Poháňať 43 % internetu znie pôsobivo^[ref]. Zároveň to robí z WordPressu najväčšie prostredie sveta plné cieľov pre kyberzločincov a podvodnú infraštruktúru.

Ak ste podvodník, WordPress nie je „len CMS“. Je to obrovský útočný povrch so zabudovanými predvídateľnými chybami - a milióny majiteľov stránok, ktorí si myslia, že bezpečnosť je práca niekoho iného.

Čo sa im na tom teda vlastne páči?

🔑 Slabá administrátorská hygiena - Predvolené používateľské mená, opakované heslá a žiadne MFA. Credential stuffing funguje proti wp-admin desivo dobre, lebo majitelia stránok len zriedka sledujú pokusy o prihlásenie. Jeden napadnutý administrátorský účet znamená plnú kontrolu - zmeny obsahu, vložené skimmery, falošné platobné stránky a tiché presmerovania na podvodné stránky.

🧩 Zahltenie pluginmi a opustený softvér - Priemerná WordPress stránka beží s 20 - 30 pluginmi. Mnohé udržiavajú malé tímy alebo sú úplne opustené. Jeden zraniteľný plugin umožňuje zneužitie nahrávania súborov, formuláre na zber prihlasovacích údajov alebo tiché presmerovania. Pri vyše 70 000 známych zraniteľnostiach naprieč jadrom, pluginmi a šablónami útočníci nemusia loviť - zraniteľnosti sú už zaindexované.

🕳️ Zastarané jadrá a šablóny - Na rozdiel od podnikových platforiem sa záplatovanie často odkladá, lebo „stránka stále funguje“. Podvodníci vo veľkom skenujú známe CVE a zneužijú ich v priebehu dní. Údaje o náprave od Sucuri za rok 2024 ukazujú, že WordPress tvorí vyše 95 % všetkých nakazených CMS stránok, ktoré čistia.

🔄 Tiché presmerovania a otrávenie SEO - Napadnuté WordPress stránky sa často používajú ako infraštruktúra, nie ako samotný podvod. Vložený JavaScript presmeruje mobilných používateľov na falošné výhry, krypto podvody alebo sťahovanie škodlivých aplikácií - často sa používa na krádež prihlasovacích údajov a platobný podvod. Používatelia na počítači nevidia nič. Majitelia o tom mesiace netušia.

🎭 Vydávanie sa za značku vo veľkom - WordPress robí klonovanie legitímne vyzerajúcej stránky triviálnym. Útočníci za pár minút vytvoria phishingové stránky napodobňujúce banky, doručovacie firmy alebo vládne portály. Lacný hosting, rýchle nasadenie, nízke náklady pri neúspechu.

⛓️ Dodávateľský reťazec a vkladanie skriptov - Útočníci necielia vždy priamo na vašu stránku. Kompromitovať zdieľaný plugin alebo analytický útržok používaný naraz tisíckami stránok je oveľa efektívnejšie - ako ukázal incident Polyfill.io z roku 2024, ktorý cez jediný otrávený CDN skript zasiahol vyše 100 000 webových stránok.

V roku 2024 skener SiteCheck od Sucuri^[ref] analyzoval vyše 70 miliónov webových stránok a identifikoval viac než 1,1 milióna napadnutých stránok - pričom Balada Injector (vyše 149 000 detekcií) a Sign1 (vyše 96 000 detekcií) viedli veľkoplošné kampane cez zraniteľné pluginy. Škodlivý kód a škodlivé presmerovania tvorili takmer 75 % nákaz.

🚨Čo s tým robiť?

- Jednotlivci - nepredpokladajte, že stránka je bezpečná len preto, že vyzerá profesionálne. Kontrolujte URL adresy starostlivo, najmä na mobile.

- Majitelia stránok - presadzujte MFA, rýchlo záplatujte, počet pluginov držte na minime a vypnite XML-RPC, ak ho nepoužívate. Monitorujte odchádzajúcu prevádzku, nielen dostupnosť.

- Organizácie - k skriptom a pluginom tretích strán pristupujte ako k riziku dodávateľského reťazca. WAF na úrovni DNS (aj bezplatná úroveň Cloudflare) zablokuje značný objem automatizovaného skenovania skôr, než dosiahne váš server.

Pretože podvodníci nepotrebujú zero-day zraniteľnosti. Stačí im, aby ste klikli na „pripomenúť neskôr“.