Brute force útok (česky útok hrubou silou) je pokus dostat se do cizího účtu tím, že program zkouší jedno heslo za druhým, dokud nějaké nesedne. Je to jako by někdo u dveří postupně zkoušel všechny klíče ze svazku – nic chytrého v tom není, jen vytrvalost a rychlost stroje.
Neděje se to ručně. Útočí automaty, které mají seznamy nejčastějších hesel z dřívějších úniků dat a zvládnou jich zkusit tisíce za minutu. Nikoho si nevybírají – projíždějí internet a zkoušejí každou přihlašovací stránku, na kterou narazí. I zbrusu nový web s deseti návštěvníky měsíčně dostane takové pokusy během několika dní.
Nejčastější cíle jsou:
- Administrace WordPressu na adrese /wp-admin, zdaleka nejčastější terč.
- FTP a přístup k souborům – odtud jde nahrát na web cokoli.
- E-mailové schránky, které se pak zneužijí k rozesílání spamu.
- Rozhraní XML-RPC, kde lze zkoušet víc hesel v jednom požadavku najednou.
Obrana je naštěstí jednoduchá a hlavně na Vaší straně. Použijte dlouhé jedinečné heslo – několik náhodných slov je lepší než krátká změť znaků – a nikde jinde ho neopakujte. Zapněte dvoufázové ověření, které samotné heslo nestačí obejít. Nepoužívejte přihlašovací jméno admin. Náš firewall a filtrování provozu před serverem odchytí velkou část pokusů dřív, než k Vám dorazí, ale slabé heslo za Vás nikdo neuhlídá.
Když útok uspěje, obvykle následuje malware nebo rozesílání spamu z Vaší domény. Proto se hodí, že držíme noční zálohy 30 dní zpětně – web jde vrátit do stavu před průnikem. Vždy je ale potřeba zároveň změnit hesla, jinak se útočník vrátí toutéž cestou.