Los ataques de inicio de sesión a WordPress más comunes en 2026

Los ataques de inicio de sesión a WordPress en 2026 tienen un aspecto distinto al de 2020. Algunas técnicas antiguas persisten. Han surgido otras nuevas. Saber qué circula es el primer paso para defenderse. Esta guía repasa las categorías de ataque a las que realmente te enfrentas en 2026.

Ataques de fuerza bruta

Adivinación automatizada de combinaciones de contraseñas contra /wp-login.php. Empezó siendo algo sencillo en 2010. Ahora se distribuye entre miles de IP de botnets para burlar la limitación de intentos por IP. Sigue funcionando contra sitios con contraseñas débiles y sin bloqueo.

La defensa es de varias capas: oculta la URL, aplica un bloqueo tras varios intentos fallidos y exige contraseñas fuertes.

Credential stuffing

Los atacantes usan pares de usuario y contraseña filtrados en otras brechas contra tu página de inicio de sesión. Si un usuario reutilizó en tu sitio una contraseña que se filtró en otro lugar, esa credencial funciona. No hace falta ninguna adivinación ingeniosa.

La autenticación de dos factores (2FA) es la única defensa completa. El credential stuffing tiene éxito cuando la contraseña filtrada es correcta.

Enumeración de nombres de usuario

Los atacantes enumeran nombres de usuario válidos aprovechando las respuestas del formulario de inicio de sesión de WordPress o los endpoints de la REST API. Conocer el nombre de usuario acelera la fuerza bruta o el credential stuffing. Defyn Security Manager bloquea ambas vías de enumeración.

El plugin Defyn Security Manager cierra el vector de enumeración que permite a los atacantes acotar qué nombres de usuario atacar.

Abuso de XML-RPC y de la REST API

Las versiones antiguas de WordPress permitían intentos de inicio de sesión ilimitados a través de XML-RPC, esquivando los límites de intentos del inicio de sesión web. El hardening moderno bloquea por completo XML-RPC o lo envuelve con una limitación de intentos. La REST API plantea preocupaciones similares.

Desactiva ambos salvo que tengas una necesidad concreta.

Phishing dirigido

Los atacantes envían correos convincentes a los administradores para engañarlos y que introduzcan sus credenciales en una página de inicio de sesión falsa. Después, esas credenciales se reutilizan contra el inicio de sesión real. El phishing tiene éxito incluso cuando el resto de las defensas son perfectas.

De nuevo, la 2FA es el último recurso. Incluso una contraseña robada falla sin el segundo factor.

Ningún ataque de inicio de sesión depende de una sola técnica, así que tu defensa tampoco debería hacerlo. Combinar contraseñas fuertes, 2FA, bloqueos y el endurecimiento de XML-RPC y la REST API neutraliza a la inmensa mayoría de ellos. Si quieres que alguien revise el estado de seguridad del inicio de sesión de tu sitio y lo refuerce, en Defyn podemos ayudarte.

Preguntas frecuentes

¿Qué ataque de inicio de sesión a WordPress es el más común en 2026?

La fuerza bruta y el credential stuffing empatan en el primer puesto. Entre ambos concentran la mayoría de los ataques de inicio de sesión a WordPress.

¿Son ataques sofisticados?

No. Son automatizados y a lo bruto. La sofisticación es rara. El problema es el volumen.

¿La limitación de intentos lo detiene todo?

No. Las botnets distribuidas burlan la limitación por IP. Una defensa por capas es imprescindible.

¿Cómo sé si estoy sufriendo un ataque?

Picos de intentos de inicio de sesión fallidos en tu registro de auditoría. Bloqueos repentinos. IP nuevas que golpean tu página de inicio de sesión una y otra vez.