El "defacement" o desfiguración de páginas web es una actividad con gran cantidad de adeptos entre la más oculta y sórdida comunidad internauta. Hackear una página web no tiene por qué consistir sólo en el robo de datos o la destrucción de información valiosa para la víctima. El “arte” de violar la seguridad de una página web tiene varias escalas, formas, procedimientos y resultados. Uno de ellos, precisamente, es cambiar el aspecto de las páginas, introduciendo elementos propios, modificando los existentes o eliminando archivos web. A esto se le llama defacement, y, dentro del mundo hacker, se encuentra muy unido al movimiento político.

Existen decenas de organizaciones de hackers no oficiales dedicadas casi en exclusiva al defacement. Muchos de ellos confiesan que se convierte en una especie de hobby o vicio al que, cada vez que se enfrentan a un nuevo reto, se encuentran más enganchados. De todo esto, cabe destacar la gran capacidad de trabajo en equipo de este tipo de grupos, con militantes repartidos por todo el mundo, e imparables ante cualquier desafío al unir fuerzas y conocimiento. Si se proponen una web como objetivo, es muy probable que resulte cuestión de tiempo que forme parte de su lista de víctimas.

Las posibilidades que brinda esta práctica son infinitas. Añadir un mensaje propio a un dominio con millones de visitas al día, puede ser el escaparte perfecto para cualquier mensaje que los hackers maliciosos quieran transmitir. Si se consigue modificar ese simple archivo que muestra la página de presentación de un portal, se podría expresar públicamente el desacuerdo con los contenidos de esa página y de paso, arruinar su reputación, condenar la ineptitud de los administradores, restar credibilidad a la empresa, demostrar conocimientos, hacer públicas reivindicaciones políticas... y cualquier otra idea que se pueda despertar en la persona ajena al daño y que visualiza asombrada la página desfigurada.

En la mayoría de las ocasiones, no basta con comprometer una sóla página web. Una vez rota la seguridad de un servidor, ¿por qué no aprovechar ese acceso total a sus registros? Las empresas de alojamiento o "hosting" prestan un espacio en el disco duro de su servidor web y custiodian la página web de los usuarios o empresas bajo su responsabilidad. Muchos de estos servidores albergan cientos de páginas web de empresas, a través de los que, si se rompe su seguridad, se conseguirá acceso de una sola vez y por el mismo esfuerzo a todos estos sites. Los grupos organizados dedicados al "defacement" comprendieron pronto que atacar a las empresas de hospedaje resultaba mucho más rentable que malgastar su tiempo en servidores individuales, cuando lo que se quiere es inflar sus cifras de víctimas a cualquier precio.

Durante 2003, observamos esta nueva tendencia en el mundo del hacking destructivo en el que se sustituye el objetivo. Ya no es tanto el objetivo la web de una empresa, como empresas que albergan webs, siendo así el efecto de los ataques mucho más devastador. En pocos meses, muchas empresas de hospedaje fueron atacadas, constituyendo nuevos récords entre los crackers.

News.bbc.co.uk nos informaba hace unos meses de que Bargainhost (literalmente, "host a precio de ganga") empresa del Reino Unido que se dedica a proporcionar alojamiento web a precios asequibles, había sido atacada por un hacker con malas intenciones, comprometiendo la seguridad de 1500 webs a las que proporciona el servicio de hospedaje. El atacante entró en el servidor bargainhost.co.uk, tuvo acceso a cientos contraseñas y consiguió desfigurar varias páginas web. Por ejemplo, una de las empresas afectadas, powderroom.net perdió siete meses de correos, contactos y foros. Bargainhost tenía a su cargo 5000 páginas webs, y 1500 bajo el servidor afectado. Lo único que acertó a aconsejar a sus clientes es que cambiasen sus contraseñas lo antes posible, mientras la compañía debía crear de nuevo las cuentas de unos mil clientes, pues no contaban con servicio de respaldo.

Según informaba europemedia.net, tres importantes empresas de hospedaje alemanas Alphamega, The Hosting Company y Original Europe (sucursal de la anterior) habían sido víctimas durante Mayo de 2003 de destrucción de software y del robo masivo de datos. Alphamega, por ejemplo, informaba a sus clientes de que el servicio web se encontraba temporalmente interrumpido, pero no les indicó en ningún momento las verdaderas causas. En su página web, también anunciaba su servicio de copia de seguridad de datos cada 24 horas, que prometía una rápida restauración en caso de desastre. En realidad, la última copia de seguridad había sido realizada hacía cinco meses, con la consecuente pérdida de información de todos sus clientes.

Pero esto no es todo, News24.com informaba igualmente durante 2003 de un nuevo récord establecido por el "defacer" F3PN, que había dañado 53 páginas web con el dominio .co.za (pertenecientes a África del Sur) en tan sólo treinta minutos. Todos los sitios web estaban bajo la custodia de la empresa Vukanet. El tal F3PN ya había hecho de las suyas en Marzo de 2003, destrozando 42 páginas web alemanas, todas ellas funcionando bajo Windows 2000.

De todo esto tenemos un buen ejemplo diario en www.zone-h.org, página que se ha convertido en el punto de reunión oficial de alertas sobre defacements, donde se almacenan la mayor cantidad de registros de páginas vulneradas junto con una imagen demostrativa del desastre.

No es muy difícil sacar conclusiones sobre este curioso aspecto de la seguridad, donde la seguridad centralizada en un sólo punto y la negligencia de empresas no especializadas, puede poner en peligro la integridad y seguridad de cientos de webs. Miles de claves almacenadas en un servidor (ya esté correcta o defectuosamente configurado), se convierten en un apetitoso objetivo para los chicos malos, que, tarde o temprano, acaban por conseguir. Un servidor web que custodia la imagen de miles de empresas debe ser objeto de las más sofisticadas medidas de seguridad. El precio a pagar, a la larga, puede ser el de la imagen deteriorada de la empresa o la indiscriminada pérdida de datos si no se cuenta con un servicio de respaldo en caso de desastre. No deja de ser curioso como la filosofía de muchas empresas de hospedaje que sacrifican gastos mínimos en seguridad buscando proporcionar precios competitivos, al final, acaba atentando contra ellos mismos. Nunca se debe dejar de lado la seguridad, máxime cuando se custodia la imagen corporativa de miles de compañías.