Los ataques de inicio de sesi\u00f3n a WordPress en 2026 tienen un aspecto distinto al de 2020. Algunas t\u00e9cnicas antiguas persisten. Han surgido otras nuevas. Saber qu\u00e9 circula es el primer paso para defenderse. Esta gu\u00eda repasa las categor\u00edas de ataque a las que realmente te enfrentas en 2026.<\/p>\n\n\n\n
Adivinaci\u00f3n automatizada de combinaciones de contrase\u00f1as contra \/wp-login.php. Empez\u00f3 siendo algo sencillo en 2010. Ahora se distribuye entre miles de IP de botnets para burlar la limitaci\u00f3n de intentos por IP. Sigue funcionando contra sitios con contrase\u00f1as d\u00e9biles y sin bloqueo.<\/p>\n\n\n\n
La defensa es de varias capas: oculta la URL, aplica un bloqueo tras varios intentos fallidos y exige contrase\u00f1as fuertes.<\/p>\n\n\n\n
Los atacantes usan pares de usuario y contrase\u00f1a filtrados en otras brechas contra tu p\u00e1gina de inicio de sesi\u00f3n. Si un usuario reutiliz\u00f3 en tu sitio una contrase\u00f1a que se filtr\u00f3 en otro lugar, esa credencial funciona. No hace falta ninguna adivinaci\u00f3n ingeniosa.<\/p>\n\n\n\n
La autenticaci\u00f3n de dos factores (2FA) es la \u00fanica defensa completa. El credential stuffing tiene \u00e9xito cuando la contrase\u00f1a filtrada es correcta.<\/p>\n\n\n\n
Los atacantes enumeran nombres de usuario v\u00e1lidos aprovechando las respuestas del formulario de inicio de sesi\u00f3n de WordPress o los endpoints de la REST API. Conocer el nombre de usuario acelera la fuerza bruta o el credential stuffing. Defyn Security Manager bloquea ambas v\u00edas de enumeraci\u00f3n.<\/p>\n\n\n\n
El plugin Defyn Security Manager cierra el vector de enumeraci\u00f3n que permite a los atacantes acotar qu\u00e9 nombres de usuario atacar.<\/p>\n\n\n\n
Las versiones antiguas de WordPress permit\u00edan intentos de inicio de sesi\u00f3n ilimitados a trav\u00e9s de XML-RPC, esquivando los l\u00edmites de intentos del inicio de sesi\u00f3n web. El hardening moderno bloquea por completo XML-RPC o lo envuelve con una limitaci\u00f3n de intentos. La REST API plantea preocupaciones similares.<\/p>\n\n\n\n
Desactiva ambos salvo que tengas una necesidad concreta.<\/p>\n\n\n\n
Los atacantes env\u00edan correos convincentes a los administradores para enga\u00f1arlos y que introduzcan sus credenciales en una p\u00e1gina de inicio de sesi\u00f3n falsa. Despu\u00e9s, esas credenciales se reutilizan contra el inicio de sesi\u00f3n real. El phishing tiene \u00e9xito incluso cuando el resto de las defensas son perfectas.<\/p>\n\n\n\n
De nuevo, la 2FA es el \u00faltimo recurso. Incluso una contrase\u00f1a robada falla sin el segundo factor.<\/p>\n\n\n\n