API del webservice robada y cookies de sesión en PrestaShop

En septiembre de 2026, un compañero de la comunidad detectó una intrusión en una tienda PrestaShop 9.1 cinco minutos después de producirse. Otro miembro del grupo había visto exactamente el mismo patrón en otra tienda. Lo contamos porque ninguno de los pasos del atacante necesitó una vulnerabilidad de PrestaShop. Le bastó con lo que la propia tienda le dejaba hacer.

Cómo entró

1. Un viernes hizo las primeras pruebas de acceso.
2. Tenía una clave del webservice con permiso para modificar empleados. Con ella cambió la contraseña de un empleado.
3. El sábado, contando con que nadie mirase, entró en el back-office, instaló un módulo y volvió a usar la API para reactivar al usuario que se le había desactivado.

La tienda tenía diez claves de API distintas y más de cinco colaboradores con acceso al back-office. Cuantas más puertas hay, más difícil es saber por cuál han entrado: una clave usada por una herramienta externa, un equipo infectado de un colaborador o una URL de administración que circulaba de más.

Lo que hay que revisar hoy

Claves del webservice (Parámetros avanzados → Webservice)

• Borra las claves que nadie sepa para qué sirven.
• Da a cada clave solo los recursos que necesita. Casi ninguna herramienta
• Si una clave ha salido de tu control, regenerala, no basta con desactivarla un rato.

Empleados (Parámetros avanzados → Equipo)

• Revisa que todos sean personas que conoces y quita los perfiles que no se usan.
• Cada colaborador, con su usuario y el perfil mínimo; nada de cuentas compartidas.

El back-office

• Si sospechas que la URL de administración se ha filtrado, **cambia el nombre
• Limita el acceso al back-office por IP cuando el equipo trabaja desde
• Pon un aviso que salte al instalar un módulo o crear un empleado. En este

El otro camino: el ordenador de quien administra la tienda

En las revisiones de seguridad de esas mismas semanas aparecieron varios casos de robo de cookies de sesión en equipos de clientes. Un tipo de virus (los llamados infostealers) copia del navegador las contraseñas guardadas y las cookies de sesión. Con eso, alguien puede entrar en tu correo, tu banco o tu tienda sin conocer la contraseña y saltándose el código de verificación.

• Ten el antivirus al día y no lo desactives.
• Si sospechas que un equipo está infectado: límpialo primero y, desde otro equipo, cierra todas las sesiones, cambia las contraseñas y regenera las claves de API.
• Gustavo ofrece gratis LeakHunter Cookie Sentinel, un programa para Windows que avisa cuando algo intenta leer las contraseñas o cookies del navegador: github.com/ecomyseo/leakhunter-cookie-sentinel.

¿Quieres que revisemos la seguridad de tu tienda? En Rekire lo hacemos dentro de nuestros bonos de horas. → Contacto

Esto salió en @PrestashopEsp, la mayor comunidad PrestaShop de España en Telegram. Ver la conversación