Miten verkkosivustoja hakkeroidaan

Moduuli 7: Tietoturva · Lukuaika: 8 minuuttia

Oppimistavoite: Tämän oppitunnin jälkeen osaat selittää realistisesti, miten WordPress-sivustot yleensä hakkeroidaan, miksi pienetkin sivustot ovat kohteena ja mitä murtautujat niillä tavoittelevat.

Keskeiset käsitteet: haavoittuvuus, lisäosan tai teeman tietoturva-aukko, automaattiset skannaukset, credential stuffing, brute force, nulled-ohjelmisto, saastunut tietokone, seuraukset (roskaposti, uudelleenohjaus, phishing, haittaohjelmat), hyökkäyspinta

"Sivustoni on liian pieni ollakseen kiinnostava"

Tämä on yleisin väärinkäsitys. Lähes yksikään WordPress-hakkerointi ei kohdistu tiettyyn sivustoon. Murtautujat käyttävät ohjelmia, jotka käyvät automaattisesti läpi tuhansia sivustoja tunnissa ja etsivät yhtä asiaa: tunnettua heikkoa kohtaa. Jos ohjelma löytää sen, se murtautuu sisään riippumatta siitä, onko kyseessä monikansallisen yrityksen vai paikallisen jalkapalloseuran sivusto.

Mitä he haluavat, ei ole sivustosi itsessään, vaan se, mitä sivustosi pystyy tekemään:

• Roskaposti ja hakukonemanipulaatio: tuhansia piilotettuja sivuja tai linkkejä lääkkeisiin, uhkapeleihin tai feikkikauppoihin, jotka hyötyvät verkkotunnuksesi hyvästä maineesta Googlessa.
• Uudelleenohjaus: kävijät (usein vain Googlesta tulevat tai puhelimella selaavat) ohjataan feikkisivustolle tai huijaussivulle. Itse et näe mitään, koska saavut sivustolle kirjanmerkin kautta.
• Phishing: jäljitelty pankin tai kuljetuspalvelun kirjautumissivu, piilotettu uploads-kansioosi, verkkotunnuksesi näkyvissä linkissä.
• Haittaohjelmien levittäminen kävijöille.
• Sähköpostin lähettäminen: palvelimesi lähettää roskapostia, minkä jälkeen oma sähköpostisi ei enää mene perille.
• Laskentateho: pakettiasi käytetään hyökkäyksiin muita sivustoja vastaan tai kryptovaluuttojen louhintaan.
• Tiedot: verkkokaupan tai jäsensivuston tapauksessa asiakkaidesi tiedot.

Väylä 1: tietoturva-aukko lisäosassa tai teemassa

Tämä on ylivoimaisesti tärkein väylä. Patchstackin, WordPress-tietoturva-aukkoja seuraavan yrityksen, vuosiraportin mukaan vuonna 2024 WordPress-ekosysteemistä löydettiin 7 966 uutta haavoittuvuutta. 96 % niistä oli lisäosissa, 4 % teemoissa ja itse WordPressissä vain seitsemän. Useimpia aukkoja ei voi käyttää hyväksi suoraan, mutta osaa voi, ja niitä skannataan massiivisesti tuntien tai päivien sisällä julkistamisesta.

Kaava on lähes aina sama:

1. Suositun lisäosan versiosta 3.2 löytyy tietoturva-aukko.
2. Tekijä julkaisee korjauksen sisältävän version 3.2.1. Aukko tulee julkiseksi.
3. Lyhyen ajan sisällä ohjelmat skannaavat internetiä etsien sivustoja, joilla on versio 3.2 tai vanhempi.
4. Ne, jotka eivät ole vielä päivittäneet, joutuvat murron kohteeksi.

Vaara ei siis piile salaisessa aukossa, jota kukaan ei tunne, vaan tunnetussa aukossa, johon on jo olemassa päivitys, jota ei ole asennettu. Siksi päivitykset (oppitunti 7.2) ovat kaikkein tärkein toimenpide, ja sinun kannattaa poistaa kaikki, mitä et käytä (oppitunti 5.4): jokainen asennettu lisäosa, myös poissa käytöstä oleva, kasvattaa hyökkäyspintaasi.

Erityistapaus ovat hylätyt lisäosat: tekijä on lopettanut, korjauksia ei enää tule. Ja nulled-ohjelmistot (oppitunti 5.3): varastettu kopio maksullisesta lisäosasta, usein sisäänrakennetulla takaportilla.

Väylä 2: salasanat

Toinen suuri väylä on kirjautuminen sisään kelvollisella salasanalla:

• Credential stuffing: toisen palvelun tietomurrossa on vuotanut miljoonia sähköposti ja salasana -yhdistelmiä. Ohjelmat kokeilevat näitä yhdistelmiä eri sivustoilla, myös WordPress-kirjautumissivuilla. Jos käytät samaa salasanaa kuin siinä vuotaneessa palvelussa, murtautujat pääsevät sisään.
• Brute force: ohjelma kokeilee yksinkertaisesti valtavan määrän salasanoja, usein yleisesti käytettyjen käyttäjätunnusten kuten admin kanssa. Pitkä, uniikki salasana tekee tästä mahdotonta, mutta se kuluttaa palvelimesi laskentatehoa.
• Phishing: feikkisähköposti "WordPress-asennuksesi on päivitettävä, kirjaudu tästä" linkillä jäljiteltyyn kirjautumissivuun.

Oppitunti 7.3 käsittelee puolustautumista: salasanojen hallintaohjelma, kaksivaiheinen tunnistautuminen ja kirjautumisyritysten rajoittaminen.

Väylä 3: kaikki WordPressin ympärillä

Kaikki hakkeroinnit eivät ala WordPressistä:

• Saastunut tietokone, joko sinun tai verkkosivustosi tekijän, jossa on ohjelma, joka varastaa salasanoja, esimerkiksi FTP-ohjelmaan tallennetut salasanat.
• Tavallinen FTP ilman salausta, julkisessa verkossa.
• Toinen sivusto samassa paketissa: unohdettu vanha testiasennus, vanha Joomla alikansiossa. Kaikki samassa paketissa olevat sivustot jakavat yleensä saman käyttäjän palvelimella. Jos vanha sivusto hakkeroidaan, murtautuja pääsee myös WordPressiisi.
• Vuotanut tietokannan salasana, esimerkiksi wp-config.php-tiedoston kopion kautta verkkokansiossa (oppitunti 1.3).
• Lomakkeet ilman tarkistusta, joita käytetään väärin roskapostin lähettämiseen.

Hyvässä webhotellissa pakettisi on eristetty muiden asiakkaiden paketeista samalla palvelimella (DirectAdmin-palvelimilla CloudLinuxin kanssa esimerkiksi CageFS:n avulla). Se, mitä tapahtuu oman pakettisi sisällä, on kuitenkin omalla vastuullasi.

Mitä huomaat (ja mitä et)

Hyvin tehtyä hakkerointia et ensin huomaa lainkaan. Murtautujat haluavat käyttää sivustoasi mahdollisimman pitkään. Merkkejä (oppitunti 7.5 käsittelee niitä tarkemmin):

• Google ilmoittaa "Tämä sivusto on saatettu hakkeroida" tai näet omituisia sivuja verkkotunnuksestasi hakutuloksissa (kokeile hakea site:example.com);
• kävijät kertovat päätyvänsä muualle;
• sivustolla on ylläpitäjiä tai tiedostoja, joita et tunnista;
• webhotellisi tai haittaohjelmaskanneri ilmoittaa jotain;
• sähköpostisi ei yhtäkkiä enää mene perille, tai pakettisi on täynnä tai hidas.

Kerroksittainen puolustus

Mikään yksittäinen toimenpide ei ole aukoton. Tietoturva on kerrosten pino, jotta yhden kerroksen virhe ei heti avaa kaikkea:

1. Päivittäminen (oppitunti 7.2): sulkee tunnetut aukot. Ylivoimaisesti tärkein.
2. Vähän osia (oppitunnit 5.3 ja 5.4): vähemmän päivitettävää, vähemmän aukkoja.
3. Kirjautumisen suojaaminen (oppitunti 7.3): pitkät uniikit salasanat, kaksivaiheinen tunnistautuminen, pienimmät oikeudet (oppitunti 3.3).
4. Kovettaminen (oppitunti 7.4): oikeudet, asetukset ja otsakkeet, jotka rajoittavat vahinkoa.
5. Varmuuskopiot (oppitunti 8.1): jos jotain menee pieleen, pääset takaisin.
6. Tietäminen, mitä tehdä, jos jotain menee pieleen (oppitunti 7.5).

Yhteenveto

• Lähes kaikki hakkeroinnit ovat automaattisia eivätkä kohdistu tiettyyn sivustoon; pienet sivustot ovat yhtä lailla kohteena.
• Murtautujat haluavat sen, mitä sivustosi pystyy tekemään: roskapostia, uudelleenohjausta, phishingiä, sähköpostia, laskentatehoa, tietoja.
• Suurin väylä on tunnettu aukko lisäosassa tai teemassa, johon oli jo olemassa päivitys (vuonna 2024 96 % uusista haavoittuvuuksista oli lisäosissa).
• Toinen väylä ovat salasanat: uudelleenkäytetyt, arvatut tai kalastellut.
• Myös saastunut tietokone, tavallinen FTP tai unohdettu vanha sivusto samassa paketissa voi olla väylä. Puolustaudu kerroksittain.

Tietovisa

Tehtävä

Tehtävä D7.1: Oma riskilistasi. Tee lista kaikesta webhotellipaketissasi olevasta, mikä voi olla väylä sisään: jokainen WordPress-asennus (myös testi- ja vanhat sivustot), jokainen lisäosa ja teema (myös käytöstä poistetut), jokainen ylläpitäjän oikeuksilla varustettu tili (WordPress, FTP, hallintapaneeli) ja tietokoneet, joilta kirjaudutaan sisään. Merkitse jokaisen kohdan tiedoiksi: milloin viimeksi päivitetty, vielä tarpeellinen (kyllä/ei) ja kuka on vastuussa. Merkitse, mitkä kolme asiaa siivoat tai päivität tällä viikolla, ja kirjoita, miksi juuri ne.

Lue lisää

Nämä artikkelit kuvaavat vaiheet WebOkén paneeleissa; muissa paneeleissa toiminta on vastaavaa.

• Apua! Sivustoni on hakkeroitu. Miten voin korjata tilanteen tai estää sen?
• DirectAdmin-ohje 18.2: Sivustoni on hakkeroitu: vaiheittainen ohje
• State of WordPress Security in 2025 (Patchstack, englanniksi): https://patchstack.com/whitepaper/state-of-wordpress-security-in-2025/
• WordPressin tietoturva (developer.wordpress.org, englanniksi): https://developer.wordpress.org/advanced-administration/security/hardening/