Riesgo de phishing en blogs wordpress
Hace un rato recibí un mail automático, de mi propio blog, de esos que te avisan que tenés un Nuevo Comentario en tu blog, lo abrí, casi sin leerlo hice click en el link que me lleva a la página de moderación para aprobarlo o marcarlo como spam y me mandó a esta página:
Los que tengan un blog en wordpress seguramente la reconocerán. Es wp-login.php la página que te pide tu usuario y contraseña para entrar a la administración del sitio.
Sin prestar tampoco mucha atención, y de manera mecánica, hice click en Acceder y entré en mi blog a aprobar el comentario. Y ahí fue cuando me di cuenta de que sería extremadamente fácil hacer phishing de esta página en particular.
Para el que no lo sepa, el phishing es una técnica de hacking en la que te hacen entrar en una página falsa, idéntica a la de tu banco o tu email, te piden que ingreses tus datos y luevo te mandan a la página real, y vos nunca te diste cuenta.
El problema es que esta página en particular, wp-login.php es demasiado simple y genérica. Lo malo de ser genérica es que es la misma idéntica página en todos los blogs que usan wordpress, por lo que fácilmente podríamos ser engañados y entrar en una página visualmente igual a esta y poner nuestro usuario y contraseña, no hay nada que nos muestre que estamos entrando en nuestro login y no en otro. Y lo malo de ser tan simple es que lo hace muy fácil de imitar y hacer phishing.Generalmente las páginas de login tienen muchas formas de ser seguras y difíciles de imitar, justamente por esto. Además, esto no sólo funciona en blogs que usan el código de wordpress en sus propios hostings y dominios, sino que también aplica a todos los blogs.wordpress.com (imaginen el desastre que podría alguien malintencionado causar con esto).
Fácilmente podría alguien crear un sitio falso imitando la página wp-login.php, enviarnos un mail que imite un aviso de comentario nuevo, o alguno de los otros mails de aviso que wordpress suele mandar, engañarnos para que entremos, pedirnos nuestro usuario y contraseña (incluso podrían imitar el autocompletado) y guardarlo, luego redirigirnos a nuestro propio blog, evitando que sospechemos que algo raro acaba de ocurrir. Piénsenlo: ¿Estás seguro que la última vez que entraste a tu blog y pusiste tu usuario y contraseña, era realmente tu blog?
¿Cómo prevenirlo?
Para empezar, creo que deberíamos escribirle a los muchachos de wordpress, y pedirles que cambien esto. Que sea obligatorio que esta página muestre características distintivas de cada blog (como el logo, tipo de letra, fondo, etc) para diferenciarlo y hacerlo más seguro. Y que esto no dependa de si está implementado en el theme que usamos o no. Incluso podría haber una página en la configuración donde modificar el logo y algún otro parámetro para personalizarlo.
Pero mientras tanto, podemos hacer un par de sencillas modificaciones, para que esta página se parezca más al resto de nuestro blog. Creo que con cambiar la imagen del logo es suficiente, pero también podemos cambiar otras cosas, tipo de letra, que apunte a tu home en vez de a wordpress.org, fondo, etc. Podríamos hacer los cambios directamente en el archivo wp-login.php que se encuentra en la carpeta principal de nuestro blog, o reemplazando el archivo logo-login.gif que se encuentra en /wp-admin/images pero para evitar que futuras actualizaciones de wordpress deshagan los cambios, debemos utilizar el archivo functions.php que se encuentra en la carpeta de nuestro theme (y que sirve para este tipo de cosas). En este caso, la nueva imagen de logo la tienen que subir a la carpeta /images del theme que estén usando, no a /wp-admin/images.
Estas dos funciones harán el truco, la primera reemplaza la imagen por logo.png creada por nosotros. La segunda cambia la dirección a la que apunta el logo, para que en vez de apuntar a wordpress.org apunte a nuestra página de inicio.
También tenemos plugins que hacen este trabajo por nosotros, como Custom Login y My Brand Login. Pero honestamente no sé cómo funcionan, si cambiando el css, agregando funciones o reemplazando la página de login por otra de su propia autoría.
Bueno, como siempre, espero sus comentarios. Y si tienen amigos bloggers, no duden en compartir con ellos este post. Qué opinan? Es un caso tan obvio de peligro de phishing como yo lo veo o ustedes creen que no caerían en algo así? Debemos avisar a los demás?
Posts relacionados:
- 5 reemplazos de Google Reader que todavía nadie te recomendó
- ¿Qué le cambiarías a Gmail?
- ¿Dónde descargo libros de ciencia ficción? #askn3ri
- WordPress: Redirigir errores 404 luego de cambiar Enlaces Permanentes
- 15 cosas que no pueden faltar en un blog