En resumen: ¿le afecta? Llame. Le ayudamos. En las pymes suele faltar un departamento de seguridad propio, y para eso estamos: desde el primer mensaje asumimos en remoto los primeros auxilios para sus servidores web, aseguramos los rastros, cerramos la vulnerabilidad, limpiamos y documentamos hasta que el incidente quede cerrado.
No borre nada ahora y no reinstale nada. Esto vale también cuando la actividad apremia y el sitio web debe volver a funcionar. Primero asegurar, después reparar. Comunique la emergencia y le diremos qué puede hacer usted mismo sin riesgo.
¿Le afecta? Situación típica en una pyme
Quien dirige una empresa de 20, 200 u 800 empleados suele tener a una o dos personas para la informática, una agencia para el sitio web y un proveedor de hosting para el servidor. Es normal, pero en una emergencia deja a la vista lagunas. Hay un riesgo agudo probable cuando:
- Su sitio web, su portal de clientes o su tienda online se ejecuta sobre PHP y nadie sabe con certeza qué versión exactamente.
- Un proveedor de hosting, un cliente o un aviso del navegador comunica anomalías.
- Su administrador informa de que hay archivos o cuentas en el servidor web que no se pueden explicar.
- No sabe qué sistemas son siquiera accesibles públicamente.
- El servidor web tiene acceso a sistemas internos, bases de datos o almacenes de archivos.
Que casi todas las versiones de PHP puedan estar afectadas es el trasfondo que menciona la prensa especializada: según informes, están afectadas versiones hasta PHP 5.4. Cómo es la situación en las pymes lo describe la página Seguridad informática para la mediana empresa y la industria.
Qué hacer ahora mismo
- Formar un comité de crisis. Dirección, TI y, en su caso, protección de datos: pocas personas, una que decide.
- Reunir los sistemas. ¿Qué servidores, sitios web y portales están afectados o podrían estarlo? Basta una lista sencilla.
- No modificar nada. Nada de operaciones de limpieza, ni de reinstalación, ni de restauración de copias de seguridad.
- Hacer revisar las conexiones. ¿El servidor web está conectado a la red interna? Entonces un ataque al sitio web puede afectar a más que solo el sitio web.
- Dirigirse al proveedor de hosting y a la agencia. Pídales a ambos que conserven los registros y que confirmen el estado y las responsabilidades. Cómo, figura en Cómo preguntar a su proveedor de hosting por el estado del parche.
- Proteger los accesos. Cambie contraseñas y claves solo tras consultarnos y desde dispositivos limpios.
- Contacte ahora. Llame o escriba por WhatsApp.
Primeros auxilios para servidores web: cómo procedemos en las pymes
Una empresa mediana no puede permitirse una parada, pero tampoco una intervención sin control. Por eso trabajamos por etapas que perturban lo menos posible la operación en curso:
- Etapa 1, aislar: aclaramos si hay que restringir temporalmente los servidores afectados. El BSI (Oficina Federal alemana de Seguridad de la Información) recomienda en el caso de PHP2Shell retirar de la red los servidores web cuando no es posible una actualización inmediata.
- Etapa 2, asegurar: aseguramos registros, archivos y bases de datos, para que el incidente siga siendo demostrable.
- Etapa 3, resolver: parche o configuración, reinicio de todos los procesos de PHP, cierre de accesos desconocidos.
- Etapa 4, revisar: buscamos en el sistema y en su entorno rastros y daños derivados, también en servidores adyacentes.
Un punto decisivo para quien decide: una actualización del CMS, por ejemplo de WordPress, no cierra la vulnerabilidad de PHP, y un parche no elimina el código malicioso ya introducido. Quien dice «terminado» tras la actualización no ha hecho la mitad del trabajo.
Errores típicos en las pymes en las primeras horas
En la práctica se conocen algunos patrones que agrandan el daño. Primero, la responsabilidad se va pasando de unos a otros: el proveedor de hosting remite al cliente, la agencia al proveedor de hosting, el administrador a la dirección. Por eso fije pronto quién decide. Segundo, se restaura demasiado rápido. Restaurar una copia de seguridad antigua sin cerrar la puerta de entrada devuelve de inmediato al atacante. Tercero, la comunicación se queda a medias: empleados, clientes y socios comerciales se enteran del incidente de segunda mano.
En Comunicación de crisis tras un ataque encontrará indicaciones para resolverlo con calma. Como regla general: mejor decir poco, pero con pruebas.
¿Cómo ayuda PHP SOS en concreto?
- Evaluar la situación: aclaramos con usted los sistemas, el modo de ejecución (PHP-FPM, mod_php o LiteSpeed), los datos y los interlocutores. Se obtiene rápido una primera visión general, incluso sin conocimientos de detalle.
- Asegurar y cerrar: aseguramos rastros y cerramos la puerta de entrada sin perturbar innecesariamente sus procesos.
- Revisar y limpiar: se buscan y eliminan webshells, puertas traseras, tareas cron y cuentas ajenas. Detalles en Eliminación de malware y webshells.
- Reforzar e informar: recibe un informe para la dirección, la protección de datos y la aseguradora. Si lo desea, montamos con usted la prevención, por ejemplo mediante un contrato de mantenimiento de seguridad.
Si el incidente se extiende más allá de un servidor web, pasamos a una respuesta a incidentes estructurada.
Después: prevención sin departamento propio de seguridad
Una vez cerrado el incidente, queda la pregunta de cómo evitar el siguiente o, al menos, detectarlo antes. Para empresas sin equipo de seguridad propio, lo más importante son cuatro cosas: un inventario de todos los sitios web y servidores actualizado, un interlocutor claro para las actualizaciones, copias de seguridad comprobadas y un breve plan de emergencia informática.
Si su empresa entra en las obligaciones de NIS2 es una cuestión jurídica que no respondemos. Encontrará información general en nuestra página; la clasificación la hacen el abogado o el delegado de protección de datos.
Qué debería enviarnos
- una breve descripción del incidente y del momento
- una lista de sitios web, tiendas y portales con el proveedor de hosting y, en la medida en que se conozca, la versión de PHP
- nombres del administrador, de la agencia y del proveedor de hosting que conocen el sistema
- indicaciones sobre si el servidor web está conectado con sistemas internos
- datos sobre copias de seguridad y sobre un ciberseguro existente
Por qué PHP SOS
Trabajamos Made in Germany y llevamos más de 25 años especializados en seguridad informática junto con nuestra red de socios, profesionales de la ciberseguridad. Para usted significa: un interlocutor en lugar de muchos, trabajo en remoto sin desplazamientos en toda Europa y una documentación con la que defenderse ante clientes, aseguradora y autoridades. Separamos con franqueza lo demostrado, lo probable y lo desconocido y no prometemos nada que nadie pueda cumplir.
¿Le afecta? Llame. Le ayudamos.
Para los primeros auxilios no necesita un departamento de seguridad propio, sino un interlocutor que empiece. Nos hacemos cargo desde el primer mensaje y seguimos hasta que el incidente esté cerrado y documentado. Comunicar la emergencia ahora.
Preguntas frecuentes
¿Qué hacer ante un ciberataque sin departamento propio de seguridad informática?
Conservar los rastros, no borrar nada, designar a quien decide y buscar ayuda externa. Una pyme no tiene que saber hacerlo todo por sí sola. Nosotros asumimos la parte técnica y trabajamos con su administrador, su agencia o su proveedor de hosting.
¿Son realmente las pequeñas y medianas empresas objetivo de ataques?
Sí. Los análisis automatizados buscan servidores sin parchear sin fijarse en el tamaño de la empresa. En el caso de PHP2Shell, Palo Alto Networks (Unit 42) contó más de 22,6 millones de instancias expuestas y potencialmente vulnerables.
¿Tiene que parar nuestra actividad si se ha atacado el servidor web?
No necesariamente. A menudo se puede aislar el sitio web y la tienda mientras los sistemas internos siguen funcionando. Primero aclaramos si existen conexiones entre el servidor web y su red interna.
¿Nos afecta NIS2 y qué significa en un incidente?
Que su empresa entre en NIS2 depende del sector y del tamaño y es una cuestión jurídica. Nuestra página sobre NIS2 ofrece una visión general; la clasificación de su caso corresponde al abogado o al delegado de protección de datos.
¿Cómo nos preparamos para el próximo incidente?
Con un inventario de los sistemas, un interlocutor designado, copias de seguridad comprobadas y un breve plan de emergencia. Ayudamos a montarlo una vez cerrado el incidente agudo.