Contención de un sitio web comprometido

Resumen

Un comercio electrónico WordPress en producción estaba comprometido. El atacante inyectó contenido SEO oculto en la base de datos del CMS durante varias oleadas, aprovechando la autoridad del dominio para posicionar sitios ilegales en buscadores.

El contenido fraudulento era invisible para los visitantes y para las herramientas de supervisión habituales durante más de dos meses. El trabajo priorizó la contención, la limpieza y la verificación en una sola sesión.

Enfoque

Análisis forense de la base de datos, revisión de la integridad de los archivos y comparación de respuestas HTTP. Se mapearon las oleadas de ataque y los mecanismos de persistencia desde la copia de seguridad expuesta hasta el contenido visible para los buscadores.

Hallazgos principales

• Crítico: Contenedores ocultos que servían decenas de dominios de apuestas, sin detectar durante unos 2,5 meses.
• Crítico: Copia de seguridad de varios gigabytes expuesta al público: probable vector de acceso inicial.
• Crítico: Credenciales de administración incrustadas en varios puntos del código.
• Alto: Inyección SEO en la base de datos, persistente tras actualizar el tema y los complementos.
• Alto: Ausencia de supervisión de integridad sobre las tablas de contenido del CMS.

Resultado

Limpieza y verificación en una sesión: se eliminó el contenido fraudulento, se aseguró la copia de seguridad, se rotaron las credenciales y se entregaron recomendaciones de supervisión con prioridad clara. La visibilidad legítima del sitio quedó restablecida.