Отваряте сайта си и виждате чужда реклама. Или клиент ви пише, че Google показва „Този сайт може да е хакнат“. Или хостингът ви е спрял акаунта заради изпращан спам. Първото правило е да не изпадате в паника и да не започвате да триете на сляпо. В тази статия ще видите как да разберете дали сайтът наистина е хакнат, какво да направите в първия час, как се почиства и как да не се случи пак.
Признаци, че сайтът е хакнат
- Пренасочване към чужди сайтове - често само от телефон или само когато идвате от Google, затова може да не го видите от компютъра си.
- Странни резултати в Google - при търсене на името ви излизат страници за лекарства, хазарт или реплики на маркови стоки.
- Предупреждение в браузъра - червен екран „Опасен сайт“ или надпис „Този сайт може да е хакнат“ под резултата в Google.
- Писмо от Google Search Console за проблеми със сигурността.
- Хостингът ви е спрял сайта или ви предупреждава за зловреден код или изпращан спам.
- Непознати администратори в сайта или промени, които не сте правили.
- Имейлите ви внезапно отиват в спам при клиентите.
Не всяко странно поведение е хакване. Бял екран или грешка след обновяване по-често е технически проблем. Пренасочванията, чуждото съдържание и непознатите потребители обаче почти винаги означават пробив.
Какво да направите в първия час
- Не трийте нищо и не възстановявайте веднага стар архив. Ако не знаете откъде е влязъл нападателят, той ще влезе отново и в чистия архив.
- Сменете всички пароли - администраторите на сайта, хостинга, FTP/SFTP, базата данни и имейла, свързан с тях. Започнете от хостинга и имейла, защото през тях се сменят останалите.
- Включете двуфакторен вход навсякъде, където е възможно.
- Проверете потребителите в сайта и изтрийте непознатите администратори.
- Свържете се с хостинга. Много хостинг компании имат скенер и логове, от които се вижда кога и как е станал пробивът.
- Ако сайтът е магазин или събира лични данни - временно го поставете в режим на поддръжка, за да не попаднат клиенти на заразени страници.
Как се почиства хакнат сайт
| Стъпка | Какво включва |
|---|---|
| 1. Пълно копие на сегашното състояние | Архив на заразения сайт - нужен е, за да се открие откъде е влязъл нападателят и да не се загубят данни |
| 2. Сканиране | Търсене на зловреден код във файловете и базата данни, на непознати файлове и скрити администратори |
| 3. Откриване на входа | Обикновено старо разширение или тема, изтекла парола или заразен компютър, от който е влизано |
| 4. Подмяна на системните файлове | WordPress, темата и разширенията се качват наново от официалните източници, а не се „поправят“ |
| 5. Почистване на базата данни | Премахване на вмъкнати скриптове, спам страници и линкове |
| 6. Обновяване и заключване | Всичко се обновява до последна версия, махат се излишните разширения, сменят се ключовете за сигурност |
| 7. Заявка към Google | В Google Search Console → „Проблеми със сигурността“ се подава заявка за преглед, за да изчезне предупреждението |
| 8. Наблюдение | Следене през следващите седмици - често нападателите оставят „задна врата“ и се връщат |
Ако имате чист архив отпреди пробива и знаете откъде е влязъл нападателят, възстановяването може да е въпрос на минути. Затова ежедневният архив извън сървъра е най-евтината застраховка - повече за това в Поддръжка на сайта: какво става след пускането.
Изтриването на заразения файл, който сте видели, рядко е достатъчно. Ако не е затворен входът, през който са влезли, сайтът обикновено е хакнат отново до дни.
Ако има изтекли лични данни
Ако сайтът събира имена, адреси, телефони или поръчки, проверете дали нападателят е имал достъп до тях. При нарушение на сигурността на личните данни, което създава риск за хората, GDPR изисква уведомяване на Комисията за защита на личните данни до 72 часа от узнаването, а при висок риск - и на засегнатите хора. Документирайте какво се е случило и какви мерки сте взели. Ако не сте сигурни дали случаят ви попада тук, консултирайте се с юрист.
Как да не се случи пак
- Редовни обновления на системата, темата и разширенията - това спира повечето атаки.
- Ежедневен архив, пазен извън хостинга, и проверка, че от него наистина може да се възстанови.
- Силни, различни пароли и двуфакторен вход за всички администратори.
- По-малко разширения. Всяко неизползвано разширение е допълнителна врата.
- Само необходимите администратори. Редакторите не трябва да имат пълен достъп.
- Добър хостинг с изолирани акаунти, защитна стена и актуална версия на PHP - вижте Домейн и хостинг - простичко обяснено.
- Наблюдение - автоматично известие, ако сайтът спре или се промени неочаквано.
Какво да ни кажете, ако сайтът ви е хакнат
- Адресът на сайта и с какво е направен, ако знаете.
- Какво точно виждате - пренасочване, предупреждение, чуждо съдържание, писмо от хостинга или Google.
- Откога и дали сте правили промени преди това.
- Имате ли архив и от коя дата е.
- Какви достъпи имате - до администрацията, хостинга и домейна.
- Събира ли сайтът лични данни или плащания.
При хакнат сайт всеки ден има значение - за клиентите и за позициите в Google. Обадете ни се на 0877 945 718 или пишете на office@nmax.dev. Можете и през формата за контакт.