Хакнаха WordPress сайта ми – какво да правя? Стъпка по стъпка

Сайтът пренасочва към казино, в Google се появиха страници на японски, а хостингът ви е спрял акаунта. Първата реакция е паника – и точно тогава се правят грешките, които правят почистването по-трудно. Ето какво да направите, по ред.

Признаци, че сайтът е хакнат

• Пренасочвания – посетителите (често само от мобилен или само от Google) попадат на чужди сайтове.
• Спам страници в Google – потърсете site:вашиятдомейн.bg и вижте дали има страници на японски, за лекарства, казина или реплики.
• Предупреждения – „Този сайт може да е хакнат“ в резултатите или червен екран в Chrome.
• Search Console – известие в „Проблеми със сигурността“.
• Непознати администратори в WordPress или нови файлове, които не сте качвали.
• Хостингът ви уведомява за зловреден код или спира сайта заради изпращане на спам.
• В магазина – клиенти съобщават за неразпознати плащания с картите им след поръчка при вас.

Какво да направите в първия час

1. Не трийте наслуки. Изтриването на подозрителни файлове без план често счупва сайта и унищожава следите, по които се открива пробивът.
2. Направете копие на текущото състояние – файлове и база данни. Това е „местопрестъплението“; ще ви трябва за анализа.
3. Сменете всички пароли – хостинг панел, FTP/SFTP, база данни, всички администратори в WordPress и имейла, свързан с акаунтите.
4. При магазин – спрете приемането на плащания с карта на сайта, докато не сте сигурни, че checkout-ът е чист. Наложеният платеж може да остане.
5. Уведомете хостинга – често имат логове и скенери, които показват кога и откъде е влязъл нападателят.

Как се почиства хакнат WordPress сайт

1. Ако имате чист бекъп

Възстановете бекъп отпреди атаката – понякога зловредният код стои седмици незабелязан, затова проверете датите. Веднага след това преминете към стъпките за затваряне на пробива по-долу, иначе ще бъдете хакнати отново.

2. Ако нямате бекъп

• Ядрото на WordPress – заменете папките wp-admin и wp-includes с чисти от wordpress.org. С WP-CLI командата wp core verify-checksums показва кои файлове са променени.
• Плъгини и теми – изтрийте и инсталирайте наново от официалния източник. Махнете всичко, което не ползвате. „Nulled“ (пиратски) плъгини и теми са един от най-честите източници на зараза.
• Папката uploads – там трябва да има само снимки и документи. Всеки .php файл в wp-content/uploads е подозрителен.
• wp-config.php и .htaccess – проверете за непознат код, пренасочвания и включени външни файлове.
• Базата данни – непознати администратори, вмъкнати скриптове в публикации, джаджи и настройки.
• Ключовете за сигурност – сменете „salts“ в wp-config.php. Така всички влезли потребители, включително нападателят, се изхвърлят.
• Сканиране – Wordfence (плъгин) и Sucuri SiteCheck (външен скенер) помагат да откриете останалото.

3. Специално за WooCommerce: проверете checkout-а

Най-опасната атака срещу магазин е скимър – скрит JavaScript на страницата за плащане, който изпраща данните на картите към нападателя. Сайтът работи нормално и нищо не личи. Проверете какви скриптове се зареждат в checkout-а и откъде, както и настройките на платежните плъгини.

Как да махнете предупреждението в Google

1. В Search Console отворете Сигурност и ръчни действия › Проблеми със сигурността и вижте какво е открил Google.
2. Уверете се, че всички посочени адреси са чисти. Спам страниците трябва да връщат грешка 404 или 410.
3. Натиснете „Заявка за преглед“ и опишете какво сте почистили и как сте затворили пробива.
4. Подайте отново sitemap-а, за да обходи Google чистите страници.

Прегледът обикновено отнема от един ден до няколко седмици. Спам страниците изчезват от резултатите постепенно.

Лични данни и GDPR

Онлайн магазинът пази имена, адреси, телефони и имейли на клиенти. Ако има риск тези данни да са изтекли, GDPR изисква да уведомите Комисията за защита на личните данни до 72 часа след като сте разбрали, а при висок риск – и засегнатите клиенти. Документирайте какво се е случило и какво сте направили. Консултирайте се с юрист за вашия случай.

Как да не се повтори

• Обновления на WordPress, темата и плъгините – повечето пробиви са през стари версии с известни уязвимости.
• Ежедневни бекъпи извън сървъра, пазени поне 30 дни, с проверено възстановяване.
• Двуфакторно влизане за администраторите и уникални силни пароли.
• Защитна стена (WAF) и ограничаване на опитите за вход.
• Само необходимите администратори – редакторите не се нуждаят от пълни права.
• Добър хостинг с изолация между акаунтите и актуален PHP. Вижте как да изберете хостинг за WooCommerce.
• Мониторинг – известие веднага щом сайтът спре или се промени.

Сайтът ви е хакнат в момента? Пишете ми – ще го почистя, ще затворя пробива и ще помогна да махнете предупреждението в Google.