Qué tomar del truco de GoDaddy desde noviembre de 2021

El 6 de septiembre de 2021, los actores aún desconocidos violaron y obtuvieron acceso a los datos de 1,200,000 clientes de GoDaddy. GoDaddy notó la violación el 17 de noviembre, unos 36 días después. La violación se relacionó con la SEC unos cinco días después y 41 días después del hecho. Aunque las investigaciones aún están en progreso, sabemos que los correos electrónicos y números del cliente han sido expuestos. Los clientes de WordPress Active Manage también han visto sus credenciales exhibidas, incluidas las de las bases de datos SFTP y WordPress. Algunos clientes también tenían la clave privada SSL expuesta. Antes de continuar, si sospecha que alguna de sus cuentas ha sido expuesta, asegúrese de cambiar todas sus contraseñas de inmediato.
También puede ser necesario informar a sus clientes sobre la violación. Debido a que este es un requisito regulatorio, deberá verificar qué leyes y regulaciones en su jurisdicción lo obligan a hacer. Si Godaddy es la culpa, aún no lo sabemos: las investigaciones aún están en progreso. Esto, sin embargo, es cuestionable por varias razones. La seguridad de WordPress, como todas las demás formas de seguridad, se trata principalmente de administrar el riesgo de hackers y especialistas/software de seguridad se bloquean en una guerra interminable. En su mayor parte, el nudo permanece en el medio. Sin embargo, las vulnerabilidades, las nuevas tecnologías y muchas otras cosas pueden alterar este delicado equilibrio en cualquier momento. Este equilibrio generalmente se restaura con bastante rapidez. Sin embargo, esto, sin embargo, deja una ventana de oportunidad, sin importar cuán pequeños, por daños, a veces irreparables, por hacer.
Debido a esto, ningún sistema es completamente inmune a los ataques. Por supuesto, los proveedores de servicios son responsables de garantizar que todo esté actualizado y seguro, y parte de su responsabilidad los tiene. Esto no significa que estamos a su merced. Los administradores y propietarios de WordPress aún pueden tomar medidas para asegurarse lo más posible para minimizar los riesgos. WordPress, en particular, depende de varios subsistemas para que funcionen, cada uno de los cuales puede ser susceptible a las vulnerabilidades y ataques. Una buena política de seguridad de WordPress tiene un enfoque de 360 ​​grados y garantiza un proceso de seguridad iterativo de WordPress que aborde los riesgos y las preocupaciones de seguridad a medida que parecen. Las alturas pueden tardar mucho en observar a Godaddy, una de las compañías de anfitriones más grandes a nivel mundial, tomó 36 días para notarlo en aviso que fueron pirateados. Treinta y seis días pueden parecer mucho, pero un informe de IBM mostró que, en promedio, las empresas necesitan casi 200 días para notar una violación. Esto hace que los 36 días parezcan bastante razonables, pero muchos pueden suceder en 36 días. La verdad es que los piratas informáticos han transformado el proceso de cubrir sus huellas en una forma de arte, lo que dificulta que las compañías más grandes se den cuenta de que han sido violadas. Esto se ve exacerbado por el hecho de que muchos piratas informáticos están respaldados por presupuestos sólidos, que en algunos casos son financiados por los estados.
Puede pensar que un estado liderado por el estado puede no estar interesado en su sitio de WordPress, pero esto puede no ser necesariamente cierto. Aunque pueden no estar interesados ​​en su sitio, en particular, se puede atrapar en el fuego cruzado. El resultado final es igual de daños. En WordPress, un complemento de diario de actividades puede marcar la diferencia. Cuanto más amplio sea el alcance del diario de actividades, mayor será el campo visual, ayudándole a asegurarse de que no se evadiera nada.
Nuestro complemento de registro de actividades de WP cubre una amplia gama de actividades de usuario y sistema e incluye muchas extensiones de diario de actividad para los terceros complementos de WooCommerce WordPress. Esto puede tranquilizar a los administradores que cada faceta de su sitio es monitoreada, reduciendo drásticamente el riesgo de que las actividades ilícitas pasen por debajo del radar. Otro complemento esencial que merece mencionar es el monitor de cambios de archivo del sitio web para WordPress. Este complemento esencialmente está tomando una huella digital de los archivos de su sitio de WordPress cada vez que lo escanea y compara el resultado con escaneos anteriores para informar los cambios más pequeños.

Las contraseñas son literalmente clave para toda la infraestructura Las investigaciones iniciales han demostrado que todo el truco de GoDaddy era posible debido a una contraseña comprometida. Ver cómo una contraseña puede destruir toda la casa nos hace darnos cuenta de lo importante que es cada contraseña. Por supuesto, no especulamos sobre el caso de GoDaddy, porque todos los detalles aún no han estado disponibles. Sin embargo, sabemos algo o dos sobre contraseñas de WordPress y cómo convertirlas de una responsabilidad potencial para ser su fortaleza. Una fuerte política de seguridad de contraseña de WordPress que incluye complejidad obligatoria y vencimiento automático es un buen lugar para comenzar. También debe bloquear a los usuarios inactivos y bloquear las cuentas de los usuarios después de un número fallido de intentos de autenticación. Todos estos son fáciles de configurar a través de WPassword, un complemento que agrega un puño serio a sus contraseñas. Por supuesto, la autenticación de dos factores, que se vuelve tan ubicua como las contraseñas en sí, es esencial para garantizar la seguridad de las cuentas. WP 2FA ofrece un enfoque totalmente personalizable para dos WordPress Authentication que protege a sus usuarios y WordPress sin tener que reinventar la rueda. En el futuro no se puede negar que los proveedores de alojamiento sean responsables de su seguridad, y se debe responsabilizar por cualquier fallas si se encuentran. Sin embargo, no hay garantía de que las violaciones no tengan lugar. Por esta razón, debemos considerar la seguridad como una responsabilidad común.