למה אתרי וורדפרס נפרצים ואיך מגנים עליהם: המדריך המלא

למה אתרי וורדפרס נפרצים?

אתרי וורדפרס נפרצים כמעט תמיד דרך ארבע דלתות שמישהו השאיר פתוחות: תוסף שלא עודכן ויש לו חולשה מתועדת, סיסמה חלשה או שם משתמש admin, אחסון שיתופי זול שבו אתר פרוץ אחר מדביק את שלכם, והיעדר גיבוי חיצוני שהופך תקלה לאסון. ליבת וורדפרס עצמה מאובטחת; החולשה היא בניהול, וזה גם מה שהופך אותה לניתנת לתיקון.

דמיינו את התרחיש: השקעתם בעיצוב, בתוכן ובשיווק של האתר החדש, הלידים זורמים, ובוקר אחד לקוח זועם מתקשר: "נכנסתי לאתר שלכם וקפצה הודעה שהוא נגוע בווירוס". אתם פותחים גוגל ורואים את המסך האדום עם הכיתוב This site may be hacked. ברגע אחד האמינות התרסקה, גוגל חסם אתכם, והנכס הדיגיטלי הפך לנטל. במדריך ננתח את סיכוני הסייבר המרכזיים לאתרי וורדפרס, נראה איפה רוב המנהלים נכשלים, ומה עושים ביום שאחרי.

מי מחפש דווקא את העסק הקטן?

אף אחד, וזו בדיוק הבעיה: הרוב המכריע של הפריצות אוטומטי לחלוטין. תוקפים מפעילים בוטים שסורקים את האינטרנט מסביב לשעון ומחפשים חולשות ידועות, והבוט לא יודע אם אתם פיצרייה מקומית או חברת הייטק. הוא מוצא דלת פתוחה ונכנס. הטעות הנפוצה ביותר בניהול סיכונים היא המשפט "מי ירצה לפרוץ לאתר שלי", כי התשובה היא: תוכנה שלא שואלת.

• כריית קריפטו: גניבת משאבי המעבד של השרת לייצור מטבעות דיגיטליים, שמאטה את האתר עד שהוא קורס.
• ספאם קישורים: הפיכת האתר לחוות קישורים לאתרי הימורים או תרופות מזויפות, מה שמוחק את הדירוג שבניתם.
• פישינג: שתילת דפים מתחזים לבנקים ולחברות אשראי בתוך האתר שלכם, לגניבת פרטים מקורבנות זרים.
• כופר: הצפנת האתר ומסד הנתונים ודרישת תשלום לשחרורם, שעובדת רק על מי שאין לו גיבוי.

מה הם ארבעת וקטורי התקיפה הנפוצים?

ארבעה: תוספים לא מעודכנים, התקפות כוח גס על סיסמאות, זיהום רוחבי באחסון שיתופי, והיעדר גיבוי מבודד. שלושת הראשונים הם דרכי כניסה, והרביעי הוא מה שהופך כניסה לאובדן מוחלט. הדוח השנתי של Patchstack מראה שהרוב המכריע של החולשות החדשות בסביבת וורדפרס מגיע מתוספים ולא מהליבה.

האם וורדפרס עצמה לא בטוחה?

ליבת וורדפרס מאובטחת מאוד, וצוות אבטחה ייעודי משחרר תיקונים אוטומטיים. היא המטרה מספר אחת פשוט מפני שהיא מריצה, לפי נתוני W3Techs, כ-43% מהרשת, ולא מפני שהיא פגיעה יותר ממערכות אחרות. החולשה היא כמעט תמיד בגורם האנושי ובניהול לקוי: תוספים שלא מעודכנים, סיסמאות חלשות, הרשאות רחבות מדי ואחסון זול ומשותף.

איך מגנים על אתר וורדפרס בשבעה שלבים?

מיישמים שבע שכבות, מהזולה והמהירה לזו שדורשת תכנון, ורובן לוקחות שעה. יחד הן סוגרות את ארבעת הווקטורים ומשאירות לתוקף האוטומטי אתר קל יותר לפרוץ במקום אחר. ההנחיות המלאות מופיעות במדריך ההקשחה הרשמי של וורדפרס.

1. עדכונים שבועיים: ליבה, תוספים ותבנית, אחרי גיבוי ובסביבת בדיקות אם האתר קריטי. תוסף שלא פעיל נמחק, לא רק מכובה.
2. זהות חזקה: שם משתמש שאינו admin, סיסמה ארוכה מנוהלת, ואימות דו-שלבי לכל משתמש עם הרשאות עריכה.
3. חומת אש אפליקטיבית: WAF שחוסם בוטים זדוניים וניסיונות כוח גס לפני שהם נוגעים באתר.
4. אחסון מבודד: אחסון מנוהל שמפריד בין חשבונות, עם גרסת PHP עדכנית ותעודת SSL תקפה.
5. גיבוי חיצוני: גיבוי יומי לענן אחר, שמור לפחות שלושים יום, ובדיקת שחזור אמיתית פעם ברבעון.
6. הרשאות מינימליות: כל משתמש מקבל רק מה שהוא צריך, משתמשים שעזבו נמחקים, וגישת מנהל ניתנת לשניים לכל היותר.
7. ניטור: סריקת קבצים שהשתנו, התראה על כניסות חריגות, ובדיקה ב-Search Console שגוגל לא מסמן את האתר.

מה כוללת הגנה רב-שכבתית?

שלוש שכבות שפועלות יחד, כי אף אחת לבדה לא מספיקה. ברמת השרת, חומת אש אפליקטיבית שחוסמת בוטים עוד לפני שהם נוגעים באתר. ברמת הקוד, הקשחה: הסתרת גרסאות המערכת, חסימת הרצת קבצים בתיקיות ההעלאה, וכותרות אבטחה. וברמת המשתמש, אימות דו-שלבי וניהול הרשאות לפי עקרון הפריבילגיה המינימלית. אבטחת מידע היא לא מוצר מדף שקונים פעם אחת אלא תהליך מתמשך, ובאתר שנבנה בפיתוח מאובטח בקוד חלק מהשכבות מגיע כברירת מחדל.

מה עושים אם האתר כבר נפרץ?

מנתקים, משחזרים, מחליפים סיסמאות, מאתרים את דלת הכניסה ומדווחים, בסדר הזה. הטעות הנפוצה היא למחוק את הקבצים החשודים ולהמשיך, כי הדלת שדרכה נכנסו נשארת פתוחה והפריצה חוזרת תוך ימים.

• ניתוק: מעבירים את האתר למצב תחזוקה ומשנים את סיסמאות האחסון, מסד הנתונים והניהול.
• שחזור: משחזרים מגיבוי נקי מלפני הפריצה, ורק אז מעדכנים הכל.
• איתור: בודקים בלוגים איזה תוסף או משתמש שימש לכניסה, ומסירים אותו.
• בקשת בדיקה: אחרי הניקוי מבקשים מגוגל ב-Search Console להסיר את האזהרה.
• דיווח: אם דלפו פרטי לקוחות, תיקון 13 לחוק הגנת הפרטיות מטיל חובות דיווח על אירועי אבטחה חמורים, וכדאי להתייעץ עם עורך דין באותו יום.

מה הנזק העסקי של פריצה?

הנזק הישיר הוא ימי השבתה שבהם אין פניות, אבל הנזק הגדול מגיע אחריהם: גוגל מסמן את האתר ומסיר אותו מהתוצאות עד שהניקוי מאושר, שרתי דואר חוסמים מיילים מהדומיין שנשלח ממנו ספאם, לקוחות שראו את האזהרה לא חוזרים, ואם דלפו פרטים אישיים נוספת חשיפה משפטית. שחזור מקצועי לוקח ימים, ובניית האמון והדירוג מחדש לוקחת חודשים. מול זה, שגרת אבטחה חודשית היא הביטוח הזול ביותר שיש לעסק.

• השבתה: כל יום בלי אתר הוא יום בלי לידים.
• דירוג: האזהרה של גוגל מרוקנת את התנועה האורגנית, והחזרה איטית.
• מוניטין: מסך אדום זוכרים יותר מכל קמפיין.
• משפטי: דליפת פרטי לקוחות היא אירוע שחייבים לטפל בו לפי החוק.

מה ההבדל בין אבטחה בוורדפרס לאתר בקוד?

באתר שנבנה בקוד אין תוספים של צד שלישי, ולכן וקטור התקיפה הגדול ביותר לא קיים, אבל האחריות על כל שורת קוד עוברת לצוות הפיתוח. בוורדפרס האבטחה היא עניין של משמעת: עדכונים, הרשאות ואחסון. שתי הגישות מאובטחות כשמנהלים אותן נכון, ואת ההשוואה המלאה פירטנו במאמר וורדפרס מול פיתוח בקוד. עקרונות האבטחה עצמם משותפים, ומרוכזים ברשימת OWASP Top Ten.

מה כוללת בדיקת אבטחה תקופתית?

בדיקה רבעונית של שעה, שתופסת את רוב הבעיות לפני שהבוטים תופסים אותן: עוברים על רשימת המשתמשים ומוחקים מי שאינו צריך גישה, סורקים את רשימת התוספים ומסירים את הלא פעילים, משחזרים גיבוי לסביבת בדיקות כדי לוודא שהוא באמת עובד, בודקים שגרסת PHP ותעודת SSL עדכניות, ופותחים את דוח בעיות האבטחה ב-Search Console. מי שעושה את זה בקביעות כמעט לא מגיע למסך האדום.

השורה התחתונה: ניהול במקום כיבוי שריפות

פריצה לאתר היא לא עניין של "אם" אלא של "מתי", וההבדל בין אירוע תפעולי קטן לאסון עסקי טמון במוכנות. אל תחכו למסך האדום של גוגל: ודאו שיש גיבויים, בצעו עדכונים שוטפים, או העבירו את האחריות למומחים. על שגרת התחזוקה כתבנו במדריך תחזוקה שוטפת ועדכונים, וב-Red Ghost אנחנו מספקים מעטפת אבטחה ותחזוקה חודשית שמאפשרת לכם לישון בשקט. דברו איתנו לפני האירוע הבא, לא אחריו.