Es una de las primeras preguntas que hace todo el mundo cuando le atacan la web: ¿quién ha sido?. Es una reacción natural, sobre todo cuando hay rabia o dinero perdido de por medio. La respuesta honesta, y la que casi nadie te va a dar tan directa, es esta: identificar a la persona concreta que hackeó tu web es, en la práctica, casi imposible, y además no es lo que te va a resolver el problema. Lo que sí se puede averiguar, y lo que de verdad te interesa, es cómo entraron, para poder cerrar esa puerta y que no vuelva a pasar. En este artículo te explicamos qué se puede reconstruir de verdad, qué no, y cuándo tiene sentido llevar el asunto más lejos.
La pregunta correcta no es quién, es cómo
Piénsalo así: aunque supieras el nombre y apellidos del atacante, tu web seguiría infectada. Saber quién fue no limpia nada ni impide la siguiente intrusión. En cambio, saber por dónde entraron (un plugin desactualizado, una contraseña robada, un formulario mal hecho) te dice exactamente qué tienes que arreglar.
Por eso, en una limpieza seria, la energía se gasta en reconstruir la cadena del ataque, no en perseguir una identidad. Si lo que quieres es dejar la web limpia y segura, el camino está en la guía general sobre qué hacer cuando tu web está hackeada. Este artículo es para entender qué se puede y qué no se puede saber sobre el autor.
Qué guardan tus registros y qué no
Casi todo lo que se puede averiguar sobre un ataque está en los logs, los registros que el servidor va guardando de cada visita. Los que importan son:
- El log de acceso (
access.log): cada petición a tu web, con la fecha, la IP de origen, la página pedida y el navegador declarado. - El log de errores (
error.log): fallos del servidor, que a veces delatan los intentos fallidos antes del que funcionó. - El log de correo: útil si el ataque se dedicó a enviar spam desde tu web.
El problema es que estos registros no son eternos. Muchos hostings compartidos solo guardan los últimos días, a veces solo 24 o 48 horas. Si el ataque fue hace dos semanas, es muy posible que la evidencia ya no exista. Por eso, si acabas de descubrir que te han entrado, lo primero es pedir al hosting que conserve los logs antes de que roten y se borren solos. Ese mensaje al soporte vale más que cualquier búsqueda del culpable.
Leer una IP no es identificar a una persona
En los logs verás direcciones IP. Es tentador copiarlas en una web de geolocalización, ver que salen de otro país y concluir «me ha atacado alguien de allí». Casi nunca es verdad.
Los atacantes rara vez usan su propia conexión. Trabajan a través de servidores intermedios, redes de ordenadores infectados (botnets) o servicios de anonimato. La IP que aparece en tu log suele ser la de un servidor alquilado en cualquier sitio, o la de otra víctima cuyo ordenador está siendo usado sin que lo sepa. Geolocalizar esa IP te dice dónde está esa máquina intermedia, no dónde está la persona. Es como intentar identificar a un ladrón por la matrícula de un coche robado.
Además, una misma web recibe cada día cientos de IP distintas probando cosas de forma automática. Distinguir la que de verdad entró del ruido de fondo requiere cruzar los logs con lo que hizo el atacante dentro, y eso ya es trabajo de análisis, no de copiar una IP en un buscador.
Lo que sí se puede reconstruir
Aquí está la parte útil. Con los logs a tiempo y los ficheros de la web, sí se puede reconstruir bastante:
- El punto de entrada: qué URL o qué formulario usaron. Un
POSTrepetido contra un fichero de un plugin concreto, justo antes de que aparecieran los cambios, señala el agujero por el que entraron. - El momento: la fecha y hora de la intrusión, cruzando los logs con las fechas de modificación de los ficheros infectados.
- Qué dejaron: las puertas traseras que colocaron para volver a entrar, que son lo que de verdad hay que encontrar y borrar.
- El objetivo: spam, redirecciones a webs de terceros, robo de datos… El tipo de daño dice mucho de qué campaña automatizada te ha tocado.
Toda esa información es la que te permite cerrar la puerta de verdad. Es exactamente lo que se hace durante una limpieza de WordPress bien hecha: no solo borrar lo malo, sino entender por dónde entró para que no se repita.
Un bot automático frente a un ataque dirigido a ti
Hay una distinción que sí puedes hacer tú mismo y que cambia cómo debes reaccionar. La inmensa mayoría de los ataques a webs de pymes no van a por ti en particular. Son programas automáticos que recorren internet probando millones de webs en busca de una versión concreta de un plugin vulnerable o de una contraseña débil. No saben quién eres ni les importa. Tu web cayó porque tenía un agujero conocido, no porque alguien te tenga manía.
Lo reconoces porque el daño es genérico: spam, redirecciones a casinos o farmacias, páginas creadas en masa. Si ese es tu caso, la solución también es genérica: limpiar, parchear y vigilar.
Distinto es un ataque dirigido: alguien que conoce tu negocio, que borra o modifica datos concretos, que te chantajea con información interna o que aparece justo después de un conflicto con un antiguo empleado o proveedor. Es mucho más raro, pero si tienes motivos para pensar que va por ahí, cambia todo. Ahí sí conviene preservar todo y hablar con un profesional antes de tocar nada.
Cuándo tiene sentido un análisis forense
Un análisis forense es el trabajo de reconstruir con detalle qué pasó, cuándo y cómo, dejando las pruebas documentadas y con validez. No compensa para una web pequeña con una infección de spam corriente: ahí lo que necesitas es limpiar y seguir.
Sí tiene sentido cuando hay algo que proteger más allá de la propia web: datos personales de clientes que se han podido filtrar, dinero robado, una tienda con datos de pago comprometidos, o la necesidad de responder ante un seguro, un cliente grande o la Agencia de Protección de Datos. En esos casos, el orden con el que se tocan las cosas importa, porque un paso en falso destruye la evidencia. Si estás en ese punto, en PathSentinel hacemos este tipo de investigaciones con criterio y sin prometer imposibles.
Denunciar: qué puede y qué no puede hacer la policía
Puedes y, según el caso, debes denunciar. En España el ataque a un sistema informático es un delito, y existen unidades especializadas en la Policía Nacional y la Guardia Civil. Denunciar es importante sobre todo si ha habido fuga de datos personales, extorsión o pérdidas económicas.
Ahora, seamos realistas con lo que puedes esperar. En un ataque automatizado a una web pequeña, con la IP anonimizada y el rastro repartido por varios países, la probabilidad de que se identifique y detenga a alguien es muy baja. La denuncia sirve sobre todo para dejar constancia oficial (necesaria para el seguro o para cumplir con tus obligaciones legales) y para alimentar investigaciones más grandes, no para que mañana llamen a tu puerta con el culpable. Prepara la denuncia con los logs que hayas conservado, las capturas de la web infectada y las fechas: cuanto mejor documentado, más útil será.
En resumen: deja de buscar un nombre y busca la puerta. Averiguar por dónde entraron y cerrarla es lo que evita el siguiente ataque, y eso sí está a tu alcance. Pasa PathScan gratis a tu web y ve desde fuera qué se ve comprometido y por dónde te están mirando ahora mismo.