Contraseñas de FTP y cPanel robadas: la entrada más frecuente a una tienda online

Después de limpiar una tienda, la pregunta siempre es la misma: ¿por dónde entraron? Y a veces la respuesta no está en ningún módulo vulnerable. Los registros web no muestran nada raro, no hay peticiones extrañas a ningún controlador, y sin embargo los ficheros han cambiado. El atacante no ha hackeado la tienda: ha entrado con una contraseña válida, por FTP o por el panel del hosting.

Es una de las vías de entrada más frecuentes y de las menos vigiladas, porque no depende del código de la tienda, sino de dónde están guardadas sus credenciales.

Cómo acaban las contraseñas en manos de otro

Infostealers en el ordenador de alguien

Un infostealer es un programa que, una vez en un equipo, recoge todo lo que encuentra útil: contraseñas guardadas en el navegador, cookies de sesión, y los perfiles de los clientes de FTP que guardan las conexiones con su contraseña. Lo empaqueta y lo envía. Esos paquetes se venden en lotes, y alguien los recorre probando qué accesos siguen funcionando.

Llega por caminos muy cotidianos: un programa pirata, un adjunto, una extensión del navegador, o un captcha falso que pide pegar un comando en el ordenador. No hace falta que el ordenador sea el del dueño: basta con el del diseñador, el de la agencia que hizo la tienda hace años o el del sobrino que ayudó un fin de semana.

Reutilización de contraseñas

La contraseña del FTP es la misma que la de otro servicio que sufrió una filtración. Los robots prueban automáticamente las combinaciones filtradas en otros sitios.

Credenciales compartidas por correo o mensajería

Datos de acceso enviados en un correo a un proveedor, que acaban en un buzón comprometido años después.

Cuentas que nadie recuerda

Cuentas de FTP creadas para un trabajo concreto que nunca se borraron, con contraseñas débiles porque «era temporal».

Lo que puede hacer alguien con tu FTP o tu panel

• Modificar cualquier fichero: añadir un skimmer al JavaScript del checkout, una puerta trasera en el núcleo, una redirección en el .htaccess.
• Leer la configuración de PrestaShop, que contiene la contraseña de la base de datos y la clave de cifrado de cookies.
• Desde el panel, además: acceder a la base de datos, crear cuentas de FTP nuevas, programar tareas cron, cambiar el DNS o redirigir el correo.

En otras palabras, el panel del hosting es una llave maestra. Protegerlo vale tanto como proteger el back-office.

Qué cambiar

Usa SFTP y deja el FTP sin cifrar

El FTP clásico envía usuario y contraseña en claro. Si tu hosting ofrece SFTP (por SSH) o FTPS, úsalo, y pide que desactiven el FTP plano si no lo necesitas. Mejor aún, si tu hosting lo permite, acceso por SSH con clave en lugar de contraseña.

Activa el doble factor en el panel

cPanel, Plesk y la mayoría de paneles de hosting permiten un segundo factor con una aplicación de autenticación. Con él, una contraseña robada no basta. Haz lo mismo con el back-office de PrestaShop y con el correo asociado a la cuenta del hosting, que es por donde se recupera todo lo demás.

Repasa las cuentas de FTP

• Borra las que no se usan. Si no sabes para qué sirve una, probablemente sobra.
• Una cuenta por persona o proveedor, con nombre que lo identifique, no una compartida.
• Limita cada cuenta a la carpeta que necesita.
• Si tu hosting lo permite, restringe el acceso por IP.

No guardes contraseñas en el cliente de FTP

Es cómodo, pero es exactamente lo que buscan los infostealers. Usa un gestor de contraseñas y cópiala cuando la necesites, o mejor, usa claves SSH protegidas con frase.

Contraseñas únicas y largas

Una por servicio, generada por el gestor. Ninguna compartida con el correo personal ni con otras tiendas.

Después de un incidente: la rotación completa

Si sospechas que han entrado con credenciales, cambiar solo la del FTP no basta. Desde un equipo limpio (si un ordenador está infectado, lo que teclees en él se vuelve a filtrar):

1. Revisa el equipo de quien tenía las credenciales guardadas. Si hay sospecha de infostealer, el equipo necesita limpieza o reinstalación antes de volver a usarlo para administrar la tienda.
2. Cambia la contraseña del panel del hosting y activa el segundo factor.
3. Cambia todas las cuentas de FTP y borra las sobrantes. Mira si hay alguna creada recientemente que no reconozcas.
4. Cambia la contraseña de la base de datos y actualízala en la configuración de PrestaShop.
5. Cambia las contraseñas de los empleados del back-office y revisa que no haya cuentas nuevas.
6. Revisa las tareas programadas del panel y las claves SSH autorizadas de la cuenta.
7. Cierra las sesiones abiertas en el panel y en el correo, porque las cookies robadas permiten entrar sin contraseña.
8. Limpia los ficheros modificados y deja la tienda con una línea base de integridad para detectar el siguiente cambio.

Y aprovecha el momento para lo que siempre queda pendiente: actualizar PrestaShop, PHP y los módulos. Una tienda al día no evita un robo de contraseñas, pero reduce lo que el atacante puede hacer una vez dentro y facilita detectar qué ha cambiado.

Cómo resolverlo en PrestaShop

Ningún módulo impide que alguien entre con una contraseña válida, pero sí puede avisarte en cuanto toca algo. RKR Security Alert mantiene una línea base de integridad de los ficheros y una vigilancia rápida que puede correr cada pocos minutos, de modo que un fichero nuevo o modificado en modules/, override/ o themes/ te llega por Telegram aunque el cambio se haya hecho por FTP. Vigila también las tareas programadas de la cuenta, los empleados y las cuentas de webservice, y avisa cuando un empleado entra al back-office desde una IP que no había usado antes. Si ya te ha pasado, con un bono de horas de soporte de Rekire hacemos la limpieza, revisamos las cuentas y accesos del hosting y te dejamos la tienda actualizada y vigilada.