Незнакомые страницы, редиректы или предупреждение Google на вашем сайте? Рассказываем, что делать в первые часы после взлома WordPress и как не допустить повторения.
Если посетителей перенаправляет на другой сайт, в результатах Google под вашим сайтом появляются странные заголовки или браузер предупреждает, что «сайт может быть опасен», скорее всего, сайт взломан. Спокойные действия в правильном порядке заметно снижают ущерб.
Признаки взлома
- Сайт перенаправляет на другой адрес, часто на рекламные сайты или казино
- В Google появляются страницы и заголовки, не связанные с вашим бизнесом
- В админ-панели есть незнакомые пользователи или плагины
- Хостинг предупреждает о высокой нагрузке или рассылке спама
- Предупреждение о безопасности в браузере или в Google Search Console
Что делать в первые часы
1. Сохраните текущее состояние
Прежде чем что-либо удалять, сделайте копию файлов и базы данных. Она понадобится, чтобы понять, как произошла атака. Храните её не на рабочем сервере.
2. Смените все пароли
Смените пароли администраторов WordPress, панели хостинга, FTP/SFTP и базы данных. Удалите незнакомых администраторов и по возможности включите двухфакторную аутентификацию для входа в админку.
3. Удалите вредоносные файлы и изменения
Найдите и удалите внедрённый код в папках тем и плагинов, в каталоге загрузок и в базе данных. Переустановка файлов ядра WordPress из официального источника — надёжный способ избавиться от изменённых файлов ядра.
4. Закройте уязвимость
Большинство атак проходит через устаревшие плагины и темы. Обновите WordPress, все плагины и тему, удалите неиспользуемые плагины и темы.
5. Сообщите Google
После очистки проверьте отчёт «Проблемы безопасности» в Google Search Console и запросите проверку. Так предупреждение в браузере и пометка в выдаче исчезнут быстрее.
6. Оцените утечку персональных данных
Если на сайте хранятся данные форм, учётные записи или сведения о клиентах, оцените, не были ли они получены злоумышленниками. Законы о защите данных, такие как GDPR и турецкий KVKK, требуют уведомлять регулятора об утечке персональных данных в течение 72 часов. Действуйте вместе с юристом.
Если сайт взламывают снова и снова
Если очищенный сайт вскоре снова взламывают, обычно где-то остался скрытый бэкдор или изначально проблемная конфигурация. Тогда лучше всего перенести контент и заново собрать сайт на чистой установке или как современный статический сайт. У статического сайта на сервере нет базы данных и плагинов, поэтому поверхность атаки намного меньше.
Меры, чтобы взлом не повторился
- Регулярно обновляйте WordPress, плагины и темы
- Оставляйте только действительно нужные плагины
- Используйте надёжные пароли и двухфакторную аутентификацию
- Размещайте сайт за межсетевым экраном
- Делайте регулярные резервные копии вне сайта и проверяйте восстановление
Чем поможет CloudRUX
Мы очищаем взломанный сайт, закрываем уязвимость и при необходимости заново собираем его с тем же контентом на защищённой инфраструктуре. Сайт размещается на нашей инфраструктуре в Турции за корпоративным межсетевым экраном и регулярно обслуживается. Подробнее — на страницах Корпоративный сайт и Веб-хостинг.