Gli attacchi di forza bruta a WordPress hanno la stessa anatomia su migliaia di siti perché gli aggressori sono le stesse botnet che eseguono gli stessi script. Conoscere i passaggi è ciò che ti permette di progettare la difesa. Questa guida ripercorre un attacco tipico nel 2026.
Passo uno: la scoperta
Le botnet scandagliano il web alla ricerca dei percorsi /wp-login.php e /wp-admin. I siti che rispondono a uno dei due diventano candidati. I siti che restituiscono un 404 su entrambi non entrano mai nella lista dei candidati.
Nascondere l’URL ti toglie dal bacino dei candidati. Una riduzione gratuita del volume di attacchi.
Passo due: l’enumerazione dei nomi utente
Gli aggressori sondano la risposta di accesso per trovare nomi utente validi. Fino a poco tempo fa WordPress rivelava i nomi utente validi tramite messaggi di errore differenti. Le versioni moderne di WordPress e il plugin giusto bloccano questo.
Senza un nome utente noto, la forza bruta non ha bersaglio.
Passo tre: il tentativo di indovinare la password
Una volta noto un nome utente, il bot prova password trapelate e parole di dizionario, distribuite su migliaia di IP per aggirare la limitazione dei tentativi per IP. Defyn Security Manager risponde con blocco per IP e per nome utente, opzionalmente consentendo solo gli IP inseriti in una lista di autorizzati.
Il plugin Defyn Security Manager offre anche la restrizione per fascia oraria, così gli accessi vanno a buon fine solo entro le ore che dichiari, riducendo la finestra per gli attacchi automatizzati.
Passo quattro: la persistenza dopo il successo
Un accesso riuscito porta all’installazione di una backdoor, alla creazione di un account amministratore o a una modifica furtiva dei file. Il sito diventa allora parte di una botnet o un punto di distribuzione di malware.
I registri di audit e il monitoraggio dell’integrità dei file rilevano la persistenza. Il ripristino richiede una bonifica completa.
Difesa in profondità
Nascondi l’URL. Blocca l’enumerazione. Applica il blocco contro la forza bruta. Imponi la 2FA. Registra tutto. Ogni livello rende più difficile la catena dell’attacco. La maggior parte degli attacchi automatizzati si arrende prima di superare tutti i livelli.
Gli attacchi manuali mirati esistono ancora, ma sono rari contro la maggior parte dei siti.
Capire ogni passo dell’attacco è ciò che ti permette di costruire una difesa all’altezza. Se vuoi che questa protezione a livelli sia impostata e monitorata sul tuo sito, il team di Defyn può aiutarti.
Domande frequenti
Quanto in fretta si sviluppa un attacco di forza bruta?
Gli attacchi riusciti richiedono da minuti a ore. Gli attacchi respinti rimbalzano nel giro di secondi.
La maggior parte degli attacchi è automatizzata?
Sì. Oltre il 99% degli attacchi di accesso a WordPress è automatizzato.
Posso vedere gli attacchi in tempo reale?
Sì, tramite il registro di audit. I tentativi di accesso falliti e i blocchi compaiono man mano che avvengono.
E se il mio sito è preso di mira in modo specifico?
Gli attacchi mirati aggirano le difese automatizzate. La difesa a livelli li rallenta comunque. Qui contano soprattutto backup, monitoraggio e risposta agli incidenti.
