Seguridad de tu PrestaShop: ¿cómo luchar contra las vulnerabilidades de los módulos?
Desde hace algunos meses, las denuncias de ciberataques se multiplican. En el mundo del e-commerce, como en cualquier otro.
Partiendo de esta constatación, y gracias a nuestra doble experiencia en alojamiento (7724) y mantenimiento de PrestaShop (Profileo), nuestros equipos decidieron seleccionar un grupo de clientes de prueba y auditar en detalle los registros y el código de los módulos instalados en sus tiendas PrestaShop.
Nuestro objetivo: mejorar nuestras soluciones de seguridad para sitios de e-commerce. Para ello, nos inspiramos en el modus operandi de los cibercriminales con el fin de buscar fallos de seguridad aún desconocidos hasta la fecha.
En el primer sitio auditado, se analizaron más de 160 módulos. ¿El resultado de la prueba? 12 nuevas vulnerabilidades críticas reveladas. Al repetir esta misma operación con otro cliente, volvimos a encontrar vulnerabilidades desconocidas.
Por supuesto, cada una de estas vulnerabilidades fue comunicada a los editores de los módulos afectados. Y nuestros clientes impactados fueron informados de inmediato sobre la corrección a aplicar.
Hay que reconocer que los sitios PrestaShop – igual que los desarrollados con otras soluciones – ya no están hoy a salvo de ataques. Esto se debe al amplio ecosistema de módulos y a la variedad de métodos de ataque, entre otras cosas. El conocimiento actual sobre los módulos vulnerables parece incompleto, incluso subestimado. Y es precisamente esto lo que hace de la seguridad un tema clave para los e-commerciantes – un tema que todos los actores del ecosistema digital no dejan de subrayar.
En este artículo, hacemos un balance de los riesgos, las tendencias y, sobre todo, de las soluciones que hay que implementar para proteger tu actividad de e-commerce.
|
Resumen: Ciberataques, una amenaza creciente para las tiendas online |
Ciberataques, una amenaza creciente para las tiendas online
Desde hace algunos años, y en particular desde la pandemia de COVID-19, el número de ciberataques no deja de aumentar. Esta constatación es señalada por todos los actores del sector (citemos, por ejemplo, a Fevad) y nosotros también lo confirmamos a nuestro nivel. De hecho, cada vez más comerciantes recurren a los servicios de Profileo para corregir problemas tras una infección en su sitio.
Un estudio realizado por Splunk en 2022 a escala internacional revela que el 65 % de las empresas se enfrentan a un aumento de los ciberataques. Su reacción es inmediata, ya que el 93 % de ellas decidió aumentar su presupuesto de seguridad. Esta toma de conciencia es positiva y esencial para hacer frente a los riesgos de la ciberdelincuencia. Sobre todo porque, hasta ahora, las pymes solían esperar a ser víctimas de un ciberataque para darse cuenta de lo catastróficos que podían ser los daños para su actividad…
En cuanto a lo que motiva a los cibercriminales, la respuesta es sencilla: el afán de lucro. Cuanto más conocido es un ecosistema, más atrae a los cibercriminales. ¿Y qué mejor que una solución tan utilizada como PrestaShop? El volumen de datos que se puede recuperar, robar y explotar es tal que resulta extremadamente atractivo. Y más aún porque, entre la gran cantidad de módulos y sistemas existentes, aquellos que los comerciantes no siempre mantienen actualizados favorecen a los hackers que buscan vulnerabilidades que explotar…
Hackers vs. tiendas de e-commerce: una carrera contra el tiempo
En este juego del gato y el ratón, los cibercriminales siempre intentan llevar la delantera.
Los ataques suelen ser oportunistas. Las personas malintencionadas no necesitan necesariamente llevar a cabo ataques sofisticados (de hecho, muchas veces no tienen las competencias para ello). Basta con que un solo blackhat (nota del editor: nombre que se da a los hackers malintencionados, a menudo organizados en redes criminales) descubra y comparta – o incluso revenda, como ocurre a veces en la dark web – una vulnerabilidad para que esta sea explotada de inmediato.
Una vez compartida la vulnerabilidad, los cibercriminales se lanzan a una carrera contra el tiempo. Su objetivo: actualizar lo antes posible sus herramientas de detección para rastrear la Web en busca de sitios vulnerables. Y todo ello antes de que los desarrolladores y editores de módulos tengan tiempo de difundir ampliamente su solución correctiva. Entre los miles de sitios rastreados de forma automática, inevitablemente habrá algunos desafortunados que aún no hayan tenido tiempo de corregir la vulnerabilidad y que serán entonces víctimas de este ataque.
Las etapas de la infección suelen ser siempre, en líneas generales, las mismas:
- Explotar la vulnerabilidad inyectando «puertas traseras» (backdoors) para obtener el control total de la tienda.
- Ampliar el ataque infectando otros archivos y multiplicando los puntos de entrada.
Al final de estas etapas, el cibercriminal tiene acceso al sitio, sin que el comerciante sea alertado. Los códigos infectados suelen permanecer ocultos y sin explotar, con el fin de complicar el análisis del ataque y ralentizar su detección. Después, suele pasar solo unas semanas hasta que los piratas entran en acción para finalizar sus ataques. Lo más habitual es que el objetivo sea desviar los métodos de pago. Los números de tarjeta de los clientes, así como sus nombres, apellidos, correos electrónicos, teléfonos…, son datos valiosos que los piratas pueden monetizar.
En ese momento del ataque, el comerciante se ve obligado a suspender su actividad mientras desinfecta su tienda. Más allá de las pérdidas económicas y los riesgos legales a los que se expone (la obligación de informar a los usuarios del ataque conforme al RGPD) con un impacto evidente en su reputación, existe el riesgo de que quede un código malicioso oculto en algún lugar insospechado.
Gestos sencillos para reducir los ciberriesgos
Si solo pudiéramos darte un consejo: ¡actualiza tus módulos!
Como ya hemos mencionado, un módulo obsoleto puede ser una puerta de entrada ideal para los hackers. Deshazte también de aquellos que ya no usas: una simple desactivación o desinstalación no te protege por completo… Asegúrate de que no quede ningún rastro del módulo eliminándolo del servidor.
Precaución esencial a la hora de actualizar tus módulos: realiza pruebas en preproducción y haz una copia de seguridad de tu sitio de antemano, para asegurarte de que las actualizaciones no afectarán al funcionamiento de tu sitio ni al de otros módulos.
La actualización de tus módulos – por muy importante que sea – debe completarse necesariamente con algunas buenas prácticas.
Buena práctica n.º 1: elegir un alojamiento dedicado para PrestaShop
Es fundamental recurrir a un proveedor de alojamiento especializado en tu solución. En este caso, un proveedor experto en PrestaShop. En este sentido, la gestión externalizada, la supervisión y las optimizaciones de sistemas dedicadas son criterios de selección imprescindibles para garantizarte una seguridad óptima. Puedes consultar un artículo más completo sobre este tema aquí: Cómo elegir el mejor alojamiento para tu sitio de e-commerce PrestaShop.
¿Lo sabías? El equipo de Profileo trabaja a diario con el servicio de alojamiento 7724. Esta estrecha colaboración permite ganar en rapidez a la hora de alertar y corregir nuevas vulnerabilidades detectadas en los alojamientos. Al mismo tiempo, los sistemas de sondas de vigilancia de 7724 permiten intervenir de forma proactiva, dentro de un enfoque de prevención de riesgos.
Buena práctica n.º 2: implementar un sistema de alerta y verificación de módulos
Además de tu proveedor de alojamiento, confía a tu desarrollador de PrestaShop o a tu agencia web la gestión y el mantenimiento de los módulos instalados en tu PrestaShop. Ponte en contacto con tu interlocutor técnico para pedirle una verificación de los módulos presentes en tu tienda y una lista de los que hay que eliminar.
Por otro lado, un escaneo de los módulos – estén configurados o simplemente instalados en tu tienda – resulta ser una acción esencial a la hora de buscar posibles fallos. ¡Una verificación que hay que realizar de forma periódica!
¿Eres cliente de Profileo? Te proponemos el Pack de Seguridad PrestaShop, especialmente diseñado para controlar la integridad de los módulos y limpiar los posibles archivos infectados. Una vez realizado este primer control, se podrá efectuar un escaneo de módulos, una vez por trimestre y/o de forma puntual, en función de los nuevos descubrimientos de vulnerabilidades. Contáctanos para saber más.
Buena práctica n.º 3: mantener actualizada tu versión de PrestaShop
Una versión obsoleta te expone a fallos potenciales ya conocidos y corregidos en una versión actualizada. Si no tienes la posibilidad de actualizar tu versión de PrestaShop de forma frecuente y rápida, entonces será necesario aplicar con urgencia correcciones temporales. El objetivo: mitigar las amenazas.
Buena práctica n.º 4: proteger el acceso a tu back office y proteger tus contraseñas
Esta buena práctica puede parecer obvia, pero nos parece esencial mencionarla. Lo primero que hay que hacer es evitar los enlaces de back office predecibles, del tipo tusitio.com/admin/ o /backoffice/. Esto reducirá considerablemente el riesgo de ciertos tipos de ataques.
Además, es esencial actuar con la máxima prudencia cuando le das acceso a tu back office a un tercero. Nunca compartas tu propio acceso; crea un acceso adicional para cada persona implicada, idealmente alguien de confianza. Elimina después los permisos cuando ya no sean necesarios.
Por supuesto, nunca debes usar la misma contraseña para todas tus herramientas y servicios en línea. Y anima también a tus empleados a cambiar su contraseña con regularidad.
Buena práctica n.º 5: priorizar a los editores de módulos de confianza
Idealmente, elige tus módulos desde la plataforma Addons – dedicada a los módulos desarrollados por editores o agencias validadas por PrestaShop. Esto garantiza, como mínimo, un módulo mantenido al día por su editor y vigilado activamente por la comunidad de PrestaShop.
Recuerda también comprobar siempre la reputación del desarrollador del módulo. Para ello, dispones de una escala de experiencia que evoluciona en función de la antigüedad, la calidad de sus productos y el acompañamiento que ofrece a los comerciantes.
Ten en cuenta, sin embargo, que los piratas buscan cada vez más fallos, incluso en los módulos más conocidos de Addons. Por eso resulta fundamental, sea cual sea el origen de tus módulos, mantenerte alerta y aplicar estas pautas de seguridad:
- Precaución: elige un módulo que tenga una última versión reciente o, en su defecto, un número elevado de descargas (si un módulo tiene 4 años de antigüedad sin actualizaciones y pocas descargas, es una señal de posible debilidad);
- Prevención: revisa tus módulos con regularidad. Haz una primera selección y elimina por completo los que ya no se usen y los que estén obsoletos.
- Vigilancia: implementa sistemas de vigilancia para anticipar al máximo la presencia de una vulnerabilidad.
Editores y desarrolladores de módulos: ¿qué responsabilidad tienen?Ya hablamos de este tema en un artículo anterior dedicado a la resolución de fallos de seguridad en los módulos. Hay que tener presente que ningún módulo está a salvo de una vulnerabilidad. Cuando un editor (o desarrollador) es informado de un fallo presente en su módulo, reacciona rápidamente para poner a disposición una nueva versión corregida. Por desgracia, hoy en día no existe ningún sistema de alerta en las plataformas de compra de módulos que te notifique en caso de una alerta de seguridad. Por esta razón, es importante esforzarse por mantener estos módulos actualizados. En el caso de los módulos menos conocidos, actualizados con menos frecuencia, su estabilidad también depende de la responsabilidad del editor. Por desgracia, en ocasiones el editor (o el desarrollador) no siempre responde. En ese caso, conviene evitar conservar módulos que puedan parecer obsoletos y buscar alternativas más recientes. |
Además de estas buenas prácticas dedicadas a tu actividad de e-commerce, te invitamos a consultar el sitio de la ANSSI (Agencia Nacional Francesa de Seguridad de los Sistemas de Información). Su misión es promover la implementación de buenas prácticas de seguridad entre las empresas francesas y europeas.
Como puedes ver, la seguridad de tu sitio es un tema clave para garantizar la continuidad de tu actividad de e-commerce.
¿Tienes dudas sobre tu tienda? ¿Quieres asegurarte de que tus módulos estén bien actualizados?
Nuestro equipo de desarrolladores de PrestaShop audita tu sitio, realiza las correcciones en caso de detectar un fallo y lleva a cabo las acciones preventivas esenciales para luchar contra futuras vulnerabilidades. Elige el Pack de Seguridad PrestaShop o contáctanos directamente para obtener más información.