Cuando hago una auditoría de seguridad en un WordPress, el 90% de las instalaciones tienen los mismos problemas. No porque los propietarios sean descuidados, sino porque nadie les explicó qué configurar al instalar.

La buena noticia: la mayoría de estos cambios se hacen desde el panel de administración, sin tocar una sola línea de código y sin necesidad de contratar a nadie.

¿Necesitas información? osint[.]aragonosint.com

Tema de la semana

Hardening WordPress: 10 cambios que puedes hacer hoy

1. Limita los intentos de login

Por defecto, WordPress permite intentar contraseñas indefinidamente. Un atacante puede probar miles de combinaciones de forma automatizada sin que nadie lo detenga. Un plugin como Limit Login Attempts Reloaded bloquea una IP después de un número definido de intentos fallidos. Instalación y configuración: cinco minutos.

2. Activa el doble factor en el login

Con un plugin como WP 2FA, cada vez que alguien inicie sesión en tu WordPress necesitará confirmar su identidad con una app de autenticación. Aunque alguien obtenga tu contraseña, no puede entrar sin el segundo factor.

3. Desactiva XML-RPC1 si no lo usas

XML-RPC es una interfaz que permite comunicación remota con WordPress. Tiene usos legítimos (apps móviles, Jetpack) pero también es un vector habitual de ataques de fuerza bruta2 y DDoS. Si no la usas, desactívala. El plugin Disable XML-RPC lo hace en un clic.

4. Cambia la URL de acceso al panel

La URL por defecto tudominio.com/wp-admin es conocida por todos los atacantes. Cambiarla no es una protección completa — es security through obscurity3 — pero reduce el ruido de ataques automatizados. Plugin: WPS Hide Login.

5. Desactiva la edición de archivos desde el panel

WordPress permite editar archivos de temas y plugins directamente desde el panel de administración. Si alguien compromete una cuenta de administrador, puede modificar archivos del servidor desde el navegador. Añade esta línea al archivo wp-config.php: define('DISALLOW_FILE_EDIT', true);. Esta es la única que requiere tocar un archivo.

6. Oculta la versión de WordPress

WordPress incluye la versión en el código fuente de la web por defecto. Si estás desactualizado, eso facilita identificar vulnerabilidades conocidas. Con un plugin de seguridad como Wordfence4 puedes eliminarlo en un clic.

7. Revisa los roles y usuarios activos

¿Hay usuarios con rol de Administrador que ya no trabajan en el proyecto? ¿Cuentas de agencias externas que ya no gestionan la web? Usuarios → Todos los usuarios → revisa la lista y elimina o reduce el rol de quienes no deberían tener acceso completo.

8. Fuerza HTTPS en toda la web

Si tu web ya tiene certificado SSL5 pero aún sirve páginas en HTTP, cualquier comunicación no cifrada es interceptable. Asegúrate de que tienes una redirección 301 de HTTP a HTTPS activa y que el certificado SSL está configurado correctamente. Tu hosting probablemente tiene Let’s Encrypt disponible de forma gratuita.

9. Mantén actualizados WordPress, temas y plugins

El 90% de los compromisos en WordPress se deben a versiones desactualizadas con vulnerabilidades conocidas y publicadas. Las actualizaciones de seguridad deben aplicarse lo antes posible. Si no las vas a revisar manualmente cada semana, activa las actualizaciones automáticas para las actualizaciones menores de WordPress.

10. Instala un plugin de seguridad básico

Wordfence en su versión gratuita incluye firewall, escáner de malware, monitorización de intentos de login y alertas por email. No es la solución definitiva, pero añade una capa de detección que WordPress no tiene por defecto.

Más información

Para llevar

Los tres cambios de mayor impacto si solo tienes tiempo para hacer tres:

1. Limita los intentos de login (Limit Login Attempts Reloaded).
Es el cambio más inmediato contra ataques de fuerza bruta. Instalación y configuración en cinco minutos desde el repositorio de plugins de WordPress.

2. Activa doble factor en todas las cuentas de administrador.
Aunque alguien obtenga la contraseña de un administrador, no podrá entrar sin el segundo factor. WP 2FA es gratuito y funciona con cualquier app de autenticación.

3. Revisa y limpia los usuarios con acceso de administrador.
Es frecuente encontrar cuentas de desarrolladores, agencias o colaboradores que ya no deberían tener acceso. Cinco minutos en Usuarios → Todos los usuarios pueden eliminar vectores de entrada innecesarios.

• SOC 24/7 (Centro de Operaciones de Seguridad)

• CISO as a Service

• Formación bonificada en ciberseguridad (FUNDAE)

• Backup profesional

Más información

En el radar — próxima edición

#14 · Vishing: la llamada del banco que no es del banco

Saben tu nombre. Conocen tu número de cuenta. Te dicen que hay una transacción sospechosa y que necesitan verificar tu identidad. Todo parece legítimo. La semana que viene te explico cómo funciona el vishing, por qué es tan efectivo y qué tienes que hacer cuando recibes una llamada así.

Hasta la próxima

Si tienes un WordPress y llevas tiempo pensando que habría que revisarlo, esta lista es un buen punto de partida. No hace falta hacerlo todo a la vez: elige los tres puntos de arriba y empieza por ahí.

Si prefieres que lo revisemos juntos o quieres que haga yo la implementación, escríbeme. Te digo qué tiene tu instalación y qué prioridad tiene cada cosa.

Cada viernes a las 9 de la mañana tienes una nueva edición de El Hurón del Hack en tu bandeja de entrada. Si conoces a alguien con una web WordPress que nunca la ha revisado por dentro, pásale este número.

Nos vemos el viernes que viene.

Chabi Angulo
Consultor de Ciberseguridad
chabiangulo.com · LinkedIn

¿Necesitas información? osint[.]aragonosint.com

Un cliente me reenvió un email la semana pasada. Le había llegado de un proveedor con el que trabaja habitualmente, pero algo no cuadraba: el dominio1 del remitente era empresa-facturacion.com en lugar del habitual empresa.com.

Le pregunté cuándo habían registrado ese dominio. No lo sabía. Nadie se había fijado.

Hacía tres días. El dominio tenía tres días de antigüedad. Era una suplantación.

Más información

Tema de la semana

Cómo investigar un dominio antes de confiar en él

No hace falta ser técnico para obtener información útil sobre un dominio. Con herramientas gratuitas y accesibles puedes saber en pocos minutos quién registró un dominio, cuándo, desde dónde opera y si tiene historial de actividad maliciosa.

Lo primero: la edad del dominio

Un dominio recién registrado que simula ser una empresa consolidada es una señal de alerta inmediata. Los dominios de phishing2 se crean días o semanas antes de lanzar la campaña, porque las empresas legítimas llevan años o décadas con el mismo dominio.

Puedes consultar la fecha de registro en cualquier servicio WHOIS3: whois.domaintools.com, who.is o directamente buscando whois nombredominio.com en Google. La fecha de creación aparece en los primeros resultados.

WHOIS: quién hay detrás

El registro WHOIS muestra quién registró el dominio, en qué país, cuándo y en qué registrador4. En muchos casos los datos están ocultos por servicios de privacidad, lo cual no es necesariamente sospechoso — muchos propietarios legítimos los ocultan. Pero si el dominio finge ser una empresa española y el registrante aparece en un país sin relación, merece investigarlo más.

VirusTotal: historial de reputación

VirusTotal.com5 permite analizar un dominio contra decenas de motores de detección de malware y bases de datos de reputación. Si el dominio ha sido usado para phishing, distribución de malware o spam, aparecerá marcado. También muestra el historial de IPs asociadas y si han tenido actividad maliciosa.

Un dominio limpio en VirusTotal no garantiza que sea legítimo — puede ser nuevo y todavía no estar catalogado — pero uno que aparece marcado es descarte inmediato.

La búsqueda en Google

Algo tan simple como buscar el dominio entre comillas en Google ("empresa-facturacion.com") puede revelar si hay menciones en foros de seguridad, reportes de scam o discusiones sobre actividad fraudulenta. También puedes buscar site:nombredominio.com para ver qué páginas tiene indexadas.

Verificar el dominio real de la empresa

Si recibes comunicación supuestamente de una empresa conocida desde un dominio que no reconoces, la verificación más directa es ir a la web oficial de esa empresa — buscándola en Google, no haciendo clic en el enlace del correo — y comparar el dominio oficial con el del remitente.

• SOC 24/7 (Centro de Operaciones de Seguridad)

• CISO as a Service

• Formación bonificada en ciberseguridad (FUNDAE)

• Backup profesional

Más información

Para llevar

Tres comprobaciones rápidas ante cualquier dominio dudoso:

1. Busca la fecha de registro en WHOIS.
Entra en who.is y escribe el dominio. Si tiene menos de seis meses y simula ser una empresa establecida, desconfía.

2. Analízalo en VirusTotal.
virustotal.com → pestaña Search → escribe el dominio. Mira especialmente la columna de vendors que lo marcan como malicioso y las IPs históricas asociadas.

3. Busca el dominio en Google entre comillas.
"dominiodudoso.com" — si hay reportes de actividad maliciosa en foros o comunidades de seguridad, aparecerán en los primeros resultados.

En el radar — próxima edición

#13 · Hardening WordPress: 10 cambios que puedes hacer hoy sin tocar código

Después de una auditoría siempre encuentro las mismas configuraciones inseguras. La semana que viene te doy la lista de los cambios más efectivos que puedes hacer en tu WordPress en menos de una hora, sin necesidad de editar código ni contratar a nadie.

Hasta la próxima

La próxima vez que recibas un email con un enlace o un dominio que no reconoces del todo, dedícale dos minutos antes de hacer clic. No es paranoia. Es el mismo sentido común que aplicas cuando un desconocido te llama por teléfono.

Si tienes dudas sobre un dominio concreto y no sabes interpretar lo que encuentras, escríbeme. Te digo en cinco minutos si hay algo de lo que preocuparse.

Cada viernes a las 9 de la mañana tienes una nueva edición de El Hurón del Hack en tu bandeja de entrada. Si trabajas con proveedores externos y recibes comunicaciones por email regularmente, esta edición es especialmente relevante para ti.

Nos vemos el viernes que viene.

Chabi Angulo
Consultor de Ciberseguridad
chabiangulo.com · LinkedIn

Cuando le pregunté si usaba un gestor de contraseñas1 me dijo que no lo necesitaba, que las suyas eran seguras porque tenían mayúsculas, números y símbolos.

El problema no era la complejidad. Era que las reutilizaba.

• SOC 24/7 (Centro de Operaciones de Seguridad)

• CISO as a Service

• Formación bonificada en ciberseguridad (FUNDAE)

• Backup profesional

Más información

Tema de la semana

Contraseñas en 2026: lo que sigues haciendo mal

El error más extendido: reutilizar contraseñas

Una contraseña puede ser perfectamente compleja y seguir siendo un problema si la usas en más de un sitio. Cuando una plataforma sufre una filtración de datos — y ocurre constantemente — los atacantes prueban esas credenciales en todos los servicios conocidos. Correo, banca online, redes sociales. Es automático. Se llama credential stuffing2 y no requiere ninguna sofisticación técnica.

Si usas la misma contraseña en tu correo y en una tienda online donde compraste algo hace tres años, ese correo está en riesgo aunque la tienda online no tenga nada que ver con tu empresa.

Longitud por encima de complejidad

Correcto-Caballo-Batería-Grapas es más segura que C0rr3ct0!. Una frase de cuatro palabras aleatorias supera en entropía3 a cualquier contraseña corta con caracteres especiales, y es incomparablemente más fácil de recordar.

Las políticas de contraseñas que exigen mayúsculas, números y símbolos en 8 caracteres están desfasadas. Son difíciles de recordar, fáciles de predecir en sus patrones (Empresa1!) y no añaden tanta seguridad como simplemente aumentar la longitud.

Los gestores de contraseñas: por qué sí

La objeción más común es “y si me hackean el gestor, pierdo todo”. Es una preocupación legítima, pero el riesgo de usar contraseñas débiles o reutilizadas es incomparablemente mayor. Los gestores modernos cifran localmente antes de sincronizar: ni el propio servicio puede leer tus contraseñas.

Con un gestor de contraseñas usas una contraseña maestra fuerte para todo lo demás, y cada servicio tiene su propia contraseña única generada aleatoriamente. No tienes que recordar nada más que una.

Opciones sólidas: Bitwarden (gratuito y de código abierto), 1Password, KeePassXC (local, sin sincronización en la nube si lo prefieres).

El doble factor4 que importa

Activar la verificación en dos pasos con SMS es mejor que nada, pero tiene sus límites. Los ataques de SIM swapping5 pueden interceptar esos códigos. Si puedes elegir, usa una app de autenticación (Google Authenticator, Aegis, Authy) o mejor aún una clave de hardware física.

Lo mínimo recomendable: doble factor activado en tu correo principal y en todos los servicios financieros. Esas dos cosas protegen el 80% de lo que importa.

Más información

Para llevar

Tres acciones para esta semana:

1. Revisa si alguna de tus contraseñas ha sido filtrada.
Entra en haveibeenpwned.com6 y busca tu dirección de correo. Si aparece en filtraciones, cambia esas contraseñas ya — especialmente si las has reutilizado en otros sitios.

2. Instala un gestor de contraseñas y empieza por los servicios más críticos.
Correo, banca, acceso al trabajo. No hace falta migrar todo a la vez. Empieza por los tres más importantes y ve añadiendo.

3. Activa el doble factor en tu correo principal si no lo tienes.
Preferiblemente con una app de autenticación, no con SMS. Tarda cinco minutos y es probablemente el cambio de mayor impacto que puedes hacer hoy en tu seguridad digital.

En el radar — próxima edición

#12 · Cómo investigar un dominio antes de confiar en él

Recibes un email con un enlace. O un proveedor te pasa su web. O alguien te propone una colaboración y quieres saber si es lo que dice ser. La semana que viene te enseño qué información puedes obtener de un dominio en pocos minutos, sin herramientas de pago y sin conocimientos técnicos.

Hasta la próxima

Si llevas años con el mismo sistema de contraseñas y sabes en el fondo que no es el óptimo, este es el momento de hacer el cambio. No hace falta hacerlo todo a la vez.

Si tienes dudas sobre qué gestor elegir o cómo configurar el doble factor en un servicio concreto, escríbeme. Te oriento sin compromiso.

Cada viernes a las 9 de la mañana tienes una nueva edición de El Hurón del Hack en tu bandeja de entrada. Si conoces a alguien que todavía usa 123456 o variaciones del nombre de su empresa, pásale esta edición.

Nos vemos el viernes que viene.

Chabi Angulo
Consultor de Ciberseguridad
chabiangulo.com · LinkedIn

Todo era falso. Pero todo lo necesario para construir ese correo estaba en LinkedIn.

El proyecto, mencionado en una actualización de estado que había publicado él mismo. El nombre del responsable, visible en su perfil. Las herramientas que usaba la empresa, en la sección de habilidades de varios empleados. La estructura del equipo, reconstruida en diez minutos mirando el organigrama implícito que forma una empresa en LinkedIn.

La ingeniería social1 no necesita hackear nada. Necesita información. Y LinkedIn es una fuente extraordinaria.

Más información

Tema de la semana

Ingeniería social en LinkedIn: tu perfil como mapa para atacarte

LinkedIn está diseñado para que compartas información profesional. Eso es exactamente lo que lo hace valioso para un reconocimiento2 previo a un ataque.

Qué encuentra un atacante en tu perfil

Tu nombre completo y foto — necesario para personalizar el ataque y para hacer que parezca que te conocen. Tu empresa actual y tu cargo — define el objetivo y el nivel de acceso que probablemente tienes. Tu historial de empresas anteriores — útil para ataques de suplantación de exempleados o proveedores conocidos. Las herramientas y tecnologías que dominas — indica qué software usa tu empresa y por dónde podría entrar un ataque. Tus proyectos y logros descritos en el perfil — material para construir mensajes creíbles y personalizados. Tus conexiones — el organigrama de tu empresa, con nombres reales y cargos.

Lo que se puede hacer con esa información

Con el nombre del responsable de TI y el nombre de los sistemas que usa la empresa, se puede construir un correo suplantando al proveedor de ese software para pedir acceso o credenciales.

Con el nombre de un compañero de trabajo y el contexto de un proyecto, se puede enviar un mensaje haciéndose pasar por él desde una cuenta que imita ligeramente su nombre o correo.

Con la foto de perfil de un directivo, en casos más sofisticados, se puede crear un perfil falso que use su imagen para contactar a empleados con solicitudes aparentemente legítimas.

Con el historial de empresas anteriores, se puede intentar un ataque haciéndose pasar por un antiguo proveedor o colaborador al que nadie recuerda perfectamente.

El perfil no es el único problema

Los empleados también publican actualizaciones: “empezamos a usar la nueva plataforma de gestión”, “esta semana reunión de equipo para definir la estrategia del Q3”, “primer día en el nuevo proyecto con [nombre del cliente]”. Cada publicación añade contexto que un atacante puede usar.

Las ofertas de empleo también revelan información valiosa: qué tecnologías usa la empresa, qué proyectos tiene en marcha, cómo está estructurado el equipo técnico.

¿Hay que dejar de usar LinkedIn?

No. LinkedIn es una herramienta legítima y útil para el trabajo. El objetivo no es desaparecer, sino ser consciente de qué se comparte y ajustar lo que se puede ajustar.

La privacidad total en una red profesional es imposible. Pero hay una diferencia entre tener un perfil profesional visible y tener un mapa detallado de la infraestructura técnica de tu empresa en la sección de habilidades de veinte empleados.

• SOC 24/7 (Centro de Operaciones de Seguridad)

• CISO as a Service

• Formación bonificada en ciberseguridad (FUNDAE)

• Backup profesional

Más información

Para llevar

Tres ajustes que reducen la exposición sin afectar al uso profesional de la plataforma:

1. Revisa qué información técnica tienes en la sección de habilidades.
Listar “Office” o “gestión de equipos” no da información sensible. Listar el nombre exacto del ERP3 que usa tu empresa, el sistema de control de accesos o las herramientas de seguridad interna sí lo hace. Quita lo que describe la infraestructura y deja lo que describe tus capacidades profesionales.

2. Configura la privacidad de tus conexiones para que no sean visibles públicamente.
Ajustes → Visibilidad → Visibilidad de tu lista de conexiones → Solo tú. Con esto evitas que alguien reconstruya el organigrama de tu empresa mirando a quién conoces. Sigue viendo tus conexiones — simplemente los demás no.

3. Antes de publicar una actualización que mencione proyectos, clientes o tecnología interna, piensa si es información que debería ser pública.
El entusiasmo por compartir logros es comprensible. Pero “hemos implementado con éxito el nuevo sistema de backup en la nube usando [herramienta concreta]” es también un aviso a quien busca puntos de entrada.

En el radar — próxima edición

#11 · Contraseñas en 2026: lo que sigues haciendo mal

Los gestores de contraseñas existen desde hace años. Las recomendaciones son las mismas desde hace una década. Y aun así el 80% de las filtraciones de datos siguen empezando por una contraseña débil o reutilizada. La semana que viene vemos por qué pasa eso, qué hace realmente un gestor de contraseñas y por qué es el cambio con mejor ratio de esfuerzo respecto a protección que puedes hacer.

Hasta la próxima

Si después de leer esto te has ido a revisar tu perfil de LinkedIn, bien. Ese es exactamente el punto.

No se trata de entrar en pánico ni de borrar la cuenta. Se trata de hacer una revisión consciente de qué estás compartiendo y ajustar lo que puedes ajustar sin que afecte a cómo usas la plataforma para lo que sirve.

Si quieres que revisemos la exposición de tu empresa en redes sociales y fuentes abiertas — qué imagen tiene tu organización desde fuera para alguien que busca activamente — escríbeme. Es uno de los servicios más útiles que puedo hacer antes de una auditoría.

Cada viernes a las 9 de la mañana tienes una nueva edición de El Hurón del Hack en tu bandeja de entrada. Llevamos ya diez semanas — si has llegado hasta aquí, gracias por seguir al otro lado. Si hay un tema que quieras que trate o algo de lo que hemos visto que quieras profundizar, responde a este correo y me lo cuentas.

Nos vemos el viernes que viene.

Chabi Angulo
Consultor de Ciberseguridad
chabiangulo.com · LinkedIn

En una ocasión encontré una cámara de seguridad de las instalaciones de una empresa que respondía sin contraseña. En otra, un panel de administración de un sistema de climatización de una oficina accesible directamente desde internet. En otro caso, una impresora con el firmware2 de 2016 sin actualizar, expuesta con su IP pública3.

Todo eso sin haber entrado a ningún sistema. Solo mirando lo que Shodan ya tenía indexado.

• SOC 24/7 (Centro de Operaciones de Seguridad)

• CISO as a Service

• Formación bonificada en ciberseguridad (FUNDAE)

• Backup profesional

Más información

Tema de la semana

Shodan: el buscador que encuentra dispositivos, no páginas web

Google rastrea páginas web — el contenido que están diseñadas para mostrar. Shodan hace otra cosa: rastrea todo lo que está conectado a internet y responde a una solicitud de red. No le importa si tiene interfaz web o no. Si hay algo escuchando en un puerto4, Shodan lo registra.

Qué encuentra Shodan

Cualquier dispositivo con IP pública que responda: servidores web, cámaras de seguridad IP, routers y switches con paneles de administración accesibles, sistemas industriales SCADA5, impresoras en red, sistemas de domótica y control de edificios, dispositivos médicos conectados, y sistemas de almacenamiento NAS6 expuestos.

Para cada dispositivo indexado, Shodan muestra la IP, la localización aproximada, el sistema operativo si se puede determinar, los puertos abiertos y los servicios que corren en ellos, y en muchos casos el banner7 del servicio — la información que el servicio muestra al conectarse, que puede incluir versión del software y nombre del sistema.

Por qué importa para una empresa normal

La mayoría de empresas no tienen sistemas industriales ni infraestructura crítica. Pero sí tienen cosas que pueden acabar en Shodan sin que nadie lo haya decidido conscientemente.

Una cámara IP instalada por un técnico externo que abrió el puerto en el router para acceder en remoto y nunca lo cerró. Una NAS con los archivos de la empresa configurada para acceso remoto con la contraseña de fábrica. Un panel de administración del router que el proveedor de internet dejó accesible desde fuera. Un servidor de desarrollo que alguien levantó hace dos años y nadie recuerda que existe.

Todo eso es visible en Shodan para cualquiera que sepa buscar. No hace falta ser un atacante sofisticado — la búsqueda básica de Shodan es gratuita y no requiere conocimientos técnicos especiales.

La búsqueda más simple que puedes hacer

Shodan permite buscar por nombre de organización, por rango de IPs, o simplemente poniendo el nombre de tu empresa o dominio. Una búsqueda básica con la IP pública de tu oficina muestra todo lo que Shodan ha indexado de esa dirección.

Lo que encuentres puede ser perfectamente legítimo y bien configurado. O puede ser la primera vez que ves que tienes algo expuesto que no tenías intención de exponer.

El problema de los dispositivos olvidados

Los sistemas instalados hace años y nunca actualizados son especialmente problemáticos porque acumulan vulnerabilidades conocidas. Una cámara de 2018 con el firmware original puede tener diez fallos de seguridad documentados públicamente. Shodan también indexa qué versión de software corre cada dispositivo, lo que facilita enormemente el trabajo de quien busca objetivos vulnerables.

Para llevar

Tres acciones concretas para este viernes:

1. Busca tu empresa en Shodan.
Ve a shodan.io y en el buscador escribe el nombre de tu empresa o tu dominio. Con cuenta gratuita puedes ver resultados básicos. Si aparece algo que no esperabas, apúntalo — es el punto de partida para investigar.

2. Pregunta a quien gestiona vuestra red qué puertos están abiertos hacia internet.
Si nadie sabe la respuesta, eso ya es información relevante. Una auditoría básica de puertos expuestos es una de las primeras cosas que debería conocerse sobre la infraestructura de una empresa.

3. Revisa los dispositivos con acceso remoto que hay en la oficina.
Cámaras, NAS, routers, impresoras. ¿Alguno tiene el acceso remoto activado? ¿Con qué credenciales? ¿Desde cuándo? ¿Quién lo configuró? Si no tienes respuestas claras para todos, merece la pena investigarlo.

Más información

En el radar — próxima edición

#10 · Ingeniería social en LinkedIn: tu perfil como mapa para atacarte

Tu perfil de LinkedIn tiene nombre, cargo, empresa, proyectos, herramientas que usas y compañeros de trabajo. Todo eso es exactamente lo que necesita alguien que quiere construir un ataque dirigido contra ti o tu organización. La semana que viene te explico qué información expones sin darte cuenta y qué puedes hacer para reducirla sin dejar de usar la plataforma.

Hasta la próxima

Si esta semana haces la búsqueda en Shodan y encuentras algo inesperado, no entres en pánico. La mayoría de las veces hay una explicación y una solución técnica relativamente sencilla.

Si no sabes interpretar lo que ves o quieres que revisemos qué tiene tu infraestructura expuesto, escríbeme. Miramos juntos lo que hay y te digo qué tiene prioridad real.

Cada viernes a las 9 de la mañana tienes una nueva edición de El Hurón del Hack en tu bandeja de entrada. Si alguien de tu entorno gestiona la infraestructura tecnológica de una empresa, puede que esta edición le resulte útil — pásasela.

Nos vemos el viernes que viene.

Chabi Angulo
Consultor de Ciberseguridad
chabiangulo.com · LinkedIn

Eso es exactamente lo que quiere el atacante.

Los compromisos silenciosos — los que no gritan, no desfiguran la portada y no muestran mensaje de hackeo — son los más habituales y los más rentables. Tu web funciona para ti. Pero mientras tanto está enviando miles de correos de spam, redirigiendo a tus visitantes móviles a páginas de farmacia online o usando tu servidor para atacar a otros.

Tú no ves nada. Ellos llevan semanas trabajando.

Tema de la semana

Señales de que tu WordPress ha sido hackeado y no te has enterado

No todas las señales son obvias. Algunas requieren fijarse en cosas que normalmente no revisamos. Aquí van las más frecuentes.

Google avisa antes que tú

Google Search Console1 puede enviarte alertas cuando detecta contenido malicioso en tu web. Muchos propietarios de webs no tienen Search Console configurado, o lo tienen pero no revisan las alertas. Si entras y ves avisos de “contenido engañoso” o “software no deseado”, tu web lleva tiempo comprometida.

También puedes hacer una búsqueda rápida: escribe site:tudominio.com en Google y mira los resultados. Si aparecen páginas en japonés, ruso, chino o con nombres de medicamentos que no reconoces, tienes un compromiso activo. Es uno de los ataques más habituales: el atacante indexa miles de páginas de spam SEO2 dentro de tu dominio para posicionar su contenido usando tu autoridad.

Tu web redirige a los usuarios móviles a otro sitio

Si accedes desde el escritorio, ves tu web normal. Si accedes desde el móvil, te redirige a otra página. Este ataque está diseñado específicamente para que el propietario no lo detecte, porque tú casi siempre revisas tu web desde el ordenador.

Pruébalo: accede a tu web desde el navegador del móvil, o usa las herramientas de desarrollador del navegador para simular un dispositivo móvil (F12 → icono de móvil en Chrome).

Tu hosting te avisa de uso anómalo de recursos

Si recibes notificaciones de que tu web está consumiendo más CPU o ancho de banda de lo habitual sin que haya cambiado el tráfico real, puede ser que algo esté corriendo en segundo plano. Los mineros de criptomonedas y los scripts de spam son grandes consumidores de recursos del servidor.

Aparecen archivos o usuarios que no reconoces

Revisa el gestor de archivos de tu hosting o accede por FTP3. Si hay archivos PHP con nombres genéricos en carpetas donde no debería haber código — especialmente en uploads — es una señal de alerta. También revisa los usuarios administradores de WordPress: Usuarios → Todos los usuarios → Administrador.

Tus correos llegan como spam o tu dominio está en listas negras4

Si de repente los correos que envías desde tu dominio caen en la carpeta de spam de tus destinatarios, puede que tu servidor esté siendo usado para enviar spam y tu dominio haya acabado en listas negras. Puedes comprobarlo en herramientas gratuitas como MXToolbox5 o Google Postmaster Tools.

Tu web ha bajado de posiciones en Google de forma brusca

Una caída repentina en el posicionamiento puede tener varias causas, pero una de ellas es que Google haya detectado contenido malicioso o técnicas de spam SEO y haya penalizado el dominio. Si llevas un tiempo sin cambiar nada y el tráfico orgánico cae en picado, merece la pena investigar.

Para llevar

Tres comprobaciones que puedes hacer hoy mismo en menos de diez minutos:

1. Busca site:tudominio.com en Google y revisa los resultados. ¿Aparecen páginas que no reconoces? ¿Títulos en otros idiomas? ¿Contenido de spam o medicamentos? Si la respuesta es sí, tienes trabajo urgente. Si todo parece normal, bien, pero repite la búsqueda cada mes.

2. Accede a tu web desde el móvil y comprueba que no hay redireccionamientos. Usa el navegador nativo del móvil, no aplicaciones de escritorio. Si te lleva a otro sitio o ves un comportamiento distinto al de escritorio, hay algo instalado que lo está haciendo.

3. Revisa los usuarios administradores de WordPress. Usuarios → Todos los usuarios → filtra por Administrador. Si hay alguno que no reconoces — aunque tenga pinta de nombre genérico normal — elimínalo y cambia la contraseña de todos los administradores reales.

En el radar — próxima edición

#9 · Shodan: el buscador que encuentra dispositivos, no páginas web

Google indexa contenido. Shodan indexa dispositivos: cámaras, routers, impresoras, servidores industriales, sistemas de control de edificios. Todo lo que está conectado a internet y responde. La semana que viene te explico qué es, qué puede encontrar cualquiera sobre tus sistemas y qué significa para la seguridad de tu infraestructura.

Hasta la próxima

Si llevas tiempo sin revisar tu WordPress por dentro, esta semana es buen momento para hacer las tres comprobaciones de arriba.

No es un proceso técnico. No hace falta tocar código. Son miradas rápidas que te dan una imagen real de cómo está tu web en este momento.

Si encuentras algo que no terminas de interpretar o quieres que lo revisemos juntos, escríbeme. Te digo qué tiene importancia real y qué no.

Cada viernes a las 9 de la mañana tienes una nueva edición de El Hurón del Hack en tu bandeja de entrada. Si tienes una web WordPress y no la has revisado en meses, esta edición está escrita para ti — y probablemente también para alguien que conoces.

Nos vemos el viernes que viene.

Chabi Angulo Consultor de Ciberseguridad chabiangulo.com · LinkedIn

Me alegra que lo tengan activado. De verdad. El segundo factor1 cambia completamente el perfil de riesgo de una cuenta. Pero el SMS es la opción más frágil de todas las que existen, y hay alternativas igual de cómodas que funcionan mucho mejor.

Hoy te explico por qué.

Por qué el SMS como segundo factor ya no vale

El concepto de segundo factor es sólido: para entrar en una cuenta no basta con saber la contraseña, también necesitas demostrar que tienes acceso a algo físico. Una contraseña puede robarse a distancia; un dispositivo físico, en teoría, no.

El problema del SMS es que no es tan físico como parece.

SIM Swapping2 — cuando tu número deja de ser tuyo

El SIM swapping es un ataque donde alguien convence a tu operadora de telefonía de que eres tú y solicita que tu número de teléfono se transfiera a una SIM que controla el atacante. A partir de ese momento, todos los SMS que van a tu número los recibe él.

Para conseguirlo, el atacante necesita algunos datos personales básicos — nombre, DNI, a veces la dirección — información que en muchos casos se puede obtener de filtraciones de datos, redes sociales o llamadas de ingeniería social directamente a la víctima.

Una vez con el número, accede al correo, al banco, a los servicios que usan SMS como segundo factor. Y tú no te enteras hasta que tu teléfono pierde la cobertura.

SS73 — el protocolo roto que nadie ha arreglado

SS7 es el protocolo que usan las operadoras de telefonía para enrutar llamadas y mensajes entre redes. Fue diseñado en los años 80 con la premisa de que solo los operadores de telecomunicaciones tendrían acceso a él. Esa premisa lleva años siendo incorrecta.

Con acceso a la red SS7 — algo que está al alcance de actores con recursos — se pueden interceptar SMS sin necesidad de tocar el teléfono de la víctima ni contactar con la operadora. El mensaje simplemente se desvía antes de llegar.

Lo que sí funciona mejor

Las aplicaciones de autenticación — Google Authenticator, Authy, Microsoft Authenticator — generan códigos de seis dígitos que cambian cada 30 segundos y se calculan en el propio dispositivo. No pasan por la red de telefonía. No se pueden interceptar por SS7. No dependen de la operadora.

Las llaves de seguridad física4 — dispositivos como YubiKey — son aún más robustas. Se conectan al puerto USB o se acercan al teléfono por NFC5 y confirman el acceso de forma física. Sin código, sin SMS, sin aplicación.

Para la mayoría de cuentas del día a día — correo, gestor de contraseñas, banca, plataformas con información sensible — una aplicación de autenticación es un salto de seguridad enorme respecto al SMS y requiere el mismo tiempo de configuración.

¿Debería entonces quitar el SMS si es lo único que tengo?

No. Un SMS es mejor que nada. Si actualmente tienes SMS y pasarte a una app te da pereza, esa cuenta sigue siendo más segura que sin segundo factor. Pero si puedes elegir entre SMS y una app al configurar el segundo factor, elige siempre la app.

Para llevar

Tres pasos concretos para mejorar la situación esta semana:

1. Instala una aplicación de autenticación en tu móvil.
Google Authenticator, Authy o Microsoft Authenticator son gratuitas, fáciles de usar y están disponibles para iOS y Android. Con esto ya tienes la infraestructura lista.

2. Empieza por las cuentas más críticas: correo y gestor de contraseñas.
El correo electrónico es la llave maestra de casi todo lo demás — con acceso a tu correo, un atacante puede resetear la contraseña de cualquier servicio. Protegerlo bien es la prioridad número uno.

3. Al configurar el segundo factor, guarda los códigos de recuperación en un lugar seguro.
Cuando activas una app de autenticación6, el servicio te da códigos de emergencia para usarlos si pierdes el móvil. Imprímelos y guárdalos físicamente, o mételos en un gestor de contraseñas. Si los pierdes y pierdes el móvil, quedas bloqueado fuera de tu propia cuenta.

En el radar — próxima edición

#8 · Señales de que tu WordPress ha sido hackeado y no te has enterado

Los compromisos en WordPress no siempre se ven. A veces tu web funciona con normalidad mientras sirve spam, redirige visitantes a otras páginas o mina criptomonedas en segundo plano. La semana que viene, las señales que deberías conocer y cómo revisarlas sin necesidad de ser técnico.

— En el blog esta semana —

Esta semana he publicado algo que llevaba tiempo queriendo escribir.

La historia de Tron. Boris Floricic. Un hacker alemán del Chaos Computer Club que con 26 años ya había clonado tarjetas SIM, roto la televisión de pago y creado uno de los primeros teléfonos con cifrado de voz de la historia. Lo llamó Cryptophon. Era 1998.

El 17 de octubre de ese mismo año desapareció de casa de su madre en Berlín. Cinco días después encontraron su cuerpo colgado en un parque. La policía dictaminó suicidio. Su familia y el CCC nunca se lo creyeron.

28 años después, la duda sigue ahí.

No es un artículo técnico. Es sobre por qué importa recordar a gente como él. Porque la privacidad de las comunicaciones no es un debate nuevo. Alguien ya la estaba defendiendo con código hace casi tres décadas.

https://chabiangulo.com/tron-el-hacker-que-murio-con-26-anos-y-sigue-dando-que-hablar/

Hasta la próxima

Si esta semana activas una app de autenticación en tu cuenta de correo, ya has hecho más por la seguridad de tus cuentas que el 80% de la gente.

No exagero. Es uno de esos cambios pequeños con impacto real.

Si tienes dudas sobre cómo configurarlo en un servicio concreto o quieres que revisemos la seguridad de las cuentas de tu empresa, escríbeme. Te oriento sin rodeos.

Cada viernes a las 9 de la mañana tienes una nueva edición de El Hurón del Hack en tu bandeja de entrada. Si conoces a alguien que usa SMS como segundo factor en cuentas críticas, pásale esta edición — igual esta semana da el paso.

Nos vemos el viernes que viene.

Chabi Angulo
Consultor de Ciberseguridad
chabiangulo.com · LinkedIn

El correo del proveedor real había sido comprometido. Alguien lo había leído, esperado al momento oportuno y se había colado en la conversación haciéndose pasar por él.

Eso no es el phishing1 de siempre. Eso es otra cosa.

El phishing que no parece phishing

El phishing clásico lo hemos aprendido a identificar: el correo del banco con el logo mal puesto, las faltas de ortografía, el enlace que no lleva al dominio real. Ya no cuela tanto. Entonces los ataques evolucionaron.

Business Email Compromise (BEC)2 — el fraude del correo legítimo

Es lo que le pasó a mi clienta. El atacante no crea un correo falso desde cero — accede a un correo real, lo lee durante días o semanas, identifica conversaciones en marcha y se inserta en ellas en el momento preciso. Para el receptor, todo parece normal: el asunto es el mismo, el histórico del hilo está ahí, el nombre y el correo son correctos.

La señal de alerta suele ser una sola: algo ha cambiado en los datos de pago o en las instrucciones habituales. Ese cambio es el ataque.

Spear phishing3 — personalizado con tu información

En lugar de enviar el mismo correo a miles de personas, el atacante hace los deberes antes. Busca tu nombre, tu cargo, el nombre de tu empresa, los proyectos en los que estás trabajando, quién es tu responsable directo. Con eso construye un correo que parece venir de alguien que te conoce.

“Hola Chabi, te paso el informe que me pediste para la reunión del martes” — escrito con tu nombre real, mencionando una reunión que sí tienes, con un archivo adjunto que al abrirlo instala algo en el equipo.

QRishing4 — el phishing a través de códigos QR

Los códigos QR se han normalizado en los últimos años y eso los hace útiles como vector de ataque. Recibes un correo o un documento físico con un QR que te pide que escanees para “verificar tu cuenta” o “acceder al documento”. El QR lleva a una página de login que parece legítima pero que captura tus credenciales.

La ventaja para el atacante: la URL no aparece hasta que escaneas, y muchos gestores de correo no analizan el contenido de las imágenes en busca de enlaces maliciosos.

Vishing5 y smishing6 — voz y SMS

El phishing no llega solo por correo. Las llamadas de voz donde alguien se hace pasar por el banco, por soporte técnico de Microsoft o por un proveedor de servicios son habituales. Lo mismo con los SMS: “tu paquete está retenido, haz clic aquí para pagar los gastos de aduanas”.

El denominador común de todos estos ataques

Crean urgencia o normalidad. O te presionan para que actúes rápido (”si no verificas en 24 horas, se cancela tu cuenta”) o hacen que todo parezca tan normal que no hay motivo para sospechar. En ninguno de los dos casos hay tiempo para pensar con calma.

Para llevar

Tres hábitos que reducen el riesgo sin necesitar conocimientos técnicos:

1. Si algo cambia en los datos bancarios de un proveedor, verifica por otro canal antes de ejecutar el pago.
No respondas al mismo correo preguntando si el cambio es real. Llama al teléfono que ya tenías de antes, no al que aparece en ese mensaje. Este paso ha evitado muchas transferencias fraudulentas.

2. Antes de escanear un QR que llega por correo, mira bien de dónde viene el mensaje.
Los QR legítimos de servicios que usas habitualmente no suelen aparecer de repente en un correo que no esperabas. Si no reconoces el contexto, no lo escanees.

3. Ante cualquier solicitud urgente que llegue por correo o mensaje, para un momento.
La urgencia es la herramienta principal de estos ataques. Un atacante que dice “tienes que hacer esto ahora o pasa algo malo” está apostando a que no tengas tiempo de pensar. Tómate treinta segundos. Habla con quien supuestamente lo ha enviado por otra vía. Esos treinta segundos pueden ahorrarte un problema serio.

En el radar — próxima edición

#7 · Por qué el SMS como segundo factor ya no vale

Activar el segundo factor de autenticación es una buena práctica. Pero el método importa. Los SMS pueden interceptarse, clonarse y redirigirse con técnicas que existen desde hace años. La semana que viene te explico por qué el SMS es el segundo factor más frágil y qué alternativas hay que son igual de cómodas pero mucho más seguras.

Hasta la próxima

Si en tu empresa aún no habéis hablado de cómo verificar los cambios en datos bancarios de proveedores, esta semana es buen momento para hacerlo.

No hace falta un protocolo largo. Basta con acordar: “cualquier cambio en datos de pago se confirma por teléfono antes de ejecutarlo”. Una frase que puede evitar un fraude de miles de euros.

Si quieres que os ayude a definir ese tipo de protocolos básicos o a hacer una sesión de concienciación con el equipo, escríbeme. Hay mucho que se puede hacer sin presupuesto grande.

Cada viernes a las 9 de la mañana tienes una nueva edición de El Hurón del Hack en tu bandeja de entrada. Si conoces a alguien que gestione pagos o tenga contacto frecuente con proveedores, pásale esta edición — es de las que más aplican al día a día real.

Nos vemos el viernes que viene.

Chabi Angulo
Consultor de Ciberseguridad
chabiangulo.com · LinkedIn

Hace unos meses estaba haciendo reconocimiento para un cliente. Descargué un informe PDF que habían publicado en su web corporativa — algo sin importancia aparente, una memoria de actividades.

En dos minutos tenía el nombre completo del empleado que lo había creado, el nombre del equipo desde el que se generó, la versión del software y la ruta de carpetas interna del servidor donde estaba guardado originalmente: \servidor-interno\RRHH\documentos\2025\informe_definitivo_v3.pdf.

Nada de eso estaba escrito en el documento. Pero estaba ahí.

Lo que tu empresa publica sin querer: metadatos en documentos

Cada archivo digital lleva capas de información que no ves cuando lo abres. Esa información se llama metadatos1, y está pensada para que los sistemas puedan organizar y gestionar archivos. El problema es que cuando compartes el archivo, compartes también esa capa invisible.

Qué contienen los metadatos de un documento típico

En un Word o PDF estándar puedes encontrar: el nombre del autor (el nombre real de usuario del sistema operativo), el nombre de la empresa registrado en el software, las fechas de creación y de última modificación, el software y versión usados para crearlo, las revisiones del documento y en algunos casos los comentarios eliminados, y la ruta de la carpeta donde se guardó.

En una fotografía los metadatos EXIF2 pueden incluir: modelo y marca de la cámara o del móvil, fecha y hora exactas de la foto, y si el GPS estaba activado, las coordenadas geográficas donde se hizo.

Por qué importa

Por sí solos, esos datos no parecen peligrosos. Pero combinados con otra información —algo que alguien con tiempo y acceso a internet puede hacer sin dificultad— cuentan una historia.

El nombre del empleado permite buscarlo en LinkedIn y ver su rol exacto. La ruta del servidor interno dice cómo está organizada la infraestructura. La versión del software puede tener vulnerabilidades conocidas. Las coordenadas GPS de una foto publicada en la web de la empresa revelan la ubicación física de la oficina o del domicilio del directivo que la sacó.

Todo esto es OSINT3 básico. No requiere habilidades técnicas avanzadas. Solo saber dónde mirar.

Dónde suelen estar los documentos con metadatos expuestos

Informes y memorias publicados en webs corporativas, propuestas y presupuestos enviados por correo a clientes, imágenes subidas a la web o a redes sociales, y presentaciones compartidas en SlideShare o plataformas similares.

Cómo revisarlo y limpiarlo

En Windows: clic derecho sobre el archivo → Propiedades → pestaña Detalles → al final hay un enlace “Quitar propiedades e información personal”. Se puede hacer antes de enviar cualquier documento.

En Word o Excel: Archivo → Información → Buscar problemas → Inspeccionar documento. Esto muestra qué información personal contiene y te permite eliminarla.

Para PDFs, herramientas como Adobe Acrobat o alternativas gratuitas como PDF244 permiten limpiar metadatos antes de publicar.

Para fotografías, antes de publicarlas en la web lo más sencillo es hacer una captura de pantalla recortada o usar una herramienta que elimine los datos EXIF.

Para llevar

Tres hábitos que evitan filtraciones de metadatos sin complicar el flujo de trabajo:

1. Antes de publicar cualquier PDF en tu web, pásalo por el inspector de documentos5.
Tarda dos minutos. Word, LibreOffice y Adobe Acrobat lo tienen integrado. Hazlo parte del proceso antes de subir cualquier documento público.

2. Desactiva el GPS en la cámara del móvil para fotografías de trabajo.
En iOS: Ajustes → Privacidad → Localización → Cámara → “Nunca”. En Android: Cámara → Ajustes → desactiva “Etiquetas de ubicación”. Para fotos que ya están hechas, herramientas como ExifTool6 o aplicaciones móviles de limpieza de metadatos las limpian en lote.

3. Cuando envíes presupuestos o propuestas a clientes, limpia los metadatos del archivo.
Los documentos de trabajo acumulan revisiones, comentarios y nombres de usuarios. Antes de enviarlo fuera de la empresa, pásalo por el inspector. No es paranoia — es higiene básica de información.

En el radar — próxima edición

#6 · El phishing que no parece phishing

El phishing clásico ya lo conocemos todos: el correo del banco con faltas de ortografía y un enlace sospechoso. El problema es que ese ya casi no cuela. Lo que funciona ahora es más sofisticado: correos que imitan conversaciones reales, códigos QR que llevan a páginas de login falsas y mensajes que llegan por canales donde no estamos acostumbrados a sospechar.

La semana que viene, los métodos actuales y cómo reconocerlos antes de que sea tarde.

Hasta la próxima

Si esta semana envías algún documento a un cliente o subes algo a tu web, tómate dos minutos para revisarle los metadatos antes.

No es un proceso complejo. Es una comprobación rápida que evita que información interna llegue a manos equivocadas sin que te des cuenta.

Si quieres que revisemos qué información están publicando los documentos de tu empresa, escríbeme. En muchos casos el diagnóstico es rápido y los ajustes son sencillos.

Cada viernes a las 9 de la mañana tienes una nueva edición de El Hurón del Hack esperándote. Si alguien de tu entorno trabaja con documentación sensible o gestiona la comunicación de una empresa, puede que esta edición le resulte útil — pásasela.

Nos vemos el viernes que viene.

Chabi Angulo
Consultor de Ciberseguridad
chabiangulo.com · LinkedIn

Lo primero que hicieron fue llamarme. Lo segundo fue intentar encender otro equipo para buscar la copia de seguridad. También estaba cifrada.

El ransomware no empieza cuando aparece ese mensaje. Ese momento es el final, no el inicio. El ataque lleva horas o días dentro antes de que veas una sola letra.

Hoy te cuento qué pasa realmente desde el minuto uno. Sin dramatismo, pero sin quitarle importancia.

Por cierto, tuve la gran oportunidad de investigar que ransomware era y era LockBit. Muchos de los ataques a hospitales que salieron en las noticias fueron nombrando a LockBit entre 2019 al 2021.

Los primeros 10 minutos de un ataque de ransomware

Lo que la mayoría llama “el ataque” es solo la detonación. El verdadero ataque ocurrió antes, en silencio, mientras todo parecía normal.

Cómo entra

Las tres vías más habituales: un correo con un archivo adjunto que parece una factura o un presupuesto, credenciales de acceso remoto robadas o compradas en foros, y una vulnerabilidad sin parchear en el sistema. En muchos casos, el punto de entrada fue algo tan simple como un empleado que hizo clic en un enlace que parecía legítimo.

Minutos 1 a 3 — Reconocimiento silencioso

Una vez dentro, el malware no hace ruido. Lo primero es mapear la red: cuántos equipos hay, dónde están los servidores, qué carpetas se comparten entre los usuarios y dónde están las copias de seguridad. Este paso es automático y tarda menos de lo que imaginas.

Minutos 3 a 6 — Desactivar las defensas

Aquí es donde ocurre algo que mucha gente no sabe: el ransomware intenta desactivar el antivirus, los servicios de backup automático y los logs del sistema antes de cifrar nada. Si lo consigue, trabajará sin que ninguna alerta salte. Si hay un backup conectado a la red, también entra en el mapa.

Minutos 6 a 8 — Exfiltración (en ataques avanzados)

Los grupos de ransomware más sofisticados no solo cifran, también roban. Documentos, bases de datos, correos. Antes de activar el cifrado, copian lo que considera valioso. Así tienen dos palancas: el cifrado y la amenaza de publicar los datos.

Minutos 8 a 10 — La detonación

El cifrado empieza por las carpetas más críticas primero: bases de datos, documentos compartidos, backups locales. Después sigue con el resto. En diez minutos puede tener cifrados los archivos más importantes de toda la organización. En media hora, el sistema está completamente bloqueado.

El mensaje aparece cuando ya no hay nada que hacer.

¿Qué marca la diferencia?

No es el antivirus. Es la segmentación de red (que el daño no se propague de un equipo a todos), los backups offline o en la nube no conectada directamente a la red, y la formación de los empleados para reconocer el phishing antes de hacer clic.

El ransomware es prevenible. Pero la prevención tiene que estar antes del ataque, no después.

Para llevar

Tres preguntas que deberías poder responder ahora mismo:

1. ¿Tus backups están aislados de la red principal? Si la copia de seguridad está en una carpeta de red accesible desde los equipos de trabajo, el ransomware también la cifra. Un backup útil está en un sitio que no puede alcanzar desde los equipos comprometidos — disco externo desconectado, nube separada o cinta.

2. ¿Cuándo fue la última vez que restauraste un backup de verdad? Tener el backup configurado no es lo mismo que tener un backup funcional. Si nunca has probado a restaurar, no sabes si funciona. Programa una prueba de restauración cada tres meses.

3. ¿Sabes qué hacer en los primeros 30 minutos si pasa? ¿Quién llamas? ¿Qué equipos desconectas primero? ¿Tienes el teléfono del soporte técnico sin necesidad de buscarlo en el ordenador infectado? Un plan de respuesta básico escrito en papel vale más de lo que parece cuando el pánico entra por la puerta.

En el radar — próxima edición

#5 · Lo que tu empresa publica sin querer: metadatos en documentos

Cada PDF, cada Word, cada foto que subes a tu web lleva información oculta: quién lo creó, con qué software, desde qué equipo, cuándo y a veces desde dónde. No lo ves, pero quien sabe buscar lo encuentra en segundos.

La semana que viene te enseño qué son los metadatos, dónde se esconden y cómo revisarlos antes de enviar un documento o publicarlo online.

Hasta la próxima

Si has leído esto y te has preguntado si vuestros backups funcionan de verdad — esa pregunta ya vale la pena responderla antes de que la situación te obligue.

No hace falta contratar nada ni montar una infraestructura compleja. Muchas veces el problema está en detalles pequeños que se resuelven en una tarde.

Si quieres revisar cómo está vuestra situación, escríbeme. Te digo dónde están los puntos débiles reales y qué tiene prioridad.

Cada viernes a las 9 de la mañana tienes una nueva edición de El Hurón del Hack en tu bandeja de entrada. Si esta te ha parecido útil, pásala a alguien que tome decisiones sobre infraestructura o tenga equipos con información crítica — puede que le evite un problema serio.

Nos vemos el viernes que viene.

Chabi Angulo Consultor de Ciberseguridad chabiangulo.com · LinkedIn

El Hurón del Hack sale cada viernes. Si te han reenviado esto, puedes suscribirte en huronhack.substack.com

Encontré un documento interno indexado con nombres de empleados y sus extensiones telefónicas. Un panel de administración accesible desde fuera. Y una versión de WordPress visible en el código fuente.

Todo público. Todo encontrable por cualquiera.

Hoy te explico cómo funciona eso. No para que lo uses con malas intenciones, sino para que entiendas qué está viendo quien busca activamente información sobre tu empresa o tu web.

Google Dorks: las búsquedas que encuentran lo que no debería estar online

Un Google Dork es una búsqueda avanzada que usa operadores específicos para filtrar resultados con mucha precisión. Google indexa todo lo que encuentra en internet — incluido lo que tú no tenías intención de exponer.

Los operadores más usados son simples:

site: — restringe la búsqueda a un dominio concreto.
site:tuempresa.com muestra todo lo que Google tiene indexado de tu web.

filetype: — busca archivos de un tipo específico.
site:tuempresa.com filetype:pdf devuelve todos los PDFs de tu dominio que Google ha indexado. Contratos, presupuestos, documentos internos — si están en el servidor y son accesibles, aparecen.

inurl: — busca texto dentro de la URL.
site:tuempresa.com inurl:admin localiza URLs que contengan la palabra “admin”. Paneles de administración, áreas de gestión, accesos internos.

intext: — busca texto dentro del contenido de la página.
intext:"Index of /" encuentra directorios abiertos donde se pueden ver y descargar todos los archivos de una carpeta.

intitle: — busca en el título de la página.
intitle:"Dashboard" inurl:wp-admin encuentra paneles de WordPress expuestos.

Combinando varios operadores se afina muchísimo.
Por ejemplo:
site:tuempresa.com filetype:xls OR filetype:xlsx — hojas de cálculo públicas en tu dominio.

Esto no es hacking. No requiere acceso no autorizado a nada. Google ya lo ha indexado. Solo hay que saber cómo preguntarlo.

¿Qué busca un atacante con esto?

Versiones de software expuestas en el código fuente, archivos de configuración accidentalmente públicos, formularios de login sin protección, documentos con información sensible indexada y subdominios olvidados con software desactualizado.

¿Qué puedes hacer tú?

Busca tu propio dominio. Usa los operadores de arriba con tu web real y mira qué devuelve Google. Es gratis, tarda cinco minutos y puede darte una imagen muy clara de qué está expuesto.

Si encuentras algo que no debería estar ahí, el siguiente paso es revisar los permisos de esos archivos o añadir tu sitio a Google Search Console para solicitar la eliminación del índice.

Para llevar

Tres búsquedas que puedes hacer ahora mismo con tu dominio:

1. site:tudominio.com filetype:pdf OR filetype:doc OR filetype:xls
¿Aparece algún documento que no debería ser público? Facturas, presupuestos, documentos internos. Si aparece, revisa los permisos del archivo en el servidor.

2. site:tudominio.com inurl:admin OR inurl:login OR inurl:wp-admin
¿Hay algún panel de acceso indexado y visible? No pasa nada por que exista, pero sí conviene tener limitación de intentos activa y usuario administrador con nombre no obvio.

3. site:tudominio.com intext:"Index of /"
¿Alguna carpeta de tu servidor tiene el listado de directorios abierto? Eso significa que cualquiera puede ver y descargar los archivos de esa carpeta. Si aparece algo, desactiva el directory listing en tu hosting.

En el radar — próxima edición

#4 · Los primeros 10 minutos de un ataque de ransomware

No te voy a explicar qué es el ransomware. Eso ya lo sabes. Lo que quiero que veas es el proceso paso a paso: cómo entra, qué hace antes de cifrar nada, por qué espera, y por qué cuando aparece el mensaje ya es demasiado tarde para reaccionar.

La semana que viene, con el proceso real y sin dramatismo.

Hasta la próxima

Si has hecho las búsquedas de arriba y has encontrado algo que no esperabas ver, no entres en pánico. La mayoría de cosas tienen solución fácil una vez que sabes que existen.

Si no sabes por dónde empezar o lo que ves no terminas de entenderlo, escríbeme. Me lo cuentas y te digo qué tiene importancia real y qué no.

Cada viernes a las 9 de la mañana, sí he cambiado la hora, tienes una nueva edición de Hurón del Hack esperándote. Si esta edición te ha parecido útil, deja un comentario o pásala a alguien que gestione una web o trabaje con información sensible — le puede ahorrar un disgusto.

Nos vemos el viernes que viene.

Chabi Angulo
Consultor de Ciberseguridad
chabiangulo.com · LinkedIn

Hurón del Hack sale cada viernes. Si te han reenviado esto, puedes suscribirte en huronhack.substack.com

Le dije: menos de lo que imaginas.

No hablo de ataques dirigidos donde alguien te tiene en el punto de mira. Hablo de los bots automatizados que escanean miles de webs cada hora buscando vulnerabilidades o contraseñas débiles. Si tu web aparece en ese radar, el proceso es rápido y silencioso.

En e te cuento exactamente qué ocurre una vez que alguien consigue entrar. No para que te asustes, sino para que entiendas por qué esperar a que pase algo es la peor estrategia.

Lo que hace un atacante en los primeros 5 minutos dentro de tu WordPress

Primero, el acceso. Casi siempre llega por una de estas tres vías: un plugin desactualizado con vulnerabilidad conocida, credenciales débiles o reutilizadas, o un formulario de login expuesto sin limitación de intentos.

Una vez dentro, el atacante no suele hacer nada visible de inmediato. Eso sería un error. Lo primero es entender dónde está.

Minuto 1 | Reconocimiento interno

Revisa qué versión de WordPress corre, qué plugins están activos, cuántos usuarios administradores hay y qué permisos tiene la cuenta con la que entró. Si tiene acceso al servidor de archivos, también ve si hay más webs alojadas en el mismo hosting. Una web comprometida puede ser la puerta a otras cinco del mismo cliente.

Minuto 2 | Crear persistencia

Aquí es donde la mayoría de los ataques silenciosos dejan su huella sin que el propietario lo note. Se crea un usuario administrador nuevo con nombre genérico - admin2, editor1, wordpress_user - o se modifica uno existente. Objetivo: tener acceso aunque la contraseña original cambie.

Minuto 3 | Instalar la puerta trasera

Una webshell. Un archivo PHP pequeño, con nombre inocente, escondido en la carpeta de uploads o dentro de un plugin activo. Desde ahí puede ejecutar comandos, subir archivos, modificar contenido o lanzar ataques desde tu servidor hacia otros. Tu web pasa a ser infraestructura de un atacante.

Minuto 4 | Revisar el valor del objetivo

¿Tiene WooCommerce? Hay datos de clientes. ¿Tiene formularios de contacto? Hay emails. ¿Tiene tráfico? Se puede usar para redirecciones o spam SEO. El atacante evalúa qué puede sacar y decide si explotar directamente o vender el acceso.

Minuto 5 | Limpiar rastros o no

Depende del objetivo. Si busca persistencia discreta, borrará los logs de acceso y esperará. Si el objetivo es inmediato, actuará rápido y no le importará ser detectado.

El problema real es que la mayoría de estos compromisos no se detectan en horas sino en semanas. Para entonces el daño, spam SEO, reputación dañada, datos expuestos, ya está hecho.

No sabes que hacer… tranqui, ha llegado el Hurón

Tres cosas que puedes hacer hoy, sin necesitar conocimientos técnicos:

1. Revisa los usuarios administradores de tu WordPress ahora mismo. Usuarios → Todos los usuarios → filtra por Administrador. ¿Reconoces todos? ¿Hay alguno que no creaste tú? Si hay uno sospechoso, elimínalo y cambia todas las contraseñas.

2. Comprueba que tienes un backup verificado de esta semana. No vale con tener el plugin instalado. Vale con saber que el backup existe, que está fuera del servidor y que se puede restaurar. Si no lo sabes con certeza, no tienes backup real.

3. Activa la limitación de intentos de login. El plugin Limit Login Attempts Reloaded es gratuito y bloquea IPs después de X intentos fallidos. Es el primer filtro contra ataques de fuerza bruta y tarda 3 minutos en configurar.

En el radar - próxima edición

#3 · Google Dorks: las búsquedas que encuentran lo que no debería estar online

La semana que viene te muestro cómo cualquiera puede usar el buscador de Google para encontrar paneles de administración expuestos, documentos internos indexados y webs vulnerables - sin instalar nada, sin conocimientos técnicos.

También te enseño cómo buscar tu propio dominio para saber qué está viendo quien busca activamente información sobre tu empresa o web.

Hasta la próxima

Si tu web lleva meses sin que nadie la revise por dentro, hoy es un buen momento para echarle un vistazo.

No hace falta contratar nada ni entrar en pánico. Basta con hacer las tres comprobaciones de arriba y tener la tranquilidad de saber cómo está tu web en este momento.

Si quieres que lo revisemos juntos o tienes dudas sobre lo que encuentras, escríbeme directamente. Sin compromiso, sin formulario largo, sin esperar días para que alguien te responda.

Cada viernes a las 19h de la tarde tienes una nueva edición de El Hurón del Hack en tu bandeja de entrada. Si alguien de tu entorno se dedica a esto o gestiona una web, pásale el enlace de suscripción - le puede venir bien.

Nos vemos el viernes que viene.

Chabi Angulo Consultor de Ciberseguridad chabiangulo.com · LinkedIn

El Hurón del Hack sale cada viernes. Si te han reenviado esto, puedes suscribirte en huronhack.substack.com

Aunque admito que hace unos años no me gustaba, ahora mismo es más cómodo para mí el utilizarlo en mis equipos.

Siendo un Debian vitaminado con herramientas y utilidades para la ciberseguridad, es idóneo para aprender, tenerlo como laboratorio y además conocer lo que podría ser tu futuro arsenal de trabajo.

Haz lo que quieras tú

Tal cual, haz lo que quieras. No por utilizar un Debian vas a ser el mejor ni mucho menos utilizar un Kali vas a ser un l33t1.

Debian lo vas a tener sin herramientas y si necesitas algo, deberás de instalarlo.

No suelo hacer mucho caso a estos debates, me siento cómodo utilizando Kali porque tengo las herramientas a mano y soy más productivo. Aunque si fuese a utilizar un Linux para mi día a día, seguro que sería Debian.

Tampoco usaría Kali u otra distribución en WSL2 para hacer pentesting o resolver CTFs. ¿Puedes?, sí, pero en algún momento puede darte falsos positivos, por ejemplo. A mi ya me ha pasado y siempre que es un CTF, me atasco por ese motivo.

Estructuras ¿son iguales o no?

No todas las estructuras de directorios son iguales, ¿se parecen?, sí, pero algunas varían en muchas ocasiones. Aunque la base común, llamada Filesystem Hierarchy Standard (FHS)3, usan rutas típicas como:

/etc para configuración

/home para usuarios

/var para datos variables y logs

/usr para programas y recursos

/bin, /sbin, /lib para binarios y librerías del sistema

Que al final, si te pasas de Ubuntu a Debian, por ejemplo, identificarás estos directorios y no pensar que te han soltado en otra dimensión.

En el caso de Kali Linux, la base es exactamente la misma. Sigue el FHS como cualquier Debian. Pero hay algo que te vas a encontrar mucho y que conviene conocer: /usr/share/.

Aquí es donde Kali guarda la mayoría de sus herramientas y sus recursos. Por ejemplo:

/usr/share/wordlists — diccionarios de contraseñas como rockyou.txt, que usarás más de lo que crees

/usr/share/metasploit-framework — todo el framework de Metasploit

/usr/share/nmap — scripts y bases de datos de Nmap

/usr/share/exploitdb — la base de datos de exploits de Exploit-DB

Y si instalas herramientas de terceros o que no están en los repositorios oficiales, lo más habitual es que acaben en /opt/. No es una norma escrita en piedra, pero es la convención más extendida.

El resto lo reconocerás sin problema si ya has tocado cualquier Linux antes.

Una cosa que cambió y no todo el mundo sabe

Durante años, Kali arrancaba directamente como root. Era cómodo para trabajar en auditorías, pero también era un riesgo si lo usabas de forma descuidada.

Desde la versión 2020.1 eso cambió. Ahora Kali crea un usuario sin privilegios por defecto, como haría cualquier otra distribución. Cuando necesitas permisos de administrador, usas sudo igual que en Ubuntu o Debian.

Si llevas tiempo sin tocar Kali o lo instalaste en su día y lo tienes aparcado, es algo a tener en cuenta.

Para cerrar

No hay una distribución perfecta para todo. Hay la que mejor encaja con lo que necesitas en cada momento.

Para aprender ciberseguridad, Kali es una buena puerta de entrada porque no tienes que ir buscando herramientas una a una. Para el día a día como sistema operativo principal, probablemente preferirás algo más ligero y estable.

Aunque para aprender Linux, iría directamente a Debian y si no quieres complicarte la vida, Ubuntu. Te recuerdo, aún así, que Kali Linux y Ubuntu son hijos de Debian y después de todos estos años utilizando muchas distribuciones, opino que Debian es más robusto, pero repito, es mi opinión.

Y si en algún momento tienes dudas sobre qué montar o cómo organizarte, ya sabes dónde encontrarme.

El Hurón del Hack

chabiangulo@chabiangulo.com

Para mí es importante la experiencia y valoro esas personas que son ratones de biblioteca y tienen respuestas a muchas soluciones.

Hablaré primero sobre la historia, donde fui yo mismo la victima. Todo por fiarme, pensar que nadie puede “robarme” y sentirme dueño y señor de mi WiFi.

La historia

Antes de conocer mi mujer vivía en un apartamento donde compartía piso con un amigo. Estuve una larga temporada que sólo iba a trabajar y dormir a casa. El motivo es que trabajaba fijo de tardes ya que mi compañera de trabajo fue madre.

Regresaba a casa sobre las 11 la noche, me daba lo justo para cenar, darme una ducha y mientras veía alguna peli aburrida, me dormía.

Por la mañana café con mi cuñada, día si, día también y así conocí a mi mujer. Pero por las mañanas, salvo que mi cuñada no pudiese quedar, me dedicaba hacer “cosas” en internet.

El problema es que nuestra WiFi iba más lento que el caballo del malo y era horrible realizar algo. Tenía la idea de montar un IRC incluso, pero con esa conexión era horrible. Si ya me costaba a mi, imagina el sacar una idea como la que tenía.

Una mañana haciendo unas gestiones, me encontré con un viejo amigo y me comentó que trabajaba como técnico de una compañía de telefonía. Hacía instalaciones de esa compañia, pero hablando con él me dijo que podía echar un ojo al día siguiente.

Al día siguiente, tras un almuerzo de campeones, revisó mi casa y sabiendo que mi compañero de piso no estaba me preguntó si había alguien más viviendo en la casa.

Estábamos los dos solos, pero incluso llevaba un tiempo solo porque mi compañero estaba de viaje viendo a su familia en Alemania.

No lo pensé, me confié mucho en que era complejo entrar a mi WiFi. Probé en bloquear la MAC y funcionó. En cuanto mi compañero de piso volviera, le asignaría la MAC y así protegíamos nuestra WiFi.

¿Sabes porque supe quien fue el ladrón de mi WiFi?

La señora, Mami del ladrón, dejó un mensaje en la parte de los buzones. Algo así como, “Por favor, arreglen la internet que mi hijo no puede ver películas”

Al final averigüe quien era el colega. No voy a entrar en tecnicismos, pero con la tontería, hackeo mi WiFi con Wifislax. Hablamos, quedamos mucho en el parque que había al lado de nuestras respectivas casas.

Nunca utilicé Wifislax, ni distribuciones similares. Aprendí dos cosas.

1. Que todo puede ser hackeable. Que no podemos esperar ser invencibles, que estamos blindados o que nadie tiene un interés hacía mi persona.

2. La persona que menos te esperas, por un objetivo, puede hacer daño y sin querer.

3. Las madres, siempre defienden a sus retoños, tengan la edad que tengan.

Esta historia es real y lo explico porque nos puede pasar.

Primero por EGO, sí, tenemos un EGO que si no estamos atentos, nos caza. Parece una frase sacada de un libro de autoayuda, pero no es mi intención.

Pensamos muchas veces que tener un firewall, un antivirus de pago o un amigo que esta en la ciberseguridad, pues nos salva de todo y no es así.

Siempre se ha dicho, el eslabón más débil de la ciberseguridad es el humano.

Otra es no utilizar contraseñas robustas, no sólo en el WiFi, sino en todas las diferentes aplicaciones y dispositivos que necesitan el acreditarse.

Hoy en día es fácil poner capas de seguridad a nuestras conexiones, router y además sistemas operativos.

Simplemente es una experiencia propia y que al principio sufrí, pero admito que me sorprendió las conversaciones con el chico y que no volví a verle.

El Hurón del Hack es una idea que me rondaba desde hace mucho tiempo. Hice varios intentos de comunidad, pero siempre terminaba por abandonarlo.

No es una frase esperanzadora la verdad, pero la intención es otra. El Hurón, de aquí en adelante HdH, es porque me críe con este bichito curioso.

Así que, si te apetece estar en la comunidad, siempre podéis acceder a través del siguiente link de Telegram.
Sí he decidido crear la comunidad en Telegram sin animo de buscar otros sitios y pensando en la privacidad, porque sí Telegram no te dará esa privacidad.

Ya hace un tiempo que lo hice, pero no mandé esta newsletter por el lio tremendo que tengo entre la delegación del club de networking que llevo y mis clientes.

Estoy muy feliz viendo que progreso y que sigo aprendiendo día a día. Pero también debo decir que me lo estoy pasando bien.

Nada más de que hablar, te dejo el link a Telegram. A la comunidad “El Hurón del Hack”

https://t.me/elhurondelhack

Ahora, vamos a instalar una distribución sencilla, que puedas experimentar o, que es mi intención, tengas ya un Linux para aprender.

Como no sé si has llegado aquí sin leer la otra parte, te dejo este enlace para que no te saltes la instalación de WSL.

2 métodos, te aconsejo 1

Sí, esto es como las ofertas de un supermercado, un 2x1

Te aconsejo el segundo paso, pero no porque lo vaya hacer siempre por una terminal, en este caso PowerShell, sino porque podrás controlar mejor la línea de comandos si la utilizas. Soy de los que la practica hace al maestro…

Podemos ir a la Microsoft Store y buscar por Ubuntu. Te saldrán:

Genial, ¿no?. Pues me parece bien, pero instalar a golpe de clicks es una opción, que no la critico, pero personalmente siento que no controlo la situación .

La que aconsejo es tan simple como abrir PowerShell y tras haber instalado WSL, newsletter anterior, es mucho más sencillo.

Vamos al lío…

Antes de nada…

Necesitamos saber que distribuciones de Linux tenemos a mano para instalar.

Enserio, esto es tan sencillo como poner el siguiente comando desde la PowerShell.

wsl --list --online  

No dará una lista de las distribuciones que podemos instalar en el WSL.

Si no tienes experiencia con Linux, te recomendaría utilizar Ubuntu. Podrás conocerlo con la tranquilidad de poder utilizarlo para aprender, pero si ya tienes experiencia y quieres seguir aprendiendo hacking, podrías utilizar Kali Linux.

Aunque siempre recomendaré Debian, pero no quiero asustaros.

Instalando Ubuntu

Primero, al hacer la lista de distribuciones que hay para WSL, es tener claro un dato.

Tenemos que fijarnos primero en la columna de NAME. ¿Queremos instalar Ubuntu? pues tan fácil como:

wsl --install -d Ubuntu-22.4

wsl, sería el comando WSL… obvio, ¿no? jajaja

install, es el parámetro de instalación.

-d, el -d es para indicar que es una distribución y ya luego va el NAME como indica la primera columna del pantallazo que te puse.

Piensa ahora que puedes instalar cualquier otra distribución, pero no me arriesgaría utilizar otro que no esté enfocado en nuestro día a día.

Si te parece bien, hablaremos en otro momento de Linux y las distintas distribuciones que podemos conseguir. Antes, tenemos que aprender también el controlar sobre máquinas virtuales y así no tendremos interrupciones en cuanto nuestra productividad o no queréis hacer una instalación en un equipo quitando vuestro sistema operativo.

Una vez instalado Ubuntu… ya podremos empezar a utilizarlo, pero antes sigue los pasos que te indica desde PowerShell.

Si tienes dudas, siempre puedes contactar conmigo.

En la siguiente newsletter ya empezaremos a tener más “chicha” y además, GRATIS, acceder a la comunidad de El Hurón del Hack.

Pero tendrás que registrar tu email a la newsletter o mandarme un mensaje a: chabiangulo@gmail.com que estás interesado/a.

Hasta la próxima…

A mi personalmente no me gusta utilizar tampoco WSL en un equipo porque ya no es por consumo de recursos sino porque deja muchas huellas y en las investigaciones es necesario controlar ese aspecto.

Pero, tenemos que saber que es el WSL, saber que queremos hacer en realidad y valorar su utilización dependiendo la escena donde vamos a trabajar.

¿Qué es el WSL?

El WSL, Windows Subsystem for Linux, es una funcionalidad de Windows3 que permite correr un entorno Linux directamente en tu sistema operativo, sin necesidad de salir de Windows ni instalar software complejo como máquinas virtuales o dual boot.

Resumiendo: puedes tener Linux dentro de Windows como si fuera una aplicación más.

¿Por qué esto es tan revolucionario? Porque muchas herramientas de desarrollo web y ciberseguridad están diseñadas para funcionar en Linux, no en Windows. Tener WSL te abre una frontera de posibilidades sin necesidad de cambiar tu sistema operativo.

No sólo eso, es que insisto que puedes aprender como funciona Linux, probar aplicaciones, usar la terminal y trastear con comandos. Para mí me viene genial por si quiero realizar un vídeo o sacar una imagen sin salir de Windows.

Así que por esto es una de las tantas alternativas que podemos utilizar para familiarizarnos con distribuciones de Linux.

¿Qué necesitamos?

Toda configuración debe apreciarse como una receta de cocina, hay que tener condimentos preparados.

Primero necesitamos tener un Windows instalado, obvio, ¿verdad?

Personalmente estoy utilizando Windows 10 para esto, pero se puede utilizar Windows 11 también.

Por un lado, PowerShell4. Que es como la línea de comandos de una shell de Linux, pero en Linux.

No te equivoques, cmd5 o lo que era el antiguo MS-DOS6 no es lo mismo. CMD tiene la sintaxis más limitada con comandos básicos del tipo cd, dir, copy, ipconfig…

PowerShell es más potente y moderno.

Para abrir PowerShell es tan fácil como ponerte encima del icono Inicio y con el botón derecho de nuestro ratón y verás varias opciones.

Selecciona Windows PowerShell (Administrador). Otra opción es pulsando la tecla Windows + X.

Instalando WSL

De principio vamos a instalar WSL en Windows y en la siguiente newsletter instalamos en este sistema un Linux. Hay varias distribuciones de Linux y te recomendaré una para empezar a utilizar Linux.

Ahora desde PowerShell vamos a ejecutar el siguiente comando:

wsl —install

Debería de instalarse el WSL e incluso WSL 2 como predeterminado y normalmente se instala la distribución Ubuntu. OJO, si te pide reiniciar Windows, adelante, no tengas miedo y hazlo.

Como se esta extendiendo mucho esta newsletter, en la siguiente lo completaremos.

Sí, mi saludo inicial y que caracteriza a muchos canarios cuando nos encontramos con un amigo o conocido.

Siempre lo he utilizado, con respeto y orgulloso de hacerlo siempre. Es más cercano, más como soy yo.

No sé ya ni cuantas newsletters1 he intentado arrancar y se ha quedado en agua de borrajas. Mis inquietudes dentro de WordPress2 o la ciberseguridad3 siempre han estado presentes, pero además las soluciones nunca las he dado públicamente en ningún medio.

Aún debo darle un poco de forma, pero es que siempre me ocurre lo mismo, nunca consigo arrancar porque me voy en el momento de comenzar.

Así que nada, seguramente estás aquí, lees esto, porque te gustan 3 cosas:

• La ciberseguridad sin duda alguna, porque para eso es El Hurón del Hack.

• Porque además te gusta o usas WordPress.

• Aprender, de ciberseguridad y WordPress. Que sí, soy un especialista, no un experto, pero 4 ojos ven más que 2

De cualquier manera, o interés, te quiero dar las gracias por leerme y que me tienes para dudas o simplemente, tomar un café.

WordPress

Uso WordPress desde el año 2011 y empecé a emprender en el 2019. Para mí es un CMS increíble, con una comunidad enorme y que gracias a su ecosistema se puede dar solución a todo lo que necesitas.

Siempre se ha señalado a WordPress como que no es seguro y en parte estas personas tienen razón. Pero aún así, discrepo.

Sea cual sea la vía de instalación de WordPress siempre lo hacemos mal. Por eso me aficioné tanto a mis checklist4. Empecé a crear webs sin brújula y eso me llevó a diversos errores por mi parte.

Los checklist son algo íntimos para mí, o mejor dicho, son procesos que vienen de la experiencia de cada uno y el mío, en Notion, lo tengo muy definido.

Tengo un checklist de WordPress que va desde la creación del proyecto hasta la entrega al cliente. Piensa que todo proyecto requiere de funcionalidades o personalizaciones y eso requiere adaptar en muchas ocasiones este checklist.

Te ayudaré a crear el tuyo propio, si hace falta, pero si te dedicas a utilizar o crear webs con WordPress, lo suyo sería crear tantos checklist como servicios ofrezcas.

Ciberseguridad

En ciberseguridad toco dos temas:

• Pentesting5 web, sobre todo WordPress

• OSINT6, que es algo que me apasiona y es uno de mis hobbys incluso.

Para no extenderme mucho más allá, prefiero explicarlo más adelante y que no se alargue mucho más esta declaración de intenciones.

Mi intención no es otra que enseñar mi experiencia, ponernos todos al día sobre Ciberseguridad y compartir nuestras inquietudes.

Comprende que la ciberseguridad en si es un terreno inexplorado siempre. Va creciendo y evolucionando cada día y tenemos siempre que aprender, avanzar y saber encajar los golpes.

Esto último, encajar los golpes, es para que comprendas que hasta yo mismo voy a bloquearme en un momento dado, tener errores y tener que consultar a otras personas de algo que no sé resolver. Hay que ser honestos y es complicado saber de todo y además estar al día.

Esto es algo que me ha inquietado mucho ya que siempre me han depositado la confianza en cuanto me han oído hablar sobre la ciberseguridad. Tenemos que pensar un poco en las otras personas y no conseguir likes ni suscripciones a nuestras redes sociales. Esto último es muy importante porque la experiencia se consigue errando, investigando y consultando, no sólo haciendo CTF7.

Contacto

Si quieres contactar conmigo:

chabiangulo@chabiangulo.com

Para el Telegram de la comunidad, pronto… lo estoy estructurando.