Признаки взлома
- Браузер или Google пишут «сайт может быть опасен»
- В выдаче появились ваши страницы со спамом на чужом языке или про казино и лекарства
- Посетители перенаправляются на посторонние сайты, особенно с телефонов
- В админке появились незнакомые пользователи или файлы
- Хостинг блокирует сайт за рассылку спама или лишнюю нагрузку
- В Search Console пришло сообщение об угрозе безопасности
- Сайт внезапно замедлился, а содержимое файлов изменилось без вашего участия
План действий
Смените все доступысразу
Пароли хостинга, админки, базы данных, FTP и почты. Включите двухфакторную защиту там, где она есть.
Сохраните копию заражённого сайта1 час
Она нужна, чтобы найти точку входа и показать хостингу, что произошло. Храните вне сервера.
Закройте сайт на время работ1 час
Включите страницу «технические работы», чтобы не заражать посетителей и не терять репутацию.
Восстановите чистую версию2–4 часа
Лучше из резервной копии до даты взлома. Затем обновите систему и плагины до последних версий.
Найдите причину1–2 дня
Старый плагин, слабый пароль, украденный доступ, уязвимая тема. Если причину не найти, взлом вернётся.
Сообщите поисковикампосле очистки
В Search Console отправьте запрос на пересмотр после очистки, чтобы убрать предупреждение.
Почему сайты взламывают
Чаще всего это не персональная атака, а автоматический перебор. Роботы ищут сайты со старыми версиями системы и плагинов, слабыми паролями и открытыми папками. Малый бизнес привлекателен тем, что за сайтом редко следят.
Цель взломщика — использовать ваш сайт: размещать спам-страницы для чужого продвижения, рассылать письма от вашего домена, перенаправлять посетителей или красть данные форм. Поэтому заражённый сайт нередко продолжает работать нормально, и владелец узнаёт о проблеме от клиента.
Как защититься заранее
- Обновления
- Система, темы и плагины обновляются по расписанию, а ненужные удаляются.
- Резервные копии
- Копия хранится вне сервера, проверена на восстановление и делается ежедневно.
- Права доступа
- Каждому сотруднику и подрядчику — отдельная учётная запись, бывшим — отзываем доступ.
- Мониторинг
- Оповещение об изменении файлов и недоступности сайта приходит на телефон.
Проверьте и соседние системы
Если пароль от сайта совпадает с паролем почты или аккаунта рекламы, смените и их. Часто взлом сайта оказывается лишь первым шагом к более серьёзному доступу.
Что проверить через неделю после очистки
После восстановления сайта не расслабляйтесь: взломщики часто оставляют скрытый вход и возвращаются через несколько дней. Проверьте список пользователей админки, недавно изменённые файлы, задания планировщика на сервере и исходящие письма. Любая незнакомая запись — повод разобраться.
Также убедитесь, что в поиске не осталось страниц со спамом: набор site: в Google покажет подозрительные адреса, а Search Console позволит запросить их удаление. Если сайт принимал оплату или данные клиентов, оцените, нужно ли предупреждать пользователей и банк, и зафиксируйте шаги, которые вы сделали.