Como parte de su campaña denominada "#NoHacked", Google ha estado analizando el panorama de ataques a sitios web para dar con formas de ayudar a sus administradores a estar mejor preparados. En ese contexto, descubrió que la cantidad de sitios comprometidos durante 2016 aumentó un 32% respecto a 2015, y no espera que esta tendencia se detenga.

Según el artículo publicado ayer en el blog para webmasters, la conclusión principal es que los ataques web solo empeorarán mientras los administradores no parcheen su código en tiempo y forma.

"A medida que los atacantes se vuelven más agresivos y más sitios se vuelven obsoletos, los atacantes seguirán capitalizando infectando más sitios", escribieron Wafa Alnasayan, Trust & Safety Analyst, y Eric Kuan, Webmaster Relations de Google.

Uno de los problemas que la compañía detectó fue que, como muchos webmasters (el 61%) no registraron sus sitios en Google Search Console, no fue posible enviarles notificaciones de que habían sido infectados. Sin embargo, los que sí reciben alertas ponen manos a la obra para resolver el incidente, y en el 84% de los casos lo logran. Esto significa que resolver los ataques más comunes no es una tarea extremadamente compleja.

Sucede que los patrones de compromiso se mantienen y repiten: contraseñas débiles y/o robadas, actualizaciones faltantes, temas y complementos inseguros, ingeniería social y fallas en la política de seguridad. Saber esto les permite a los administradores estar preparados de antemano y contar con guías para resolver incidentes en forma práctica, en caso de que ocurran.

A tal fin, Google indica que están disponibles en inglés los siguientes nuevos documentos:

Es cierto que las formas de ataque evolucionan continuamente, buscando evadir las medidas de seguridad existentes, pero no debemos perder de vista que existen patrones que nos permiten adelantarnos, y que la prevención siempre es la mejor herramienta. Si gracias a la investigación sabemos cómo actúan los atacantes, debemos aprovechar ese conocimiento para combatir sus técnicas.

Por ejemplo, sabiendo que WordPress es una de sus presas predilectas, sería de esperar que todos los administradores de sitios basados en este CMS sigan con atención sus actualizaciones y notificaciones, y apliquen medidas extra para fortalecer su seguridad; lo mismo aplica para cualquier otro proveedor de hardware y software.

Estar preparados siempre será mejor que lidiar con las consecuencias de un ataque o una infección, y con los costos que estas podrían tener para la operatoria, la imagen de marca o la relación de confianza con los usuarios.

Después de todo, como recuerda Google, "una cadena es tan fuerte como su eslabón más débil".

Sigue leyendo: Los 10 principios básicos para un desarrollo seguro