Én is ezt hittem magamról
Egy kisvállalkozó számára a kibertámadás olyasféle egzotikum, mint egy mindenre nyitott rúdtáncos felbukkanása a legénybúcsún. Tudjuk, hogy van ilyen, de az átlagemberrel nem szokott megtörténni. Hogy sajnos vagy szerencsére, annak eldöntését hagyjuk meg egy másik blognak!
Bár szeretek magamra power userként gondolni és mentesnek hinni magamat a naivitástól, ami miatt olyan sokan kerülnek bajba a digitális világban, a kibertámadásról én is azt képzeltem: túl kicsi vagyok hozzá. Ez nem explicit állásfoglalás volt a részemről, inkább afféle tudattalan meggyőződés. Aztán szembejött a valóság.
Téged mennyire hoz lázba a weboldalad admin felülete?
Egy pályázat keretén belül nemrég készült el az új weboldalam. Az átadás után néhány hétig még nem foglalkoztam vele érdemben. Egyrészt azért, mert egy sor más dolog elvitte a figyelmemet, másrészt pedig azért, mert rám tört a tartalomparalízis: publikálni kellene. De mit?
Végül nekiálltam. És mivel egy weboldal admin felülete képernyőolvasóval még annyira sem szórakoztató, mint amikor látod, nem volt kérdés, hogy Claude segítségét kérem. Elindult a közös munka, ami több órás elfoglaltságot jelentett néhány napig. Ilyenkor jön jól, ha párhuzamosan több AI modellt használsz. Amíg az egyik dolgozik valamin, addig a másikkal belekezdhetsz egy újabb projektbe.
Rés a pajzson
Ahogy egyre mélyebbre merültünk a beállítások, frissítések és biztonsági mentések világában, egyszer csak Claude azzal jött, hogy az XML-RPC nyitva van és be kellene zárni, mert biztonsági kockázatot jelent. Most hallasz először az XML-RPC-ről? Én is pont ugyanígy voltam vele.
Nagyon röviden, az XML-RPC egy „hátsó bejárat” a WordPress alapú weboldalakon. Amin keresztül különböző (pl. régi mobilos) alkalmazások beléphettek az oldalra. Manapság már nem nagyon használják, de alapból be van kapcsolva.
A támadók pedig azért rajonganak érte, mert egyetlen kéréssel több jelszót is ki lehet rajta próbálni. Ha igényed lenne a funkció egzakt technikai megnevezésére, hát tessék: system.multicall. Olyan ez, mintha a betörő egy helyett száz kóddal egyszerre próbálkozhatna és a riasztó csak egy kísérletet érzékelne. Egy Sucuri nevű biztonsági cég már 2015-ben leírta, hogy egy-egy ilyen kérés akár több száz vagy ezer felhasználónév–jelszó párost is tartalmazhat.
23 ezer betörési kísérlet egy hónap alatt?
Előrebocsátom: bár az oldal ekkor már nyilvánosan elérhető volt, gyakorlatilag a fejlesztőn és rajtam kívül senki nem tudott a létezéséről. A támadások mögött így nem állhatott semmiféle egyéni megfontolás.
A most következő számokról azért tudunk egyáltalán beszélni, mert Claude részletesen átvizsgálta az oldalt, végigolvasta a 23 ezer soros biztonsági naplót és felfedezte benne a támadásokat, illetve azok mintázatait.
- 2026. szeptember 6. és október 9. között összesen 23 019 belépési kísérletet regisztrált az oldal
- ez naponta átlagosan 700 betörési kísérlet, azaz óránként 29
- a támadások 333 különböző IP-címről érkeztek
- egy cím jellemzően 25 percig próbálkozott, nagyjából 150 alkalommal, aztán eltűnt és jött a következő
Ez egyértelműen szervezett, összehangolt robothálózatra utal, nem egy unatkozó hétvégi hackerre. Ezt erősíti a lassú, elosztott tempó is, ami valószínűleg azt a célt szolgálta, hogy a támadások ne akadjanak fenn az egyszerű védelmeken.
Még egy fontos adalék: a támadások több mint 99%-a két névre irányult. Az egyik a minden felhasználónevek ősapja, az admin volt (11 222 kísérlet), a másik pedig a fejlesztő nyilvánosan látható felhasználóneve (11 643 kísérlet). A fennmaradó 154 esetben olyan nevekkel próbálkoztak, mint a root, administrator, wpuser vaggy maga a domainnév (cegem.hu esetében ez a cegem-et jelenti).
Minden jó, ha a vége jó
Esetemben egyik támadási kísérlet sem járt eredménnyel. A sikertelen belépési kísérletek október 9-én, 17.40-kor szűntek meg, azóta egyetlen kísérletet sem naplózott az oldal. Ez egybeesett azzal, amikor Claude útmutatása alapján lezártam az XML-RPC-t. Önmagában ez nem mindent eldöntő bizonyíték, de nehéz nem belelátni az összefüggést.
A támadások egyébként ettől még nem szűntek meg, csak a veszélyességük mértéke csökkent radikálisan. Már nem a riasztó kódját próbálgatják, csak a bezárt ajtón dörömbölnek. Október 27-én pl. 156 alkalommal történt ilyen.
És a tanulságok
A legfontosabb kérdés nyilván az, hogy mit vihetsz magaddal a történetemből. Szerintem ezeket:
- az oldal felépítése a fejlesztő felelőssége, a működtetés viszont már a tiéd
- bízhatsz abban, hogy minden megfelelően be van állítva, de jobban teszed, ha ellenőrzöd (ez akkor is igaz, ha a fejlesztő maximálisan jóhiszemű volt)
- nem célszerű olyan, nyilvánvaló felhasználóneveket választani, mint az admin, a root, az oldal domainneve és társai
- a felhasználói fiókokon legyen bekapcsolva a kétlépcsős azonosítás
- legyen bekapcsolva olyan belépési zárolás, ami néhány sikertelen próbálkozás után egy időre kitiltja az adott címet
- az oldalra telepített bővítmények esetében – ahol ez nem jelent kockázatot – legyen bekapcsolva az automatikus frissítés
- a kézzel frissítendő bővítményekre legyen valamilyen protokollod
- legyen megoldva az oldal rendszeres, webtárhelytől független biztonsági mentése
- időnként nézz rá a biztonsági naplóra (vagy kérj meg valakit, aki ért hozzá)
És a három személyes tanulságom:
- kérdezd meg a fejlesztőt, hogy az XML-RPC be van-e kapcsolva és ha igen, szükség van-e rá!
- a felhasználónév ne egyezzen azzal, ami a cikkek alatt szerzőként megjelenik
- ha nincs kitől kérdezni és nem értesz hozzá, használd az AI-t!
Zárszó
Nem vagyok biztonsági szakember. A cikket két okból írtam meg: egyrészt azért, mert segít ráébredni arra, hogy ha kibertámadásról van szó, senki sincs kivételezett helyzetben. Másrészt pedig azért, mert egy újabb tanulság arra vonatkozóan, hányféleképpen lehet az AI egy kisvállalkozó segítségére. Nem hiszem, hogy ezt az egészet Claude nélkül végig tudtam volna csinálni. Ha esetleg mégis, abba jobb nem belegondolni, mennyi időbe tellett volna.
Ha időről-időre szívesen olvasnál arról, hogyan tudja az AI számottevően enyhíteni a kisvállalkozói nyúzottságodat, iratkozz fel a hírlevelemre! És ha az AI világa még idegennek, netán ijesztőnek tűnik, jussak eszedbe! Ha nekem sikerül vakon, neked is menni fog.
