¿Tu herramienta de copias de seguridad es una puerta abierta para los hackers?

Imagina que tienes una clínica dental. Cuentas con una web profesional donde tus pacientes reservan citas y encuentran tu dirección. Para asegurarte de que nunca perderás tus datos, instalas una herramienta de copias de seguridad de confianza. Es el equivalente digital a una caja fuerte ignífuga: la usas específicamente para proteger tu negocio ante cualquier desastre.

Pero, ¿qué pasa cuando la empresa que fabricó la caja fuerte deja, por descuido, una llave maestra debajo del felpudo para que la encuentre un ladrón?

Esta es la incómoda realidad a la que se enfrentan muchos dueños de negocios esta semana. TeamUpdraft, la empresa detrás de herramientas de backup muy populares para WordPress como UpdraftPlus, ha informado de una brecha de seguridad. La ironía es evidente: la misma herramienta diseñada para salvar tu web de un fallo o de un ataque puede haberse convertido en la puerta de entrada para los hackers.

El peligro de las “puertas traseras” en WordPress

Según TeamUpdraft, los atacantes lograron robar datos de clientes y claves de cifrado (los códigos digitales que se usan para bloquear y desbloquear tu información).

Para quien gestiona un negocio, la mayor preocupación aquí es la “puerta trasera” (o backdoor). En términos de seguridad, una puerta trasera es una vía secreta que permite saltarse las contraseñas y los controles de seguridad habituales para entrar en un sistema. Como las herramientas de backup necesitan un acceso de nivel alto para copiar cada archivo y entrada de la base de datos, poseen, básicamente, las llaves del reino.

Si un atacante roba esas llaves al proveedor, no necesita adivinar tu contraseña; puede entrar por la puerta principal como si fuera el dueño del sitio.

Cómo detectar y eliminar accesos ocultos en tu web

Si utilizas productos de TeamUpdraft, no puedes asumir que tu web está a salvo solo por tener una copia de seguridad. Tienes que tomar medidas activas para echar a cualquier intruso y cerrar la puerta con llave.

Dependiendo de la herramienta que uses, los pasos varían. Aquí tienes una lista práctica:

Si tienes una cuenta en teamupdraft.com:

• Cambia tu contraseña. Es la primera línea de defensa.
• Restablece la autenticación de dos factores (2FA). Si usas ese paso extra de seguridad (como un código que llega al móvil), restablecerlo en los ajustes de tu cuenta para asegurarte de que los atacantes no hayan secuestrado el proceso.

Si usas el servicio en la nube UpdraftCentral:

• Desconecta el enlace. Entra en el panel de control de WordPress de cada web que gestiones y elimina la clave de conexión. Esto corta el vínculo que los atacantes podrían usar para enviar órdenes maliciosas a tu sitio.
• Audita tus usuarios. Revisa la lista de cuentas de administrador. Si ves un nombre o un correo electrónico que no reconoces, bórralo inmediatamente.
• Revisa tus plugins. Busca cualquier complemento que no hayas instalado tú y elimínalo.
• Actualiza todas las contraseñas. Cambia las claves de todas y cada una de las cuentas de administrador de tu web.

Si usas UpdraftVault:

• Vuelve a conectar tu sitio. TeamUpdraft ya ha desconectado estas cuentas por seguridad, lo que significa que tus copias de seguridad han dejado de funcionar. Inicia sesión y reconéctalas, pero hazlo solo después de haber cambiado la contraseña de tu cuenta.

Si encuentras algo sospechoso —como un nuevo administrador que tú no has creado—, lo más seguro es restaurar tu sitio web desde una copia de seguridad realizada antes del 17 de octubre.

La lección principal: El riesgo del proveedor

Este incidente pone de relieve un concepto llamado “riesgo del proveedor”. Como dueño de un negocio, no montas tus propios servidores ni escribes tu propio software de backup; confías en que otras empresas lo hagan por ti. Es eficiente, pero crea una dependencia.

Cuando le das a un plugin o a un servicio acceso de “administrador” a tu web, estás extendiendo tu confianza al equipo de seguridad de esa empresa. Si su oficina sufre una brecha, tu web, en la práctica, también la sufre.

Para proteger tu negocio a largo plazo, conviene hacer una auditoría de las “llaves del reino”. Pregúntate:

1. ¿Qué herramientas tienen acceso total a mi web o a los datos de mis clientes?
2. Si esta empresa fuera hackeada mañana, ¿qué sería lo peor que podría pasarle a mi negocio?
3. ¿Tengo alguna forma de recuperar mi sitio que no dependa de un único proveedor externo?

El objetivo no es dejar de usar herramientas útiles, sino ser conscientes de que ningún proveedor es 100% seguro.

Preguntas frecuentes

¿Tengo que hacer algo si uso la versión gratuita de UpdraftPlus sin cuenta? Según el proveedor, si usas la versión gratuita y nunca has creado una cuenta en teamupdraft.com, no te afecta esta brecha específica. Aun así, siempre es un buen hábito mantener los plugins actualizados.

¿Por qué el proveedor del plugin no puede arreglarlo automáticamente? Aunque pueden cerrar el agujero en su propio sistema, no siempre pueden entrar en tu web privada para borrar una cuenta de administrador intrusa o cambiar tus contraseñas personales. Por razones de seguridad y privacidad, algunos de estos pasos de limpieza deben hacerlos el dueño del sitio.

¿Es WordPress inseguro por naturaleza? No. WordPress es una plataforma que usan millones de personas. El riesgo aquí no es la plataforma, sino los “complementos” (plugins) de terceros que se le añaden. Es como tener una casa muy segura, pero instalar una cerradura de una empresa que pierde sus llaves maestras.

Asegúrate de que tu web esté realmente limpia

Seguir una lista de comprobación es un gran comienzo, pero puede ser estresante para un dueño de negocio que no es experto en tecnología. Es fácil pasar por alto una cuenta de administrador oculta o un pequeño fragmento de código malicioso escondido en una carpeta donde nadie pensaría mirar.

Si te preocupa que tu sitio siga comprometido, o si simplemente quieres la tranquilidad de saber que la puerta trasera está cerrada de verdad, podemos ayudarte. Realizamos auditorías de seguridad profesionales y servicios de protección para verificar la integridad de tu web, eliminar cualquier amenaza residual y reforzar tus defensas contra futuros riesgos de proveedores.

Si prefieres que un profesional revise tu trabajo y se asegure de que tu negocio está protegido, no dudes en ponerte en contacto con nosotros en /es/contact.

---

Fuentes:

• WordPress-sites lopen risico op backdoor door hack bij plug-inmaker TeamUpdraft
• Popular WordPress SEO Plugin Rank Math PRO Hijacked to Deliver Self-Restoring Backdoor
• Attackers Tampered with AOMEI Backupper’s Update Servers for Minutes to Deliver a Backdoor