Se il tuo sito WordPress è ospitato sul servizio Managed WordPress di GoDaddy, questa notizia ti riguarda da vicino. Il 22 novembre il provider ha comunicato di aver scoperto, il 17 novembre, un accesso non autorizzato al sistema che crea e gestisce i siti dei clienti. L’intruso era entrato il 6 settembre con una password compromessa: per oltre due mesi si è mosso senza che nessuno se ne accorgesse.
Sono esposti indirizzo email e numero cliente di fino a 1,2 milioni di clienti Managed WordPress, attivi e non. Per i clienti attivi sono finiti nelle mani dell’intruso anche nome utente e password SFTP e del database. Esposta pure la password di amministratore WordPress impostata alla creazione del sito, per chi non l’aveva mai cambiata. Per una parte dei clienti, infine, la chiave privata del certificato SSL. GoDaddy ha reimpostato le password SFTP e del database e quelle admin iniziali ancora in uso, e sta emettendo nuovi certificati.
Due mesi sono tanti
Ha fatto discutere soprattutto un dettaglio: le password SFTP erano recuperabili in chiaro invece di essere conservate come hash. Con l’accesso SFTP si legge e si modifica ogni file del sito; con quello al database si crea un nuovo amministratore o si inserisce codice nei contenuti. In nove settimane un attaccante ha avuto tutto il tempo di lasciare backdoor che sopravvivono a qualsiasi cambio di password. Quanti siti siano stati effettivamente manomessi, GoDaddy non lo ha detto.
Cambia la password di amministratore WordPress e quelle di tutti gli utenti con privilegi elevati, attiva l’autenticazione a due fattori ed elimina gli amministratori che non riconosci. Poi cerca file modificati o aggiunti dal 6 settembre in poi, in particolare file PHP in wp-content/uploads, nei plugin e nel tema, e confronta il core con una copia pulita. Rigenera le chiavi di sicurezza in wp-config.php per invalidare le sessioni attive. Se il sito tratta dati di utenti, valuta gli obblighi di notifica previsti dal GDPR.
Un’ultima cosa: le email esposte saranno usate per phishing che sembrerà arrivare da GoDaddy, con inviti a «confermare» l’account o a ripristinare il sito. Al pannello arrivaci sempre digitando tu l’indirizzo.
