Open Journal Systems sostiene decenas de miles de revistas, la mayoría en universidades con equipos editoriales pequeños y sin personal de seguridad. Esa combinación hace que OJS resulte atractivo para los atacantes, pero no por las razones que los editores suelen suponer. Casi nadie quiere robar tus manuscritos. Quieren la reputación de tu dominio, el acceso de tus editores o el nombre de tu revista.
Esto es especialmente cierto en América Latina, donde OJS es la plataforma dominante y donde el nombre de una revista indexada en Redalyc, SciELO o Publindex tiene un valor que los estafadores conocen bien.
A continuación, los seis patrones detrás de la mayoría de incidentes en OJS que se discuten en el foro de la comunidad PKP y en la prensa especializada, más o menos en orden de frecuencia. Cada uno termina con lo que realmente lo detiene.
1. Registros spam y spam en perfiles
Es, con diferencia, el problema más común en OJS. El formulario de registro está abierto, no hay CAPTCHA y los bots crean cuentas por cientos. Cada cuenta rellena la biografía, la afiliación o la página personal con enlaces a apuestas, farmacias o venta de ensayos. OJS publica páginas de perfil, así que el dominio de tu revista pasa a alojar miles de páginas de spam que Google indexa.
El daño es reputacional y se acumula. Los buscadores reducen la confianza en todo el dominio, los artículos legítimos posicionan peor y, en casos graves, la revista aparece marcada como contenido hackeado en Search Console. A los evaluadores de un sistema de indexación que revisan el sitio web tampoco les va a gustar.
Qué lo detiene: restringe el autorregistro en Usuarios y roles → Opciones de acceso al sitio, activa las opciones de CAPTCHA en config.inc.php y limpia las cuentas spam existentes. Después revisa site:turevista.edu.co en Google cada mes.
2. Contraseñas de editores robadas o reutilizadas
Los editores gestionan varias revistas, participan en varios comités y mantienen varias cuentas de OJS. Las contraseñas suelen ser las mismas. Cuando cualquier servicio ajeno filtra su base de datos de contraseñas, los atacantes prueban esas credenciales en todas partes, incluida la página de acceso de tu revista. Es el relleno de credenciales, y está totalmente automatizado.
Un atacante con una cuenta de editor puede aceptar o rechazar envíos, leer evaluaciones confidenciales y la identidad de los revisores, descargar manuscritos inéditos y enviar correos desde la revista a todos los autores del sistema. Los peores casos documentados incluyen cartas de aceptación falsas enviadas a autores que después pagaron una tarifa a un tercero.
Qué lo detiene: una contraseña mínima más larga (min_password_length en config.inc.php), ninguna cuenta compartida y, sobre todo, autenticación de dos factores para cualquiera que pueda tomar una decisión editorial. OJS no tiene 2FA propio; nuestro plugin de Autenticación de dos factores añade verificación TOTP con obligatoriedad por rol, de modo que una contraseña filtrada ya no basta para entrar.
3. Instalaciones de OJS desactualizadas
Las versiones de OJS de la época 3.1 y 3.2 tienen vulnerabilidades que se publicaron y corrigieron hace años. Los escáneres automáticos identifican la versión desde el código fuente de la página y prueban los exploits conocidos. No hay nada personal; tu revista simplemente está en una lista.
Qué lo detiene: actualizar a una versión 3.4.x o 3.5.x con soporte y seguir los anuncios de PKP. Si la actualización está bloqueada por un tema o plugin antiguo hecho a medida, ese tema o plugin es ahora el problema de seguridad.
4. Secuestro de revistas
Este no toca tu servidor en absoluto. Los atacantes registran un dominio parecido, copian el nombre de tu revista, su ISSN, su comité editorial y su diseño, y empiezan a “aceptar” artículos a cambio de una tarifa. Los autores encuentran el clon en buscadores o en entradas falsas de indexación, pagan y no reciben nada, o reciben una “publicación” en el sitio falso. Lo que se daña es el nombre de tu revista.
Las revistas secuestradas son un problema documentado y creciente en la comunicación científica, y las revistas de América Latina, Oriente Medio y el sur de Asia son un objetivo frecuente porque sus nombres resultan menos familiares a autores de otras regiones.
Qué lo detiene: no puedes impedir que alguien registre un dominio, pero sí puedes hacer que el original sea fácil de verificar. Mantén actualizado tu registro de ISSN y tus entradas en Redalyc, SciELO, Latindex, DOAJ o Publindex con la URL correcta, publica una declaración clara de tu dominio oficial y de tu política de tarifas, y consulta periódicamente el Hijacked Journal Checker de Retraction Watch. Si encuentras un clon, denúncialo al registrador, a Google y a los índices que te listan.
5. Archivos subidos que acaban dentro de la raíz web
OJS guarda cada archivo subido, incluidos los envíos de autores anónimos, en el directorio definido por files_dir. Algunas instalaciones colocan ese directorio dentro de la raíz pública por comodidad. Combinado con una configuración permisiva del servidor, un archivo subido puede pedirse directamente por URL y, en el peor caso, un archivo PHP disfrazado puede ejecutarse.
Qué lo detiene: mover files_dir fuera de la raíz web y asegurarse de que el servidor no sirva nada desde ahí. Es un cambio de configuración que se hace una sola vez.
6. Accesos que nadie revocó
Editores invitados de un número especial, un editor gerente que se marchó, el estudiante de sistemas que montó la instalación en 2019: sus cuentas suelen conservar roles de Gestor de revista o Administrador del sitio durante años. Cualquiera de esas cuentas, con una contraseña olvidada en una bandeja de entrada vieja, es una puerta de entrada.
Qué lo detiene: una revisión anual de quién tiene roles con privilegios y la costumbre de retirar el acceso el mismo día en que alguien se va. Dos Administradores del sitio bastan para casi cualquier instalación.
Lo que cuesta realmente un incidente
Los editores a veces suponen que el coste de un incidente es un fin de semana de limpieza. En la práctica la factura incluye: posiciones en buscadores que tardan meses en recuperarse, una evaluación de indexación que falla porque el sitio estaba marcado, autores que pierden la confianza tras recibir correos fraudulentos y, si las copias de seguridad nunca se probaron, años de contenido publicado. Nada de esto es teórico; cada punto le ha pasado a revistas reales, y el archivo del foro de PKP está lleno de hilos de limpieza.
La versión de treinta minutos
Si hoy tienes media hora:
- Comprueba tu versión de OJS y planifica la actualización si está por debajo de 3.4.
- Confirma
force_ssl = Ony que el sitio carga solo por HTTPS. - Restringe el autorregistro y activa el CAPTCHA.
- Activa la autenticación de dos factores para administradores y editores.
- Revisa los registros de usuarios del último mes.
Para la lista completa, con copias de seguridad, higiene de plugins y monitoreo, consulta nuestra lista de verificación de seguridad para OJS en 12 pasos.