Attacco cyber su larga scala: Siti WordPress sfruttati per rubare criptovalute

Mi ricordo ancora del primo hack che ho vissuto in prima persona: un piccolo ma grazioso blog che improvvisamente fu inondato di pop-up strani e il cui accesso amministrativo venne bloccato. All’epoca pensavo: "Capita solo agli altri". Finché non mi è successo. Ed è proprio questo che rende così preoccupante l’attuale campagna cybercriminale: non colpisce siti web oscuri e di nicchia, ma piattaforme che milioni di persone utilizzano quotidianamente. I siti WordPress, che dovrebbero essere tra le fonti più affidabili della rete.
Un attacco cyber su vasta scala ha compromesso quasi 2.000 siti WordPress, trasformandoli in un’infrastruttura criminale. Gli aggressori hanno sfruttato i siti violati per diffondere malware, rubare file di portafogli crittografici e lanciare attacchi ransomware. Dietro questa operazione c’è la cosiddetta campagna StopAndProtect – un nome che suona quasi troppo innocuo per ciò che è realmente successo. Perché quello che i cybercriminali hanno costruito non è un piccolo atto di teppismo, ma un’arma di attacco ben organizzata e sofisticata.
Come sono avvenuti gli attacchi: dalle vulnerabilità al furto di criptovalute
I ricercatori di sicurezza di Sucuri hanno scoperto la campagna e analizzato i metodi utilizzati dagli aggressori. Ciò che mi ha particolarmente scioccato è stato vedere come abbiano sfruttato una vulnerabilità nota in WordPress – una falla che, in teoria, avrebbe dovuto essere già stata risolta da tempo. Gli attaccanti hanno ottenuto diritti di amministratore, installato backdoor nascoste e hanno così ottenuto il pieno controllo dei siti. Da quel momento in poi, hanno potuto dirottare i visitatori dei siti compromessi verso server infetti senza che nessuno se ne accorgesse.
E cosa veniva distribuito? Malware come Raccoon Stealer o RedLine Stealer – programmi progettati per cercare dati sensibili. Non solo credenziali di accesso o cookie del browser, ma soprattutto file di portafogli crittografici. Perché questo rappresenta il grande interesse per i criminali: le criptovalute sono anonime, difficili da tracciare e, per le vittime, spesso irrecuperabili.
Furto di criptovalute: quando il portafoglio digitale viene svuotato
Particolarmente insidioso è il fatto che gli attaccanti non si sono limitati a colpire i portafogli "caldi", cioè quelli direttamente collegati a internet, ma hanno anche cercato di estrarre chiavi private da Cold Storage. Si tratta di file di portafoglio che si trovano offline, su una chiavetta USB o un disco rigido – di solito il metodo di conservazione più sicuro. Tuttavia, se i criminali informatici riescono ad accedere al computer su cui sono archiviati questi file, possono estrarli. I dati rubati venivano poi venduti nei mercati del Darknet o utilizzati direttamente per transazioni illegali.
Gli esperti stimano che i responsabili di questa campagna abbiano già intascato centinaia di migl



iaia di euro. Ma come in molti casi di cybercrimine, il numero oscuro è alto. Molte vittime non si accorgono nemmeno di essere state colpite – o non denunciano l’accaduto per paura di danneggiare la propria reputazione.
Ransomware: quando gli estorsori colpiscono
Oltre al furto di asset crittografici, i cybercriminali hanno fatto ricorso anche all’estorsione classica. Hanno criptato i server dei siti violati e chiesto un riscatto in Bitcoin o altre criptovalute. Poiché molti siti WordPress ospitano contenuti fondamentali per il business – come negozi online, blog con entrate pubblicitarie o piattaforme di gestione delle richieste dei clienti – molti proprietari si sono trovati costretti a pagare per riottenere i propri dati.
Le richieste di riscatto ammontavano solitamente a cifre a cinque zeri nel range medio, e i cybercriminali hanno sfruttato l’anonimato delle criptovalute per nascondere la propria identità. Un piano perfido che mostra quanto spudorati siano divenuti questi attacchi.
WordPress: un bersaglio fisso per gli attacchi cyber
La campagna StopAndProtect purtroppo non è un caso isolato. WordPress è uno dei sistemi di gestione dei contenuti più diffusi al mondo – ed è proprio questa popolarità che lo rende così attraente per gli attaccanti. Dai piccoli blog alle grandi piattaforme di e-commerce: oltre il 40% di tutti i siti web utilizza WordPress. Ma è proprio questa diffusione a renderlo un obiettivo redditizio.
Quali sono le vulnerabilità più comuni? Plugin non aggiornati, assenza di patch di sicurezza o password deboli. Molti proprietari di siti sottovalutano i rischi e non aggiornano regolarmente i loro sistemi. Eppure, misure semplici come l’autenticazione a due fattori o il backup regolare rappresenterebbero una protezione efficace.
Cosa puoi fare: passaggi semplici, grandi risultati
Lo so, da profano a volte ci si sente sopraffatti da tutti gli avvertimenti di sicurezza. Ma non preoccuparti: non devi essere un esperto di IT per proteggere il tuo sito WordPress. Ecco alcuni passaggi che chiunque può mettere in pratica:
1. Aggiornamenti, aggiornamenti, aggiornamenti! Sì, è noioso dover installare costantemente nuove versioni. Ma è proprio questo che chiude la maggior parte delle vulnerabilità di sicurezza. Vale per WordPress stesso, per i temi e soprattutto per i plugin.
2. Password forti e autenticazione a due fattori. Una password come "123456" è sicura come un cartone di cartone. Usa password complesse e attiva l’autenticazione a due fattori: renderà la vita molto più difficile agli attaccanti.
3. Utilizza plugin di sicurezza. Strumenti come Wordfence o Sucuri Security offrono protezione in tempo reale e ti avvisano per attività sospette. Sì, l’installazione richiede un po’ di tempo – ma può salvarti da grossi grattacapi.
4. Fai backup regolari. I backup sono come un’assicurazione per il tuo sito. Se dovesse succedere qualcosa,