Password FTP e cPanel rubate: la via d'ingresso più frequente in un negozio online

Dopo aver ripulito un negozio, la domanda è sempre la stessa: da dove sono entrati? E a volte la risposta non sta in nessun modulo vulnerabile. I log web non mostrano nulla di strano, non ci sono richieste anomale a nessun controller, eppure i file sono cambiati. L'attaccante non ha bucato il negozio: è entrato con una password valida, via FTP o dal pannello dell'hosting.

È una delle vie d'ingresso più frequenti e meno sorvegliate, perché non dipende dal codice del negozio, ma da dove sono salvate le sue credenziali.

Come le password finiscono nelle mani di altri

Infostealer sul computer di qualcuno

Un infostealer è un programma che, una volta su un computer, raccoglie tutto ciò che trova di utile: password salvate nel browser, cookie di sessione e i profili dei client FTP che memorizzano le connessioni con la loro password. Impacchetta tutto e lo invia. Questi pacchetti vengono venduti a lotti, e qualcuno li passa in rassegna provando quali accessi funzionano ancora.

Arriva per strade molto quotidiane: un programma pirata, un allegato, un'estensione del browser o un captcha falso che chiede di incollare un comando nel computer. Non serve che il computer sia quello del titolare: basta quello del grafico, dell'agenzia che ha realizzato il negozio anni fa o del nipote che ha dato una mano un fine settimana.

Riutilizzo delle password

La password dell'FTP è la stessa di un altro servizio che ha subito una fuga di dati. I robot provano automaticamente le combinazioni trapelate da altri siti.

Credenziali condivise per email o messaggistica

Dati di accesso inviati in un'email a un fornitore, che anni dopo finiscono in una casella compromessa.

Account che nessuno ricorda

Account FTP creati per un lavoro specifico e mai cancellati, con password deboli perché «era temporaneo».

Cosa può fare qualcuno con il tuo FTP o il tuo pannello

• Modificare qualsiasi file: aggiungere uno skimmer al JavaScript del checkout, una backdoor nel core, un reindirizzamento nel .htaccess.
• Leggere la configurazione di PrestaShop, che contiene la password del database e la chiave di cifratura dei cookie.
• Dal pannello, inoltre: accedere al database, creare nuovi account FTP, pianificare attività cron, cambiare il DNS o reindirizzare la posta.

In altre parole, il pannello dell'hosting è un passe-partout. Proteggerlo conta quanto proteggere il back office.

Cosa cambiare

Usa SFTP e abbandona l'FTP non cifrato

L'FTP classico invia utente e password in chiaro. Se il tuo hosting offre SFTP (via SSH) o FTPS, usalo, e chiedi di disattivare l'FTP semplice se non ti serve. Meglio ancora, se il tuo hosting lo consente, accesso SSH con chiave invece che con password.

Attiva l'autenticazione a due fattori nel pannello

cPanel, Plesk e la maggior parte dei pannelli di hosting permettono un secondo fattore con un'app di autenticazione. Con questo, una password rubata non basta. Fai lo stesso con il back office di PrestaShop e con l'email associata all'account dell'hosting, da cui si recupera tutto il resto.

Rivedi gli account FTP

• Cancella quelli che non si usano. Se non sai a cosa serve uno, probabilmente è di troppo.
• Un account per persona o fornitore, con un nome che lo identifichi, non uno condiviso.
• Limita ogni account alla cartella di cui ha bisogno.
• Se il tuo hosting lo permette, limita l'accesso per IP.

Non salvare le password nel client FTP

È comodo, ma è esattamente ciò che cercano gli infostealer. Usa un password manager e copiala quando ti serve, o meglio, usa chiavi SSH protette da passphrase.

Password uniche e lunghe

Una per servizio, generata dal password manager. Nessuna condivisa con l'email personale o con altri negozi.

Dopo un incidente: la rotazione completa

Se sospetti che siano entrati con delle credenziali, cambiare solo quella dell'FTP non basta. Da un computer pulito (se un computer è infetto, ciò che digiti lì finisce di nuovo fuori):

1. Controlla il computer di chi aveva le credenziali salvate. Se si sospetta un infostealer, il computer va ripulito o reinstallato prima di usarlo di nuovo per gestire il negozio.
2. Cambia la password del pannello dell'hosting e attiva il secondo fattore.
3. Cambia tutti gli account FTP e cancella quelli in più. Verifica se ce n'è qualcuno creato di recente che non riconosci.
4. Cambia la password del database e aggiornala nella configurazione di PrestaShop.
5. Cambia le password dei dipendenti del back office e verifica che non ci siano account nuovi.
6. Controlla le attività pianificate del pannello e le chiavi SSH autorizzate dell'account.
7. Chiudi le sessioni aperte nel pannello e nell'email, perché i cookie rubati permettono di entrare senza password.
8. Ripulisci i file modificati e lascia il negozio con una baseline di integrità per rilevare la prossima modifica.

E approfitta del momento per ciò che resta sempre in sospeso: aggiornare PrestaShop, PHP e i moduli. Un negozio aggiornato non evita il furto di una password, ma riduce ciò che l'attaccante può fare una volta dentro e rende più facile capire che cosa è cambiato.

Come risolverlo in PrestaShop

Nessun modulo impedisce a qualcuno di entrare con una password valida, ma può avvisarti non appena tocca qualcosa. RKR Security Alert mantiene una baseline di integrità dei file e una sorveglianza rapida che può girare ogni pochi minuti, così un file nuovo o modificato in modules/, override/ o themes/ ti arriva via Telegram anche se la modifica è stata fatta via FTP. Sorveglia anche le attività pianificate dell'account, i dipendenti e gli account del webservice, e avvisa quando un dipendente entra nel back office da un IP che non aveva mai usato. Se ti è già successo, con un pacchetto di ore di assistenza di Rekire facciamo la pulizia, rivediamo account e accessi dell'hosting e ti lasciamo il negozio aggiornato e sorvegliato.