esto evita que se entregue malware o badware a los usuarios y evita que los hackerrs sigan abusando del sistema.

Una vez que haya arreglado mi sitio, ¿cuál es la forma más rápida de volver a ser rastreado? La mejor manera, independientemente de si su sitio fue hackeado o no, es seguir las
Webmaster Help Center guidelines.

Lo he limpiado, pero ¿Google me penalizará si el hacker enlazó a algún vecindario malo? Intentaremos que no. Somos bastante buenos asegurándonos de que los sitios buenos no sean penalizados por las acciones de hackers y spammers. Para estar seguro, elimine por completo cualquier enlace que los hackers puedan haber añadido.

¿Qué pasa si esto sucedió en mi máquina de casa? Todo lo anterior sigue siendo aplicable. Querrá tener especial cuidado al limpiarlo; si no lo hace, es probable que vuelva a suceder lo mismo. Una reinstalación completa del sistema operativo es ideal.

Recursos adicionales que pueden resultarle útiles:

• Si su sitio ha sido marcado por Google como distribuidor de malware, le
  alertaremos
  cuando visite
  Webmaster Tools.
• No se olvide de la
  Google Webmaster Help Group; está lleno de usuarios extremadamente expertos y también de empleados de Google. Para ver un buen ejemplo relevante, consulte
  este hilo. También hay un
  Stop Badware group.
• Matt Cutts publicó recientemente
  Tres consejos para proteger su instalación de WordPress
  en su blog, y también hay muchos comentarios excelentes debajo de la publicación.

Escrito por Nathan Johns, Search Quality Team