Entradas Etiquetadas :

seguridad web

backlinks tóxicos
Qué es un disavow y cómo eliminar backlinks tóxicos
1024 576 Prestigia

Cualquier persona que posea una web corporativa o personal, seguro que en más de una ocasión se ha preguntado sobre el posicionamiento SEO, o en otras palabras, por qué es tan importante el SEO en una web cara a tener publicidad en los buscadores, esto es algo completamente normal cara a tener visibilidad en la red.

El posicionamiento SEO (Search Engine Optimization) es un conjunto de numerosas técnicas que se aplican en un sitio web con el fin de mejorar su visibilidad y posicionamiento en los resultados de los principales buscadores. Por lo tanto, podemos definir el SEO como un procedimiento enfocado a situar una determinada página web en las primeras posiciones de los resultados de búsqueda ante una consulta específica de un usuario.

Una de las razones por las que los buscadores pueden incluirnos en sus listas negras, podría ser por ejemplo si nuestra página está infectada por un malware, como comentábamos en el artículo sobre cómo saber si nuestro ordenador está infectado o pertenece a una botnet. Sin embargo, existen múltiples razones, como por ejemplo los backlinks tóxicos que explicamos a continuación.

Qué son los backlinks tóxicos

Son enlaces hacia una página web con una reputación mala a ojos de los buscadores. Es posible que sean incluso varios enlaces afectados de un sitio web, que esté infectado con algún malware. Por ejemplo, Google piensa que estos enlaces los has publicitado tú mismo para intentar escalar posiciones en el buscador mediante acciones maliciosas, por lo que es más que probable que penalice tú sitio web.

Motivos por los que podrías tener backlinks tóxicos

  • SEO negativo: son prácticas realizadas por terceros para desprestigiar nuestro sitio web, estas prácticas son las causantes de que determinada web pueda ser penalizada y por lo tanto, que este afectada en términos de posicionamiento. La semana pasada escribíamos un post para saber cómo identificar y protegerte de un ataque de SEO negativo.
  • Automatización del link building: si tenemos un mecanismo automatizado de referencias a enlaces web, es posible que importemos estos backlinks sin ser conscientes, si los medios sobre los que realizamos la automatización han sido vulnerados.

Análisis de backlinks y la herramienta Disavow de Google

El significado de Disavow es eliminar enlaces maliciosos que apuntan a tu sitio web. Es posible que el ranking de posicionamiento en buscadores del sitio web, este siendo dañado por los backlinks tóxicos que comentábamos anteriormente, mediante Google en Search Console podremos evaluar la calidad de esos backlinks.

Tras realizar el análisis, la herramienta Disavow sirve principalmente para eliminar los backlinks tóxicos de un motor de búsqueda sea de Google. Esta herramienta es parte de Google Webmaster Tools para luchar en guerra de Google contra el spam y evita poner a algunas empresas con presencia en internet en riesgo. Esto hace que esta herramienta sea un activo importante para los sitios web en riesgo de ser penalizados.

Para solucionar el problema, tenemos que acceder a nuestro Webmaster Tools, y posteriormente a la herramienta Disavow Links Tool. Esta es la más eficaz y conocida en cuanto a la eliminación de enlaces, adicionalmente, enviaremos un informe a Google con todos los enlaces que queremos eliminar de nuestra cuenta indexada, indicándole que son maliciosos y no queremos se compartan en su buscador.

backlinks tóxicos Google search console

Otras herramientas de búsqueda de backlinks

Existen multitud de herramientas para la búsqueda de backlinks maliciosos, aparte de la proporcionada por Google, entre ellas contamos con:

  • SEMrush: Herramienta que cuenta con una aplicación específica que detecta cuáles son los backlinks tóxicos.
  • Ahrefs: Herramienta puramente enfocada al SEO, no cuenta con una funcionalidad específica para detectar los backlinks tóxicos, pero es posible realizar un estudio sobre los perfiles de enlaces realizando un análisis de resultados gracias a sus informes.
  • Cognitive SEO: Es la más avanzada ya filtra los backlinks por calidad, permitiendo filtrar de menor a mayor con el fin de detectar cuáles son tóxicos.

Por último, desde Prestigia Seguridad no queremos dejar de aconsejar como lectura recomendada nuestra entrada: penalización de Google, como detectarla y porqué afecta al SEO, y recomendar la contratación de profesionales para la consultoría de seguridad, ligada al posicionamiento en Internet y evitar que entremos en listas negras o seamos penalizados por buscadores como Google.

Ataque SEO negativo Google
Cómo identificar y protegerte de un ataque de SEO negativo
1020 690 Prestigia

Un ataque de SEO negativo, puede llegar a perjudicar mucho tu página web. El ataque consiste en generar malas prácticas del SEO utilizando técnicas, hasta lograr  la penalización de la web de la víctima por parte de Google.

Muchos de estos ataques son realizados por la competencia, así pueden obtener mejores resultados de posicionamiento para su página web. Un ataque SEO negativo no solo busca penalizar la posición en los buscadores, sino que también podría repercutir en la facturación de tu empresa.

Tipos de ataque de SEO negativo

En un ataque de SEO negativo encontramos distintas variantes:

  • Enlaces tóxicos: Este tipo de ataque consiste en la generación de enlaces que apuntan a tu web desde webs con una mala reputación, utilizando anchor points con palabras relacionadas por ejemplo con el mundo pornográfico, juegos online o adicciones.
  • Granjas de enlaces: Una granja de enlaces es un sitio web creado únicamente para contener anchor points que enlacen a otra página web. Google piensa que estás utilizando esas granjas para conseguir un mejor SEO con malas prácticas, ya que tienes un gran número de páginas web que apuntan a la tuya de forma intencionada. Finalmente, gracias a este ataque de SEO negativo, se consigue la penalización de tu página web por parte de Google.
  • Ataque phishing: Los ciberdelincuentes realizan un ataque de phishing para conseguir las credenciales de acceso a tu página web, una vez han conseguido acceder ilegítimamente a ella, realizan malas prácticas de SEO como puede ser copiar y pegar textos enteros de otras páginas, redireccionar tus páginas a otras páginas de mala calidad y baja reputación, etc. Dentro de la Google Search Console, puedes verificar si tu página web ha sufrido algún tipo de hackeo.
  • Reviews y scam: Este tipo de ataque de SEO negativo, consiste en la generación de malas reviews por ejemplo en páginas especializadas, en la ficha de Google My Business de la empresa o en la ficha de producto en Amazon. Por otro lado hay páginas dedicadas a denunciar estafas en internet, donde los usuarios denuncian y cuentan sus experiencias navegando en internet. Google podría penalizar tu página por malas opiniones o por estar marcada como página de estafa en distintas webs dedicadas a ello.
  • Ataques DDoS: Hace un par de semanas, hablábamos en nuestro blog sobre qué es un ataque DDoS y cómo protegerse de él. La saturación del servidor de una web, puede conseguir una gran penalización en temas de SEO, ya que el tiempo de carga de tu web va a aumentar de forma considerable.
  • Brecha de seguridad: Los hackers pueden acceder dentro de tu página web mediante una brecha de seguridad y cambiar el archivo robots.txt para que Google deje de indexar tu página web entera.

Cómo detectarlo y cómo protegerse

Vamos a ver una serie de acciones que pueden ayudarte a detectar y por tanto a protegerte de un ataque de SEO negativo.

  • Utiliza herramientas SEO: Las mismas herramientas que puedes utilizar para mejorar el SEO de tu página web, te pueden ser de gran ayuda para detectar un ataque de SEO negativo. Herramientas como Sistrix, Semrush o Seranking te ayudan a ver tu posición en los rankings de Google, si ves descensos en grandes cantidades en un rango de tiempo muy pequeño, averigua cuál puede ser el motivo, posiblemente estés siendo víctima de un ataque de SEO negativo.
  • Controla los enlaces: Para ello, puedes utilizar herramientas para monitorizar enlaces, así poder tener controlados qué tipo de enlaces apuntan directamente a tu página web y poder detectar antes de tiempo los enlaces tóxicos.
  • Filtra enlaces: Filtrar los enlaces entrantes a tu web por anchor points o dominios y buscar algún patrón que se repita. Esta es una manera de encontrar de dónde vienen los enlaces tóxicos y poder bloquearlos a través de la Google Search Console.
  • Controla las brechas de seguridad: En junio de 2019, el diario Expansión contó con nuestra colaboración en su artículo: Impida que una brecha de seguridad acabe con su pyme. En este artículo, encontrarás soluciones para impedir una brecha de seguridad en tu página web.
  • Vigila con los ataques de Phishing: Utiliza una única contraseña en cada sitio, dobles factores de autenticación, verifica los mensajes que recibes tanto por correo electrónico como por SMS, comprueba la seguridad de las páginas webs a las que accedes, etc… Si consiguen la contraseña de tu página web, puedes ser víctima de un ataque SEO negativo.
  • Cambia el link de acceso a tu CMS: La gran mayoría de pymes, no modifican el link de acceso a su CMS (/wp-admin), una vez en la puerta de entrada, los ciberdelincuentes podrían utilizar un ataque de fuerza bruta para acceder a tu web.
    En nuestro artículo Seguridad web, talón de Aquiles de los mejores CMS, puedes encontrar 10 consejos para fortalecer la seguridad de tu CMS.
  • Contacta con especialistas en Ciberseguridad: Si sufres un ataque de SEO negativo, no dudes en contactar con especialistas en ciberseguridad para que puedan ayudarte.
Qué son los ataques de fuerza bruta y cómo evitarlos
1020 690 Prestigia

Este tipo de ataques, bastante usuales, se conocen también como ataques de login o descifrado de contraseñas. Los ataques de fuerza bruta suelen llevarse a cabo con el fin de obtener las credenciales de usuario y permitir el acceso a los sitios web, ya bien sea para el para el robo de información sensible, la alteración del contenido web o la distribución de campañas de phishing o malware. Igualmente, aunque no logren penetrar en el sitio web, los ataques de fuerza bruta pueden saturar los servidores con tráfico dado el alto número de peticiones, lo que podría dar lugar a importantes problemas de consumo de CPU y rendimiento para la web que sufre el ataque.

Cuentas de  correo, redes sociales, banca en línea, servicios de gestión como pueden ser FTP o SSH… podríamos enumerar cientos de servicios susceptibles a sufrir este tipo de ataques.

Los cibercriminales lo utilizan como primeros pasos para realizar el hackeo del sitio, y esta técnica aún continúa funcionando. No existe otro motivo que la simplicidad de las contraseñas que utilizan los usuarios para proteger sus servicios o cuentas. Ante esto, uno de los siguientes pasos podría ser parte de una botnet, tras lograr ingresar en el sitio.

A continuación, comentamos como ejecutarían los cibercriminales estos ataques, principalmente tendríamos:

  • Ataques a formularios acceso: Por una parte, encontramos los ataques de diccionario, es decir, listas de palabras. Su funcionamiento es sencillo, consiste en probar todas las palabras del listado con el fin de intentar ver si son válidas. Aunque pueda parecer que llevaría bastante tiempo, realmente en muchas ocasiones, debido a la facilidad de contraseñas de los usuarios, es cuestión de minutos obtener acceso a las aplicaciones o servicios.
  • Ataques de contraseñas: Por otra parte, encontramos los ataques a contraseñas cifradas. Partimos de un hash obtenido de base de datos por ejemplo o de un sistema comprometido, es decir, una contraseña cifrada. Sin embargo, en este caso no realizaremos peticiones a un sitio web, sino que utilizaremos software con un diccionario de palabras igualmente, para intentar descifrar la contraseña. A este tipo de diccionarios se les llaman Tablas Arcoiris (Rainbow Tables), donde probaremos igualmente combinaciones de forma “offline” hasta obtener el par hash/contraseña.

Conociendo los posibles ataques, vamos a ver posibles mitigaciones para este tipo de ataques.

Mitigar ataques de fuerza bruta con CAPTCHA

Los captchas son controles de seguridad, obligatorios, con una imagen o un texto que necesita interactuación para resolverlo. Al tener múltiples combinaciones, esta es la gran ventaja que tenemos para que un ataque automático no tenga efecto. Este tipo de sistemas evitan con una gran efectividad este tipo de ataques. El método más efectivo, que aúna las ventajas en seguridad contra ataques por fuerza bruta y no molesta a los usuarios, sería implementarlo de forma que solo fuera obligatorio a partir de un número determinado de fallos.

CAPTCHA seguridad ataques de fuerza bruta

Mitigar ataques con doble autenticación

Este servicio es ofrecido por muchos proveedores como servicio adicional de seguridad. Con esta opción se aumenta el nivel de seguridad  contra un ataque de fuerza bruta, ya que el mecanismo para que se autentique el usuario tiene elementos adicionales tal como responder a una pregunta secreta, un numero PIN o un mensaje de texto. Este mecanismo adicional, previene que sea un ataque de fuerza bruta, quien intenta acceder.

autenticación doble factor ataques de fuerza bruta

Mitigar ataques de fuerza bruta en WordPress

Para evitar que con este tipo de ataques accedan a vuestro WordPress, como ya comentamos en el post cómo pueden infectar nuestro WordPress, os comentamos los siguientes consejos.

Es posible realizar el cambio de nombre de usuario. Esto se podría realizar mismamente con usando plugins como iThemes Security. De igual forma, también sería posible realizar el cambio manualmente directamente en base de datos utilizando phpMyAdmin por ejemplo.

Además, usando el plugin iThemes Security o por ejemplo Wordfence Security, será posible limitar los intentos de acceso y ocultar el nombre de usuario utilizado en el campo alias de las preferencias de usuario. Por último, si solo se necesita limitar los intentos de acceso, también es posible usar el plugin Limit Login Attempts.

Por último, desde Prestigia Seguridad, nuestro equipo realiza auditorias de seguridad que contemplan este tipo de pruebas con el fin de mejorar la seguridad de tu sitio web.

Alhambra brecha de seguridad puerta
Brecha de seguridad en la web de la Alhambra
1020 690 Prestigia

Recientemente explicábamos en este blog qué son y qué hacer ante una brecha de seguridad, como usuarios afectados. Hoy escribimos sobre un caso reciente, una de las mayores brechas de seguridad producidas en España en los últimos años.

La web oficial de venta de tickets de la Alhambra, ha dejado expuestos los datos personales y bancarios de más de 4 millones de usuarios durante los últimos dos años.

El porqué de la brecha de seguridad

La brecha de seguridad, detectada por un grupo perteneciente a Anonymous llamado LaNueve, hacía que la web fuera vulnerable a inyecciones SQL, permitiendo a los ciberdelincuentes introducirse en el servidor web y obtener datos almacenados en él. Un ciberataque tan común que la mayoría de empresas ya tienen debidamente protegidos sus sistemas informáticos desde hace años.

La web tampoco disponía de WAF (Firewall para Aplicaciones Web), que es una capa adicional que se encarga de proteger la web frente a tráfico malicioso. Además, el histórico de ventas se almacenaba en los mismos servidores donde se almacenaba todo el contenido.

Por razones de seguridad, las transacciones suelen trasladarse a otros servidores aislados pasadas unas horas, para evitar que los ciberdelincuentes se lleven los datos si logran entrar en el sistema.

La página web utilizaba un sistema integral de venta y reserva de entradas llamado IACPOS, utilizado en el museo del Prado o el Thyssen, pero en el caso de la Alhambra, estaba desactualizado cosa que hacía aún más vulnerable la página web. Visto en conjunto, el ataque ha respondido principalmente a un mantenimiento inadecuado. Lo decimos una y otra vez: con el mantenimiento técnico de tu proyecto, no te la juegues.

Consecuencias de la brecha de seguridad

Entre los datos expuestos, se encuentran: números de teléfono, números de tarjetas de crédito o correos electrónicos, tanto de particulares como de las agencias de viajes que vendían tickets a través de la página oficial.

Todos estos datos podrían haber sido utilizados por cualquiera que hubiera encontrado el fallo en la web, aunque por el momento no hay indicios de que nadie los haya utilizado. Estos datos podrían ser utilizados por cibercriminales para elaborar sencillos ataques de phishing, como contamos en nuestro post Mi primera Sextorsión.

La empresa encargada de gestionar el sistema de ventas de la Alhambra ha indicado que el problema ya está resuelto y que han actualizado todo el sistema para evitar posibles ataques en el futuro.

Recuerda, si aún no tienes protegida la seguridad de tu empresa y quieres evitar una brecha de seguridad como la de la Alhambra, en Prestigia te ofrecemos un servicio de mantenimiento y seguridad digital para asegurar tu tranquilidad y la protección de tus principales activos. También puedes contactar con nuestros especialistas en ciberseguridad, cuando lo necesites.

seguridad en los cms
Seguridad web, talón de Aquiles de los mejores CMS
1024 690 Prestigia

Al poner en marcha una web, blog o negocio online es fundamental plantear bien el desarrollo, la programación web. En muchos casos, y por las características del proyecto, convendrá una programación web a medida. En otros, sin embargo, puede ser suficiente trabajar con alguno de los CMS (Content Management System) open source que nos ofrece el Mercado: WordPress, Drupal, ….. En este sentido, uno de los factores olvidados a la hora de escoger un sistema de gestión de contenidos es la seguridad. Nos centramos en aspectos como el diseño, la usabilidad, la capacidad… olvidándonos de la seguridad web en los CMS.

Según un informe de Sucuri, los tres CMS más infectados en 2017 fueron WordPress (83%), Joomla! (13.1%) y Magento (6.5%). Son tres de las plataformas más utilizadas (WordPress es el CMS más usado del mundo) por pequeñas empresas, tiendas, bloggers, etc. Por eso, no es de extrañar que también estén en el punto de mira de hackers y delincuentes.

Estos datos no implican que WordPress, Joomla! o Magento sean más o menos seguras que otras plataformas. De hecho, desde Sucuri explican que los riesgos o compromisos registrados en estos gestores de contenidos estaban relacionados con “un despliegue, configuración y mantenimiento general inadecuado por los webmasters y no con el núcleo de la aplicación CMS en sí”. Sea como sea, es importante que tengas en cuenta aspectos de la seguridad en los CMS a la hora de escoger uno y que también sepas protegerlo.

Problemas de seguridad en los CMS

Pueden ser muchas las causas que provocan que un CMS sea infectado o atacado. Sin embargo, como decíamos, en la mayoría de ocasiones estos ataques están relacionados con una mala gestión de la plataforma desde una óptica de seguridad y protección.

Por ejemplo, el informe de Sucuri revela que muchas de las plataformas estaban desactualizadas en el momento de la infección. De hecho, en 2016, el 61% de las webs desarrolladas con WordPress que fueron hackeadas registraron instalaciones desactualizadas. También en años anteriores, el 80,3% de los sitio Magento estaban en su mayoría desactualizados (80.3%) en el momento en que se infectaron.

Otra de las formas más habituales entre los hackers para infectar un CMS es a través de los ataques de fuerza bruta. Este tipo de ataque consiste en consiste en probar sistemáticamente diferentes credenciales hasta que….¡voilà! encuentran la combinación correcta. En otras palabras, sería como intentar abrir un candado con 1001 opciones posibles. Te llevaría muchísimo tiempo pero en algún momento darás con la combinación acertada. Y, cuando quién lo hace es un robot de forma automatizada, el tiempo deja de ser un problema.

Otra variante de este método muy conocida es el ataque diccionario. En este caso, se deja de lado el intento sistemático de encontrar la combinación de acceso para probar únicamente aquellas combinaciones con más probabilidad de éxito. En este punto no está de más recordarte la importancia de tener una contraseña fuerte y segura para ponérselo difícil a los hackers.

Los ataques de fuerza bruta pueden afectar a cualquier web. Sin embargo, WordPress repite como uno de los objetivos favoritos de los hackers.

¿Y qué sucede cuando descubren el usuario y contraseña? El hacker puede entrar en el panel de administración y hacerse con el control de la web. De esta manera, puede desde robar datos y credenciales hasta alojar archivos maliciosos o hacer que la página web se convierta en parte de una infraestructura de malware específica.

10 consejos para fortalecer la seguridad en los CMS

En algún momento de este artículo se ha comentado que bloggers, pequeños empresarios, propietarios de tiendas, etc suelen utilizar CMS de código abierto. Lo hacen porque son fáciles de usar, rápidos, gratuitas y no requieren grandes conocimientos. Sin embargo, estamos ante un arma de doble filo porque, como decíamos, también los hace más vulnerables ante un posible ataque.

En este contexto, es importante tener a mano unos consejos de seguridad en los CMS para garantizar que tu plataforma esté protegida:

  1. Mantén actualizado el CMS. Si, es la norma más básica y es una cuestión de sentido común. Si no actualizas tu gestor de contenidos no estarás protegido ante riesgos que se hayan detectado recientemente.

  2. Usa una contraseña fuerte y segura: que sea aleatoria y poco común. En este sentido, ten en cuenta que sea de al menos 12 caracteres y no la utilices en diferentes sitios a la vez.

  3. Descarga contenidos solo de webs oficiales

  4. Introduce Captchas en tus formularios para que sean más seguros. Esto te ayudará también a evitar que te envían spam o se infiltren en tu aplicación.

  5. Haz revisiones periódicas para detectar vulnerabilidades y anomalías. Ya sabes, mejor prevenir que curar.

  6. Intenta escoger un CMS con una comunidad online fuerte, es decir, que tenga un equipo de desarrolladores a los que consultar dudas y problemas.

  7. Configura tu hosting de forma segura, con unos parámetros básicos de segurida en los CMS y en relación a los permisos y accesos al servidor.

  8. Controla los permisos de usuario y contraseñas de acceso

  9. Suscríbete a foros y newsletter relacionadas con la seguridad en los CMS. Mientras más informado estén, con más rapidez podrás actuar ante un riesgo.

  10. Contacta con Prestigia Seguridad si quieres más garantías de seguridad en los CMS que utilizas 😉

En Prestigia Online S.L. utilizamos cookies para asegurar que damos la mejor experiencia al usuario en nuestro sitio web. Si continúa utilizando este sitio asumiremos que está de acuerdo. Más información sobre las cookies que utilizamos en nuestra Política de cookies.