Phishing a administradores web: los correos que roban tu panel WordPress

Por PathSentinel · Jesús Macías Rubiales — Investigación de seguridad web

El phishing a administrador de WordPress se ha convertido en la vía más rentable para secuestrar una web corporativa: no hace falta reventar el servidor si consigues que la persona con acceso entregue sus credenciales voluntariamente. En PathSentinel lo vemos cada semana en peritajes de intrusión, y casi siempre encaja en el patrón que describimos en nuestra guía pilar sobre cómo hackean a las pymes: infostealers, phishing y BEC. El atacante no persigue tu web por lo que vende, sino por lo que le permite hacer: alojar campañas de estafa, distribuir malware o pivotar hacia tu correo y tu facturación.

Cómo funciona el phishing a un administrador de WordPress

El señuelo llega casi siempre por correo, suena urgente y aparenta venir de una fuente legítima. El objetivo es que hagas clic sin pensar y escribas tu usuario y contraseña en una página que no es la tuya. Los pretextos más habituales que recuperamos en los análisis forenses son:

• «Actualización de seguridad crítica» del núcleo o de un plugin, con un botón que te lleva a «revisar tu sitio ahora».
• Aviso de que una licencia o un plugin ha caducado y tu web «quedará expuesta» si no renuevas de inmediato.
• Falsa notificación de un comentario pendiente de moderar, un pedido nuevo o un formulario recibido.
• Suplantación de tu proveedor de hosting reclamando que «confirmes tu cuenta» o que «verifiques un cargo».

El enlace no lleva a tu panel real, sino a una réplica del wp-login.php alojada en un dominio parecido al tuyo (una letra cambiada, un guion añadido, un .com convertido en .co). La página es visualmente idéntica; en cuanto tecleas las credenciales, viajan al servidor del atacante y, a menudo, te redirige a tu panel auténtico para que no sospeches nada.

De un clic al control total

Con la contraseña en la mano, el atacante inicia sesión y actúa deprisa: crea un segundo usuario administrador con nombre inofensivo, sube un plugin malicioso o una webshell disfrazada, e instala persistencia para volver aunque cambies tu clave. Esta cadena se corresponde con la técnica de Phishing catalogada por MITRE ATT&CK como paso de acceso inicial, seguido de creación de cuentas y despliegue de puertas traseras. Cuando el objetivo es una tienda o un panel con datos sensibles, el salto siguiente suele ser el correo corporativo, algo que detallamos en nuestro artículo sobre el secuestro de correo empresarial (BEC).

Señales de que el correo es un anzuelo

Ningún filtro sustituye a un ojo entrenado. Antes de hacer clic, comprueba lo siguiente:

• El dominio del remitente y del enlace no coinciden con tu web ni con tu hosting reales. Pasa el ratón por encima y lee la URL completa antes de pulsar.
• Tono de urgencia o amenaza («su sitio será suspendido en 24 horas»).
• Te piden iniciar sesión desde el propio correo en lugar de que entres tú por tu ruta habitual.
• Errores sutiles de redacción, logotipos ligeramente deformados o certificados que el navegador marca como no válidos.
• El correo llega a una cuenta que nunca usas para administrar la web.

Cómo blindar el acceso al panel

La defensa contra el phishing de administrador de WordPress no es un único producto, sino varias capas que se refuerzan entre sí:

• Activa el doble factor (2FA) en todas las cuentas con rol de administrador o editor. Aunque roben la contraseña, sin el segundo factor no entran.
• Usa un gestor de contraseñas: además de generar claves únicas, solo autocompleta en el dominio legítimo, así que delata la página falsa cuando no ofrece rellenar el formulario.
• Entra siempre por tu marcador o URL escrita a mano, nunca desde un enlace de un correo.
• Limita los intentos de acceso, cambia la ruta de wp-login.php y restringe el panel por IP cuando sea viable.
• Comprueba en Have I Been Pwned si el correo del administrador aparece en filtraciones; si es así, esa cuenta es un objetivo prioritario.
• Forma a tu equipo con recursos públicos como los del INCIBE, que publica campañas reales para reconocer señuelos.

Si sospechas que ya han entrado

Actúa como si la brecha fuera real hasta demostrar lo contrario. Cambia de inmediato las contraseñas desde un equipo limpio, revoca las sesiones activas, revisa la lista de usuarios en busca de administradores que no reconozcas y audita los plugins subidos en las últimas fechas. Si administras una tienda o un panel con datos de clientes, revisa también el buzón asociado: nuestra herramienta sobre las señales de un buzón secuestrado te ayuda a descartar que el ataque haya saltado al correo.

Cuando el incidente afecta a entornos exigentes, atendemos también casos de banca y comercios con datos de tarjeta, donde la contención debe ser inmediata y trazable. Si necesitas una respuesta profesional, puedes escribirnos desde contacto y coordinamos el peritaje.