Ataques a tiendas WooCommerce por plugins de terceros: cómo revisar hoy la tienda en línea de tu empresa

Este 15 de septiembre BleepingComputer reportó una campaña activa contra sitios WordPress que entra por un plugin de terceros para WooCommerce. No es un aviso teórico: hay gente buscando tiendas con ese plugin ahora mismo.

Si tu empresa vende en línea con WordPress, esto te toca. Y si el sitio lo administra el sobrino que sabe de computadoras o una agencia que ya no contesta, te toca doble.

Por qué los plugins son la puerta más común

WordPress es el motor y WooCommerce la caja registradora. Un plugin es un pedazo de código que alguien más escribió para agregar una función: el envío por paquetería, el pago con tarjeta, la galería bonita del producto.

Cada plugin es una puerta más a tu tienda, y cada puerta la mantiene una persona distinta. En nuestra experiencia, la tienda típica de una pyme trae más plugins de los que nadie recuerda haber instalado.

Los atacantes no adivinan tu contraseña. Buscan en internet tiendas que usan un plugin con una falla conocida y entran por ahí, en automático, a miles de sitios a la vez. Así funciona la campaña de esta semana.

Haz inventario de plugins hoy

Entra a tu WordPress, ve a Plugins y tómate un rato. Ordénalos en tres montones:

Montón	Qué es	Qué hacer
Activos y al día	Los usas y tienen actualización reciente	Actualizar y dejar
Activos sin actualizar	Tienen actualización pendiente o el autor no publica nada desde hace más de un año	Actualizar o buscar reemplazo
Inactivos	Instalados pero apagados	Borrar, no solo desactivar

Un plugin desactivado sigue siendo código en tu servidor. Si tiene una falla, en algunos casos se explota de todos modos. Bórralo.

Revisa también la fecha de la última versión del autor. Un plugin que lleva años sin cambios está abandonado, aunque siga funcionando.

Señales de que ya te entraron

A veces la tienda sigue operando y nadie nota nada. Esto es lo que sí se ve si uno lo busca:

• Redirecciones raras. Entras desde el celular o desde Google y te manda a una página de apuestas.
• Pedidos que no cuadran. Compras de un peso, cientos de pedidos fallidos en una noche, correos de clientes sin sentido.
• Administradores nuevos. Ve a Usuarios, filtra por Administrador y pregunta quién es cada uno.
• Archivos modificados hoy en carpetas que nadie toca.
• Clientes que reportan cargos no reconocidos después de comprarte.

La última es la peor. Se llama skimmer de tarjeta: un código escondido en la página de pago que copia el número mientras el cliente lo teclea y lo manda a otro servidor. La compra se completa normal, así que nadie se entera hasta que llama el banco.

Qué hacer si ya pasó

Primero, no borres nada por pánico. Saca una copia del sitio tal como está, para que quien lo limpie pueda ver por dónde entraron.

Luego, en este orden:

1. Cambia las contraseñas de WordPress, del hosting, de la base de datos y del FTP.
2. Quita el plugin afectado y los administradores que no reconoces.
3. Restaura desde un respaldo anterior al ataque, o limpia archivo por archivo si no lo tienes.
4. Actualiza todo y activa la verificación en dos pasos para los administradores.
5. Si hubo skimmer, avisa a tu procesador de pagos y a tus clientes. Es incómodo, pero es peor que se enteren por el banco.

Lo que evita todo esto

Nada de esto es sofisticado. Es mantenimiento. El problema es que en una pyme nadie lo tiene como responsabilidad y la tienda se queda congelada hasta que alguien la rompe.

Por eso el mantenimiento de sitios va dentro de nuestra póliza de soporte TI: actualizaciones mensuales con respaldo previo, revisión de plugins, hardening de WordPress (quitar lo que sobra, limitar intentos de acceso, firewall de aplicación) y monitoreo que avisa si la tienda cambia o se cae.

Tu tienda vende mientras duermes. Ya lo contamos en tu sitio web es tu mejor vendedor. Un vendedor así merece que alguien lo cuide.

Hablemos

¿Y en tu tienda?

Si no sabes cuántos plugins tiene, cuándo se actualizó por última vez o dónde está el respaldo, ya tienes por dónde empezar.

En ProcessBi hacemos un diagnóstico sin costo de tu tienda WordPress: inventario de plugins, versiones, respaldos y señales de compromiso. Con factura CFDI y sin compromiso.

Pide tu diagnóstico — respondemos el mismo día hábil.