O que é URL hijacking e como prevenir um attack?

O chamado URL hijacking pode fazer com que seu site seja removido da indexação de um mecanismo de busca, permanecendo oculto a potenciais visitantes. Este fenômeno costuma ocorrer devido ao uso de redirecionamentos ao invés de links.

O que é URL hijacking?

URL hijacking pode ser explicado como o fenômeno no qual um site desaparece dos resultados de um mecanismo de busca, sendo substituído por outro. Este segundo site, por sua vez, acessa o site de fato ou o URL de destino real, por meio de um redirecionamento. Por exemplo, site-linkado.com leva ao site-de-fato.com, por redirecionamento ao invés de pela tag HTML <a>, que é o usual. Nestes casos, o URL de redirecionamento se assemelha ao do exemplo:

site-linkado.com/redirect.php?target=site-de-fato.com

Quando um mecanismo de busca encontra um link assim, ele entende o site que contém o link de redirecionamento e o site de destino como idênticos. Consequentemente, o mecanismo de busca remove um dos dois da indexação, por orientar-se por definições de códigos de status HTTP anexados ao redirecionamento de URL.

Enquanto o cógido 301: Movido Permanentemente (Moved Permanently) evidencia o redirecionamento permanente do URL solicitado, o código 302: Encontrado (Found) sinaliza um redirecionamento temporário para o URL designado. O primeiro caso não traz problemas ao site, entretanto o redirecionamento 302 é a principal causa de URL hijacking. É que este tipo de redirecionamento sugere aocrawlerdo mecanismo de busca que o site de destino (oficial) é temporário e que o site linkado (temporário) é oficial. Sem uma verificação adequada, apágina incorreta é indexada e assume a classificação da página oficial.

Quando redirecionamentos 301 e 302 são usados?

Existem diversos motivos para se usar redirecionamentos de URL. O redirecionamento permanente (301) de domínios com erros de digitação ao domínio correto é uma prática comum. Por exemplo, se você digitar acidentalmente googel.com, ao invés de google.com na barra de endereço do navegador, ainda assim chegará ao site original do popular mecanismo de busca.

O redirecionamento permanente ao endereço correto de uma página principal também não é incomum. Por exemplo, ao visitar a página principal (da versão em língua portuguesa) da Wikipédia, digitando pt.wikipedia.org no navegador, você será levado automaticamente ao endereço https://pt.wikipedia.org/wiki/Wikipédia:Página_principal por meio de um redirecionamento 301. Desenvolvedores também usam redirecionamentos permanentes para levar visitantes ao novo endereço após uma mudança de domínio ou ao conteúdo de um projeto web que tenha recebido um novo URL.

Por outro lado, redirecionamentos 302 são usados, principalmente, para exibir temporariamente o conteúdo de outro URL, para que o primeiro permaneça acessível. Isso é útil, por exemplo, se a página oficial estiver em manutenção. Quando um desenvolvedor cria manualmente este tipo de redirecionamento, sua intenção é que o conteúdo volte a ser exibido futuramente pelo URL oficial. Existem três cenários de redirecionamento que podem resultar em URL hijacking, sendo que um deles é usado intencionalmente com essa finalidade.

Uso não intencional do redirecionamento 302

É possível que desenvolvedores linkem projetos diferentes usando um redirecionamento temporário, sem que haja má intenção. Por exemplo, eles podem fazer isso acidentalmente enquanto tentam configurar um redirecionamento permanente. O mecanismo de reescrita de URL do servidor web Apache mod_rewrite concede aos redirecionamentos, por padrão, o código 302.

URLs gerados dinamicamente

PHP é uma linguagem de script amplamente usada no desenvolvimento web. É que os scripts de servidor desta linguagem de programação constituem forma simples e prática de criar conteúdo dinâmico para sites. No entanto, muitas vezes estes scripts PHP integram dinamicamente endereços de destino a URLs já existentes, por realizarem redirecionamentos temporários por meio da utilização do código 302. Scripts deste tipo são geralmente usados em diretórios de endereços web, mas também podem estar presentes em sistemas de gerenciamento de conteúdo (CMS).

URL hijacking attack: Redirecionamento intencional

Criminosos conhecem a prática de URL hijacking e, muitas vezes, se aproveitam dela. De forma intencional, eles utilizam redirecionamentos 302 para impulsionar conteúdos próprios na indexação dos mecanismos de busca, “sequestrando” (hijacking, em inglês) páginas com boa classificação. Tal estratégia não é sustentável e tampouco legal, configurando uma prática que se enquadra como black hat SEO.

URL hijacking attack vs. outros métodos de ataque

URL hijacking attack costuma ser confundido com outros métodos criminosos, como domain hijacking e typosquatting. Na verdade, cada um configura um ataque diferente, mas todos podem ser usados para prejudicar você ou a classificação do seu site.

URL hijacking vs. domain hijacking

Embora tanto URL hijacking quanto domain hijacking sejam usados com o intuito de assumir o controle de um site, os dois métodos de ataque são diferentes, especialmente no que diz respeito à abordagem.

A prática de domain hijacking ocorre quando criminosos controlam um domínio depois de conseguirem acesso às contas de gerenciamento dele, por exemplo, mediante alteração de configurações do sistema de nomes de domínio (DNS). No pior dos cenários, os criminosos conseguem assumir controle total sobre a presença web de uma vítima.

URL hijacking vs. typosquatting

A técnica de ataque conhecida como typosquatting se aproveita de erros de digitação. A prática atua nos redirecionamentos que costumam ser usados para ajudar visitantes a chegarem ao destino desejado, mesmo que cometam pequenos erros de digitação. Ao praticarem typosquatting, criminosos registram propositalmente domínios com erros de digitação comuns, para levar visitantes a outros sites, que costumam conter códigos maliciosos.

Como proteger seu site contra URL hijacking attack

Quem tenta melhorar a classificação do próprio site sabe como o processo é desafiador e demorado. Por consequência, quanto mais você sobe na classificação dos mecanismos de busca, maior é a probabilidade de suas páginas indexadas serem atacadas. Ao contrário de um ataque que ocorre por causa de brechas de segurança em um projeto, o URL hijacking attack está diretamente ligado à prática SEO de link building. Portanto, ele não pode ser impedido por softwares antivírus.

Por isso, é muito importante que você analise regularmente tanto seus backlinks novos quanto os antigos, com o objetivo de filtrar URLs problemáticos. Existem diversas ferramentas e serviços que lhe ajudam na tarefa. Entre elas estão:

• SEMrush
• LinkResearchTools
• SISTRIX
• Google Search Console

Ainda, o Google disponibiliza uma ferramenta para remover URLs, que permite excluir qualquer redirecionamento indesejado que aponte para o seu site na indexação do buscador. Antes de fazer isso, contudo, entre em contato com o administrador responsável pelo seu site e solicite o ajuste do roteamento. Fazendo assim, talvez você consiga manter os backlinks afetados. O código de status 307: Redirecionamento Temporário (Temporary Redirect) é outra opção de roteamento temporário, disponível a partir do HTTP 1.1, que não resulta em URL hijacking.

Se seu site oficial já tiver desaparecido da indexação, entre em contato com a equipe de atendimento do mecanismo de busca e solicite a restauração da classificação original, depois que você já tiver removido ou alterado o(s) backlink(s) afetado(s).