Scoprire che anche il sito web Ferrari è costruito con WordPress è di certo interessante ma risulta meno positivo scoprire che anche il sito della Ferrari sarebbe potuto essere hackerato in un attimo.
La sicurezza di qualunque sito web, a prescindere dalla scelta della architettura, deve essere una costante e si ottiene soprattutto tenendo sempre per prima cosa gli occhi aperti. Ma essere attenti e tenere gli occhi aperti a volte non basta. E ne è una dimostrazione lampante quello che hanno raccontato alcuni esperti che sono incappati, anche se come raccontato un po’ si sono dovuti impegnare, per arrivare a un passo dall’entrare nel database del sito web Ferrari costruito con WordPress.
Gli esperti che hanno raccontato il loro percorso di avvicinamento al database della casa del cavallino di Maranello sono quelli di Char49, un team di ricercatori molto famoso proprio perché si occupa di sicurezza informatica e di esporre eventuali criticità e problemi per i siti web. Da parte degli esperti la simulazione di attacco si è fermata ovviamente prima di trasformarsi in vera e propria violazione.
Ma vale comunque la pena ricordare che è stata proprio la casa di Maranello ad ammettere di essere stata per ben due volte nel corso degli ultimi due anni oggetto di due attacchi da parte di hacker. La storia riportata dagli esperti di Char49 non è solo un esercizio di hacking quindi ma un reminder a tutti: aggiornate.
Perché (anche) il sito WordPress Ferrari si potrebbe bucare
Verrebbe da pensare che un sito web di una casa automobilistica in cui i prezzi di listino non sono neanche indicati abbia a disposizione un team di esperti informatici attivi h24 per mantenere tutto il carrozzone digitale in carreggiata. Eppure invece, questo hanno scoperto gli esperti di Char49, il sito web WordPress di Ferrari non è diverso da tanti siti web.
La strana somiglianza sta nel fatto che a quanto pare nessuno si era ricordato di aggiornare un semplice plugin. Gli aggiornamenti dei plugin, ma in generale tutti gli aggiornamenti dei prodotti informatici, sono importanti non solo per migliorare le prestazioni ma anche per migliorare la sicurezza dei siti e dei prodotti. Il sito web Ferrari, come altre migliaia e migliaia di siti web, utilizza un plugin w3 Total Cache ma, forse per dimenticanza, il plugin non è mai stato aggiornato.
Il che significa molto probabilmente che proprio la mancanza dell’aggiornamento avrebbe potuto esporre il sito WordPress alle mire di un altro gruppo hacker. Come dimostrato dagli esperti di Char49, infatti, anche se con una procedura un po’ tortuosa, e infatti possibile utilizzare questa vulnerabilità per riuscire ad arrivare al file PHP denominato wp-config in cui sono raccolti senza nessun tipo di occultamento i dati relativi all’accesso al database.
Gli esperti di Char49, scoperta la vulnerabilità, hanno, come raccontano sul loro sito ufficiale, informato subito Ferrari e il sito è stato aggiornato ed è quindi ora in parte impenetrabile. Ma la lezione resta la stessa: anche i plugin hanno bisogno di aggiornamenti costanti.
