Gli attacchi di login a WordPress nel 2026 hanno un aspetto diverso rispetto al 2020. Alcune tecniche vecchie persistono. Ne sono emerse di nuove. Sapere cosa circola è il primo passo per difendersi. Questa guida illustra le categorie di attacco che affronti realmente nel 2026.
Attacchi di forza bruta
Tentativi automatizzati di indovinare combinazioni di password contro /wp-login.php. Nel 2010 era una cosa semplice. Oggi vengono distribuiti su migliaia di IP di botnet per aggirare la limitazione dei tentativi per IP. Continuano a funzionare contro siti con password deboli e senza blocco.
La difesa è a più livelli: nascondi l’URL, blocca dopo i tentativi falliti e imponi password robuste.
Credential stuffing
Gli aggressori usano contro la tua pagina di login coppie di nome utente e password trafugate da altre violazioni. Se un utente ha riutilizzato sul tuo sito una password trapelata altrove, la credenziale funziona. Non serve alcun tentativo astuto.
L’autenticazione a due fattori (2FA) è l’unica difesa completa. Il credential stuffing riesce quando la password trapelata è corretta.
Enumerazione dei nomi utente
Gli aggressori enumerano i nomi utente validi sfruttando le risposte del modulo di login di WordPress o gli endpoint della REST API. Conoscere il nome utente rende più veloci la forza bruta o il credential stuffing. Defyn Security Manager blocca entrambe le vie di enumerazione.
Il plugin Defyn Security Manager chiude il vettore di enumerazione che permette agli aggressori di restringere quali nomi utente prendere di mira.
Abuso di XML-RPC e della REST API
Le vecchie versioni di WordPress consentivano tentativi di login illimitati tramite XML-RPC, aggirando i limiti dei tentativi del login web. L’hardening moderno blocca del tutto XML-RPC oppure lo avvolge con una limitazione dei tentativi. La REST API presenta preoccupazioni simili.
Disattiva entrambi, a meno che tu non abbia un’esigenza specifica.
Phishing mirato
Gli aggressori inviano agli amministratori email convincenti per indurli a inserire le proprie credenziali in una pagina di login falsa. Le credenziali vengono poi riutilizzate contro il login reale. Il phishing riesce anche quando le altre difese sono perfette.
Ancora una volta la 2FA è la rete di sicurezza. Persino una password rubata fallisce senza il secondo fattore.
Nessun attacco di login si basa su un’unica tecnica, quindi nemmeno la tua difesa dovrebbe farlo. Combinare password robuste, 2FA, blocchi e l’irrigidimento di XML-RPC e della REST API neutralizza la stragrande maggioranza di essi. Se vuoi che qualcuno verifichi lo stato di sicurezza del login del tuo sito e lo rafforzi, Defyn può aiutarti.
Domande frequenti
Quale attacco di login a WordPress è il più comune nel 2026?
La forza bruta e il credential stuffing sono a pari merito al primo posto. Insieme rappresentano la maggior parte degli attacchi di login a WordPress.
Questi attacchi sono sofisticati?
No. Sono automatizzati e grezzi. La sofisticazione è rara. Il problema è il volume.
La limitazione dei tentativi ferma tutto?
No. Le botnet distribuite aggirano la limitazione per IP. Una difesa a strati è essenziale.
Come faccio a capire se sono sotto attacco?
Picchi di tentativi di login falliti nel tuo registro di controllo. Blocchi improvvisi. Nuovi IP che colpiscono ripetutamente la tua pagina di login.
