¡Repara un sitio web de Magento pirateado en media hora!

¿Tiene una exitosa tienda de comercio electrónico en línea? ¿Está instando a mantener su tienda segura de muchos piratas informáticos en Internet y otras infracciones de seguridad? Este artículo en particular hablaría de manera integral sobre los métodos útiles para asegurar su tienda en línea Magento. ¡Manténganse al tanto!

La seguridad ha sido la principal preocupación para todos los propietarios de negocios en línea de una tienda en línea, ya que los sitios web de comercio electrónico son un objetivo fácil para los piratas informáticos avanzados debido a la disponibilidad de información personal y de pago. Por lo tanto, asegurar su tienda Magento de comercio electrónico y convertirla en una plataforma protegida se vuelve fundamental para ganar la confianza de los usuarios.

Magento tiene un gran impacto en la industria en línea debido a sus valiosas funciones y actualizaciones diarias. Es un CMS (Sistema de gestión de contenido) ampliamente adoptado para sitios web comerciales porque está bien equipado con funciones de seguridad preinstaladas. La comunidad de Magento dice que hay más de 250 000 comerciantes en todo el mundo que utilizan Magento como plataforma de negocios.

Suponga que está buscando comenzar un negocio en línea. En ese caso, siempre debe optar por la solución Magento para su tienda de comercio electrónico para mejorar la experiencia de compra de los usuarios y, por lo tanto, maximizar sus ingresos.

¡Detecta si tu sitio Magento está pirateado!

Las formas que le explicaremos aquí son bastante simples de seguir y recuperarán su sitio del hackeo lo más rápido posible. Sin embargo, aún le sugerimos que se asegure de que su sitio Magento no tenga ningún mal funcionamiento y sea pirateado.

Algunas aplicaciones te ayudan mucho en este asunto.

Magento Security Scanner para encontrar malware y vulnerabilidades

El informe de seguridad más reciente de Astra muestra que el sesenta y dos por ciento del sitio de Magento tiene al menos una vulnerabilidad .

¿Cómo se asegura de que su tienda Magento no exponga ningún riesgo de seguridad en línea?

Una de las cosas esenciales que debe hacer es implementar consejos de refuerzo para protegerse de cualquier amenaza en línea y utilizar WAF basado en la nube. Sin embargo, ¿qué sucede si desea ver la postura de seguridad de su tienda de comercio electrónico? ¿Cómo sabrá si eso no contiene una falla de seguridad?

Es por eso que requiere un escáner de seguridad para ejecutar todo tipo de pruebas bajo demanda y programarlas. Los siguientes son los escáneres populares que puede utilizar para ejecutar en su sitio web de Magento.

MagoReportar

MageReport es uno de los mejores escáneres para verificar el sitio de Magento en busca de vulnerabilidades de seguridad conocidas sin costo alguno. Sí, es verdad. Es completamente GRATIS , incluyendo lo siguiente.

• Divulgación del administrador
• Parche de seguridad 6482, 9652, 6788, 7405
• Vulnerabilidad RCE/formularios web
• API expuesta
• Visite software malicioso
• Ataques de fuerza bruta
• GurungJavascript
• Secuestro de datos
• Y mucho más…

MageReport no solo verifica el núcleo de Magento; sin embargo, también hay algunas extensiones disponibles de terceros para cualquier vulnerabilidad. Puede registrarse en MageReport para recibir notificaciones sobre una nueva vulnerabilidad encontrada cada vez que interactúa dentro de su lado de administrador.

Foregenix

Prueba de escaneo externo de The Foregenix y ofrece un informe de alto nivel de los siguientes puntos.

• mami
• Robo de tiendas Magento
• Versión desactualizada
• Programa malicioso Cloud Harvester
• Control de versiones sin protección
• secuestro de tarjeta de crédito
• XSS, ataque RSS
• Adquisición/divulgación del administrador
• Fuga de secretos

El informe se muestra en pantalla y también se envía a su dirección de correo electrónico en formato PDF.

Probador de parches de seguridad

Patch Tester está especialmente desarrollado para ayudar si su tienda en línea es vulnerable al último riesgo de seguridad.

Si está buscando verificar el parche de seguridad, será una herramienta rápida y útil.

SUCURI

SUCURI no es particularmente para Magento; sin embargo, SUCURI ayudaría a probar el sitio para muchos componentes. Útil para analizar rápidamente su sitio web frente a las principales amenazas en línea.

• Lista negra
• Malware
• Desfiguraciones
• SPAM inyectado

Escaneo de mago

Mage Scan no es un escáner en línea; en su lugar, debe instalarlo en el servidor. Si desea probar el sitio web de la intranet Magento , entonces Mage Scan podría ser la mejor opción para usted.

Análisis de seguridad de Magento

Una herramienta de escaneo para la seguridad de Magento Commerce. Debe crear una cuenta (es completamente GRATIS) y verificar la propiedad del sitio web antes de ejecutar el escaneo. Lo mejor es que puede programar la ejecución de escaneos regulares o semanales y recibir el informe adecuado en su dirección de correo electrónico.

Acunetix

Un escáner de vulnerabilidades basado en la web y listo para la empresa que no ralentiza el sitio web mientras se ejecuta un escaneo. Acunetix proporciona un análisis de seguridad integral que no solo cubre Magento principalmente, sino en general todo lo relacionado con el sitio web.

Los resultados del escaneo incluyen una posible resolución que ayuda a los expertos en seguridad y programadores a solucionar los problemas rápidamente. Puede rastrearlos en su rastreador de errores favorito como GitHub, Jira, Bugzilla, etc.

Si necesita propietarios de negocios u oficiales de cumplimiento, puede producir los 10 informes principales de HIPAA, PCI, OWASP y DSS.

Consejos de seguridad de las tiendas Magento

El peligro más considerable del ataque de los piratas informáticos es que casi no podría revelarlos hasta que sea demasiado tarde. Por lo tanto, debemos cuidar la seguridad del sitio web con anticipación y verificar diariamente su salud.

Usa solo la última versión de Magento

Muchos usuarios de Magento piensan que actualizar la última versión de Magento no es un movimiento seguro; por lo tanto, se abstienen de actualizar sus antiguos sitios web de Magento. Esto no es cierto; de hecho, los programadores siempre pasan por una depuración estricta y pruebas meticulosas y verifican los problemas de los parches de seguridad en la última versión lanzada para proporcionar una versión libre de errores de The Magento.

Por lo tanto, actualizar su sitio web de Magento a la última versión de Magento es necesario y recomendable. Puede aprovechar varias ventajas al actualizar, como ignorar el tiempo de inactividad innecesario, evitar la piratería en su sitio web de comercio electrónico, actualizaciones esenciales, nuevas funcionalidades, corrección de errores y mucho más.

URL de administración única y personalizada

Los piratas informáticos podrían ingresar fácilmente por fuerza bruta a la página de inicio de sesión de Magento del administrador. Si accedería a través de www.xyz123.com/admin. Por lo tanto, para evitar que su sitio web en línea sea atacado por piratas informáticos y usuarios a los que les gusta enviar spam a su sitio web, siempre debe buscar crear una URL de administración única y personalizada, que es difícil de atravesar para los piratas informáticos.

Agregar una clave secreta a la URL que solo está permitida para aquellos elegibles para acceder al panel de administración es un consejo recomendable para mejorar la seguridad de su tienda Magento.

Usar autenticación de dos factores

Crear una contraseña segura para su sitio web de comercio electrónico basado en Magento no es suficiente. Esa es la razón por la que muchos propietarios de tiendas en línea ahora optan por 2FA (autenticación de dos factores) para evitar amenazas en línea para su sitio web de comercio electrónico.

Dicho esto, Magento proporciona una extensión confiable de autenticación de dos factores, que ayuda a los propietarios de tiendas en línea a actualizar su seguridad de inicio de sesión de administrador de Magento y los mantiene libres de estrés por los riesgos de seguridad relacionados con las contraseñas.

Utilice una conexión cifrada (HTTPS/SSL)

Siempre existe el riesgo de obtener datos cada vez que envía datos, como las credenciales de inicio de sesión en una conexión no cifrada. Por lo tanto, utilizar una conexión segura se vuelve crucial para las tiendas Magento.

Tener una URL SSL/HTTPS segura es el elemento más crítico que hace que su sitio web de Magento sea compatible con PCI. De esta manera, podría crear una experiencia de compra segura para sus usuarios y ganar su preciada confianza.

No establezca los permisos de archivo en 777

Magento sugiere no mantener ningún permiso de archivo 777 para archivos y permite cambiarlos tan pronto como complete la reescritura.

Utilice FTP seguro

Las intercepciones de contraseñas FTP son las formas más comunes de ser pirateado. Puede eliminar esta vulnerabilidad utilizando SSH File Protocols (SFTP), que requiere el envío de archivos privados solo para el acceso y ofrece cifrado adicional de las credenciales.

Realizar copias de seguridad diarias de Magento

Las copias de seguridad diarias se encuentran entre las formas más eficientes de disminuir el riesgo de ataques y una forma efectiva de recuperación.

Deshabilitar la indexación de directorios

Para ocultar los archivos principales de Magento del hacker, puede deshabilitar la indexación de directorios y su seguridad se vuelve más fuerte.

Nunca reutilice la contraseña de Magento en ningún otro lugar

Esta declaración está completamente dedicada a todas las contraseñas esenciales que utiliza, y las contraseñas de Magento no son una excepción. Utilice las contraseñas de Magento solo para el panel de administración, no en ningún otro lugar.

Seleccione contraseñas seguras

Las contraseñas fuertes y altamente seguras lo hacen sentir protegido acerca de los datos de ventas e información de los usuarios. Sería útil si utilizara contraseñas lo suficientemente largas con letras mayúsculas y minúsculas, caracteres especiales y números.

Elimine lagunas en el correo electrónico

En la medida en que Magento ofrece la función de recuperación de contraseñas, asegúrese de que su correo electrónico no sea conocido y mantenga sus contraseñas completamente seguras, al igual que las contraseñas de Magento.

Comprueba la seguridad de Magento diariamente

La verificación de seguridad diaria de Magento lo mantendrá informado y tranquilo sobre el estado de las tiendas en línea. Para este propósito, puede utilizar las extensiones de Magento o contratar a cualquier empresa de auditoría.

Otorgar acceso de administrador solo a direcciones IP aprobadas

Si ingresa al área de administración desde una extracción definitiva de las direcciones IP , puede restringir el acceso de otras dentro del archivo .httpaccess. Para definir una extracción de direcciones o ciertas direcciones IP allí y mejorar la seguridad general.

Mantener actualizado el software antivirus

Actualizado, tu software antivirus cumple una tarea fundamental dentro de la política de seguridad. Los productos comerciales generalmente brindan una protección sólida contra virus y troyanos, y es mejor pagar por sus productos y servicios que sufrir pérdidas de datos.

No guardes las contraseñas dentro de tu navegador

Guardar contraseñas dentro de su navegador puede ser conveniente, sin embargo, no es sabio. Aquellos que tienen acceso a la computadora pueden leer fácilmente el nombre de usuario y la contraseña y utilizarlos.

Utilice las ventajas de la comunidad de Magento

Dado que Magento tiene una enorme comunidad de desarrolladores y usuarios, puede utilizar múltiples guías, tutoriales, hilos de foros y algunos buenos consejos para mantener su tienda segura.

Tenga en cuenta de dónde proviene su navegador

Su navegador es el mediador central entre la Web y usted. Almacena sus cookies, contraseñas y URL, asegurándose de que utiliza uno verificado de un proveedor confiable. O de lo contrario, todos los esfuerzos de seguridad son inútiles.

Evitar la inyección de MySQL

Cuando los piratas logran violar la base de datos MySQL. Pueden acceder tranquilamente a toda la información de su tienda, anular transacciones, estropear los datos de los clientes y mucho más. Para eliminar esto, Magento ofrece soporte confiable para derrotar todos los ataques de inyección de MySQL con la versión y los parches más nuevos. Se recomienda agregar un potente firewall de aplicaciones web para mantener su sitio web de comercio electrónico bien protegido.

Elija el alojamiento Magento correcto

Durante bastante tiempo, aquellos que utilizan el negocio en línea ahora saben que el alojamiento compartido no es una opción segura para ningún negocio de comercio electrónico, y el comercio electrónico no es una excepción. Por lo tanto, la plataforma de alojamiento administrado es la opción correcta para usted si no desea comprometer la seguridad de su comercio electrónico Magento. Además de eso, el alojamiento administrado cubre todo el parcheo y la seguridad del servidor y garantiza una sólida seguridad de Magento.

Potente plan de respaldo

Un plan de respaldo es necesariamente muchos consejos en términos de privacidad y seguridad. Si el sitio web es pirateado o se supone que falla por algún motivo, un plan de respaldo siempre se asegurará de que no tenga interrupciones relacionadas con los servicios. Al almacenar los archivos de copia de seguridad de su sitio web, podría evitar fácilmente la pérdida de datos.

Magento 2 contrarresta esto porque tiene un conjunto de permisos del sistema de archivos que realizan todas las comprobaciones automáticas al desempeñar una función particular en la plataforma. Aparte de eso, siempre debe practicar la utilización de copias de seguridad del disco duro y almacenamiento basado en la nube para evitar interrupciones.

La mejor solución posible de un sitio de Magento

Las tiendas en línea de Magento se piratean con éxito no de manera obligatoria debido a las medidas de seguridad inadecuadas de Magento en lugar de las medidas de seguridad insuficientes de todo el entorno. En otras palabras, no siempre es Magento el culpable.

Si algún segmento de su sistema o servidor abre la ventana a un pirata informático, entonces Magento también se vuelve vulnerable. Es esencial monitorear y actualizar Magento y toda la pila del servidor, también conocido como LEMP (Linux, MySQL, NGINX, PHP) o LAMP (Linux, MySQL, Apache, PHP).

Hablaremos de las medidas de seguridad de Magento más adelante al final del artículo.

Mi sitio web de Magento fue pirateado. ¿Qué debo hacer para recuperarme?

Paso 1. Asegúrate de que el hack esté ahí

Cuando un pirata informático ataca su sitio web, adquiere todos los derechos del componente o sistema que piratea. Por ejemplo, supongamos que él/ella ingresa a su sistema usando NGINX; solo tendrán acceso a www-data, que no es un usuario privilegiado. Un hacker inteligente siempre intentaría permanecer dentro del sistema por todos los medios. Buscarían vulnerabilidades más fáciles y locales para explorar a qué tipo de datos pueden acceder y cómo pueden aumentar sus derechos y privilegios.

Su objetivo final es el directorio raíz del servidor. Una vez que obtengan el privilegio de raíz, existe el riesgo de que no sea capaz de detectar todos los cambios que los piratas informáticos podrían realizar en el sistema que aún influirán en su capacidad de rendimiento. Los piratas informáticos podrían ocultar todos sus rastros para que ni siquiera puedas sacarlos.

Para saber hasta dónde podrían llegar los piratas informáticos, debe realizar un análisis exhaustivo y adecuado de cada actividad y cambio realizado en el entorno. Esta operación lleva tiempo. El tiempo que no puedes perder.

Por lo tanto, debe comprender si su tienda en línea Magento fue pirateada de inmediato y debe tomar medidas para evitar consecuencias desfavorables.

Signos de pirateo de Magento:

• Quejas de los clientes sobre la actividad de las tarjetas de crédito.
• Advertencias de la lista negra.
• Comportamiento aberrante de la página de Magento.
• Las actividades maliciosas son reportadas por el proveedor de hosting.
• Las palabras clave de spam aparecen en el sitio.
• Modificaciones desconocidas en carpetas o archivos.
• Modificaciones dentro del núcleo de Magento.
• Carga inusual en el servidor.
• Sesiones y usuarios administradores desconocidos.

Paso 2. Decidir: no al tiempo de inactividad o al tiempo de inactividad

Una vez que haya notado algo de la lista anterior dentro de su sitio web de Magento, no dude en ponerse en contacto con una empresa de desarrollo de Magento o con el administrador de su sistema. Analizarán rápidamente su sitio web y le dirán qué está pasando y cuál es la solución.

A partir de ahí, tendrá que tomar una decisión esencial: poner su sitio web en modo de inactividad o no.

El tiempo de inactividad es la duración mientras su sitio web no estará disponible para todos los usuarios. Apaga el servidor de la red y la tienda no realizará ninguna actividad. Sus usuarios no podrán realizar pagos y pedidos. Un pirata informático tampoco sería capaz de tomar un control remoto de su sitio web y causarle algún daño.

Suponga que su tienda opera cientos de pedidos por hora. Un tiempo de inactividad de varias horas conduciría a una considerable pérdida de beneficios. Entonces podrías intentar arreglar todo sobre la marcha.

Pero si puede permitirse un tiempo de inactividad de varias horas, le sugerimos que apague el servidor de la red.

Paso 3. Configure una instalación de Magento limpia y segura

Entonces, tienes tu servidor deshabilitado.

Ahora necesita reinstalar Magento en el nuevo servidor utilizando la versión limpia y más reciente.

Este es el método más seguro para asegurarse de que su tienda no sufra el mismo ataque de piratas informáticos y la forma más rápida de volver a poner el negocio en línea para que no pierda ganancias.

Sugerimos instalar una versión de Magento no desde la copia de seguridad sino la que está almacenada dentro del repositorio de git.

¿Por qué utilizar la versión Magento del repositorio git?

Cuando crea una tienda Magento, utiliza un servidor local. Su backend y frontend no son accesibles para nadie, excepto su equipo: evaluadores, administradores, desarrolladores, etc. La última versión de la tienda se descarga del repositorio de git. A partir de ahí, va a un sitio web en vivo.

Esto significa que la última versión almacenada dentro del repositorio de git está absolutamente limpia en un 99,99 %. Incluso si tiene la misma vulnerabilidad, puede estar seguro de que una tercera persona aún no ha accedido. Tendrá tiempo para eliminar esa vulnerabilidad cuando inicie la tienda. Sin embargo, si está instalando la versión de Magento desde la copia de seguridad, existe el riesgo de que el script malicioso de un pirata informático ya esté allí.

Paso 4. Instale todo el software y los parches necesarios.

Una vez que tenga un nuevo servidor con una instalación limpia de Magento, asegúrese de que todas las actualizaciones de software y los parches de seguridad de Magento también estén instalados.

Un parche es un paquete de archivos centrales modificados que corrige problemas de seguridad o vulnerabilidad detectados en Magento.

Existe una herramienta fantástica, MageReport.com, que le permite verificar de inmediato si se han instalado todos los parches críticos y qué problemas de seguridad fundamentales tiene su sitio web.

Paso 5. Configure la nueva base de datos.

Cuando tenga una configuración de Magento limpia y más reciente, configure la versión más reciente de la base de datos del cliente desde su copia de seguridad. Esta base de datos contiene todas las transacciones más recientes y todos los pedidos recientes realizados en la tienda de comercio electrónico. Con esto, podría restaurar su negocio en línea desde el momento en que apagó el servidor.

Momento importante.

Si la tienda Magento fue pirateada, debe informar a todos sus usuarios al respecto, independientemente de la información de los usuarios que almacene. Sin embargo, en la práctica, difícilmente hay un dueño de una tienda que se sienta ansioso por la idea de perder la confianza de sus usuarios. Eso es por lo menos.

Si realiza pagos dentro de la tienda Magento mediante pasarelas de pago seguras, un pirata informático no podrá acceder a las credenciales de la tarjeta de crédito de sus usuarios. Todas las pasarelas de pago famosas como Amazon Payments o PayPal proporcionan encriptación avanzada. Si está almacenando los datos de pago de cualquier cliente dentro de su base de datos, es imprescindible informar a sus usuarios sobre un ataque y solicitarles que vigilen sus transacciones con tarjeta de crédito.

Paso 6. Analizar y monitorear

Configuró la base de datos y configuró su tienda nuevamente en línea. Podría aceptar pagos y sentirse seguro de que el hacker se queda fuera del sistema.

Ahora tiene tiempo para analizar qué condujo a un ataque exitoso y eliminar todas esas vulnerabilidades.

Las vulnerabilidades típicas de Magento

• Vulnerabilidad del servidor abierto en el "directorio de carga de imágenes"
• Contraseñas débiles dentro del panel de administración o FTP (p. ej., "nombre_empresa", "admin", "11111", etc.)
• Versión obsoleta del sistema de administración de contenido o instalación de Magento
• Servidor web inseguro
• Extensiones o complementos con errores

Si el hack provoca algún comportamiento inusual en el sitio de Magento, lo notará rápidamente.

Pero no todos los ataques conducen al aparente cambio en el comportamiento de Magento. Tu tienda podría funcionar de la manera habitual y podrías pensar que todo está bien incluso cuando se ha producido un ataque. Por lo tanto, debe observar el nuevo comportamiento del servidor para rastrear todos los inicios de sesión desconocidos, si hay una actividad desconocida en los registros, si hay una actividad similar que conduce a la piratería.