Em 2020, foram registradas 90 bilhões de tentativas maliciosas de login no WordPress

Ao longo de 2020, mais de 90 bilhões de tentativas de login maliciosas ao WordPress foram bloqueadas. Essas tentativas foram provenientes de mais de 57 milhões de endereços IP únicos. Isso se refere a uma taxa de 2,8 mil ataques por segundo direcionados ao WordPress. Os dados são da Wordfence Threat Intelligence.

Segundo a empresa, as tentativas mal-intencionadas de login foram o vetor de ataque mais comum para sites WordPress no ano passado, incluindo ataques de credential stuffing, no qual os criminosos usam listas de credenciais roubadas para tentar entrar em um sistema.

A Wordfence classifica os ataques ao WordPress em três categorias principais: tentativas de login mal-intencionadas; ataques de exploração de vulnerabilidade; e malware de plugins nulled – versões piratas de um plugin premium.

Mais de 4,3 bilhões de tentativas de explorar vulnerabilidades vindas de mais de 9,7 milhões de endereços IP exclusivos também foram bloqueadas pela Wordfence em 2020. Os ataques Directory Traversal – ataque de passagem de diretório –, incluindo caminhos relativos e absolutos, representaram 43% de todas as tentativas de exploração de vulnerabilidade, com 1,8 bilhão de ataques. 

SQL Injection foi a segunda categoria de vulnerabilidades mais comumente atacada, com 21% de todas as tentativas (909,4 milhões de ataques). Uploads de arquivos mal-intencionados com o objetivo de alcançar a Execução Remota de Código (RCE) foram a terceira categoria de vulnerabilidades mais comumente atacada em 11% de todas as tentativas, com 454,8 milhões de ataques.

Cross-Site Scripting (XSS) foi a quarta categoria de vulnerabilidades mais comumente atacada, com 8% de todas as tentativas, comando 330 milhões de ataques. As vulnerabilidades do Bypass de autenticação foram a quinta categoria de falhas mais comumente atacada, com 3% de todas as tentativas e 140,8 milhões de ataques.

O scanner Wordfence também detectou mais de 70 milhões de arquivos maliciosos em 1,2 milhão de sites WordPress no ano passado. A grande maioria desses sites foi limpa no final do ano e apenas 132 mil sites infectados no início de 2020 ainda estavam infectados no final do ano. O malware WP-VCD foi a ameaça mais comum para o WordPress, representando 154.928 ou 13% de todos os sites infectados em 2020.