Хакнат сайт – какво да правим веднага

Ако сутринта отворите сайта си и видите странна начална страница, пренасочване към чужд домейн или предупреждение от браузъра, въпросът е само един – хакнат сайт, какво да правим? В такава ситуация най-голямата грешка е паниката. Втората е да започнете да пипате всичко хаотично. Нужен е ясен ред на действията, за да ограничите щетите, да запазите важни данни и да върнете сайта безопасно онлайн.

При малките фирми проблемът рядко е само „сайтът не работи“. Често има и фирмен имейл, контактни форми, онлайн запитвания, календар за записвания или служебни акаунти, свързани с домейна. Затова реакцията трябва да е бърза, но подредена.

Хакнат сайт – какво да правим в първите 30 минути

Първата цел не е пълно оправяне. Първата цел е контрол. Ако сайтът е достъпен, сложете го временно в режим на поддръжка или го спрете, ако има риск да заразява посетители, да разпространява спам или да събира данни през подменени форми. Това не е приятно решение, но е по-добро от това клиентите ви да попадат на фалшиво съдържание или да получават предупреждение, че страницата е опасна.

След това сменете паролите. Започва се с администраторския достъп до сайта, хостинг акаунта, FTP или SFTP достъпа, базата данни и служебните имейли, свързани с домейна. Ако използвате една и съща парола на повече места, сменете я навсякъде. Ако има възможност, включете двуфакторна защита.

Паралелно с това запазете текущото състояние. Направете копие на файловете и базата данни, дори сайтът да е компрометиран. Причината е проста – после може да трябва да се види как е станало проникването, кои файлове са били променени и дали има изтичане на информация. Ако започнете да триете на сляпо, често се губят важни следи.

Уведомете хостинг доставчика. В много случаи те виждат логове, необичайна активност, масово изпращане на имейли или промени по акаунта, които не се виждат от контролния панел. Освен това могат временно да ограничат достъп, да съдействат с бекъп или да потвърдят кога е започнал проблемът.

Как да разберете дали сайтът наистина е хакнат

Понякога проблемът е очевиден. Началната страница е сменена, има изскачащи реклами, посетителите се пренасочват към хазартни или фалшиви страници, а Google показва предупреждение. Но има и по-тихи случаи. Сайтът уж работи, а всъщност е добавен зловреден код, който праща спам, създава скрити страници или използва ресурса на хостинга за други цели.

Има няколко чести признака. Появяват се нови администраторски акаунти, които никой не е създавал. Файлове с непознати имена се появяват в системните папки. Сайтът започва да работи бавно без ясна причина. Хостингът изпраща предупреждение за прекомерно натоварване. Имейлите от домейна попадат в спам. В търсачките се индексират страници, които не съществуват в реалното ви меню.

Тук има една важна разлика. Не всяка зараза води до видим срив. Понякога сайтът е „компрометиран, но още работи“. Това е по-коварният вариант, защото проблемът стои скрит по-дълго и последствията са по-големи.

Откъде най-често влиза пробивът

При малки фирмени сайтове причината обикновено не е сложна атака, а пропуск в поддръжката. Най-честият сценарий е остаряла система за управление на съдържанието, стар плъгин или тема с известна уязвимост. Ако обновяванията са отлагани с месеци, рискът става съвсем реален.

Друг чест проблем са слаби пароли и повторно използвани пароли. Ако имейл акаунтът, администраторският достъп и хостингът са със сходни комбинации, един компрометиран достъп е достатъчен. Има и случаи, в които заразен служебен компютър пази пароли в браузъра и оттам пробивът стига до сайта.

Понякога причината е в неправилни права на файлове, оставени тестови копия на сайта, стари инсталации в поддиректории или неактивни, но все още налични модули. „Не го ползваме“ не означава „не е риск“.

Какво да не правите

Не възстановявайте сайта веднага от стар архив, без да знаете как е станал пробивът. Ако уязвимостта е още там, проблемът може да се повтори още същия ден. Не трийте произволни файлове, само защото имената им изглеждат странно. Някои са опасни, други са системни и изтриването им усложнява възстановяването.

Не работете през несигурен Wi-Fi и не изпращайте пароли по имейл или чат без защита. Не подценявайте и фирмения имейл. Ако домейнът е компрометиран, често следващата стъпка е опит за достъп до пощи, фалшиви фактури или измамни съобщения към клиенти.

И още нещо – не приемайте, че „след като сайтът пак се отваря, всичко е наред“. Много зарази остават активни и след привидно възстановяване.

Възстановяване на хакнат сайт без повторна зараза

Тук правилният подход е поетапен. Първо се установява обхватът на проблема – само файлове, само база данни, администраторски акаунти, имейли, DNS настройки или комбинация от тях. После се проверява кой е последният чист архив. „Последен“ не винаги значи „най-добър“. Ако заразата е стояла скрито две седмици, последният архив също може да е компрометиран.

Следва почистване или възстановяване върху чиста среда. При по-леки случаи е достатъчно да се заменят заразените файлове, да се изчисти кодът и да се премахнат подменени потребители. При по-тежки случаи е по-разумно да се изгради чиста инсталация, в която да се върнат само проверени файлове, съдържание и база данни.

След възстановяването идва критичната част – затваряне на входната точка. Това може да значи обновяване на платформата, премахване на ненужни разширения, смяна на всички пароли, ограничаване на достъпа по IP, активиране на двуфакторна защита и преглед на правата на потребителите. Ако тази стъпка се пропусне, ремонтът е временен.

Какво да проверите освен самия сайт

При инцидент много хора гледат само началната страница. Това не е достатъчно. Проверете фирмения имейл – има ли изпратени писма, които не са ваши, има ли правила за автоматично препращане, има ли влезли устройства или подозрителни логвания. За малък офис това е особено важно, защото щетата често се мести от сайта към комуникацията с клиенти и доставчици.

Проверете и DNS настройките на домейна. Ако записите са променяни, сайтът или пощата могат да бъдат насочени другаде, дори файловете да са оправени. Огледайте формите за контакт, онлайн поръчки и системите за записване на часове. Ако през тях се събират лични данни, трябва да знаете дали има риск за посетителите.

Ако сайтът е свързан с външни услуги – аналитика, онлайн магазин, платежни методи, CRM – прегледът трябва да обхване и тях. Не винаги компрометираният елемент е самият сайт. Понякога е достъпът около него.

Кога случаят е за спешна външна помощ

Ако не сте сигурни откъде е дошъл пробивът, ако сайтът продължава да се пренасочва след смяна на пароли, ако фирменият имейл също показва странна активност или ако има риск за клиентски данни, не губете време в проби и грешки. Тогава е нужен човек, който да прегледа случая структурирано – какво е засегнато, как се спира щетата и какво е нужно за безопасно връщане в работа.

Точно тук практичният подход е най-важен. Първо се прави начална преценка, после се решава какво може да се овладее дистанционно и кога е нужен преглед на място, особено ако има засегнати служебни компютри, запазени пароли, локална мрежа или проблеми с фирмения имейл. За малки офиси в София това често спестява часове хаос и прекъсната работа.

Как да намалите риска занапред

Нито един сайт не става „напълно неуязвим“, но рискът може да падне значително. Най-полезната мярка е редовната поддръжка – обновявания по график, контрол над плъгини и теми, ясни потребителски роли и архиви, които реално се тестват. Архив, който никога не е пробван, е само надежда, не план.

Добра практика е и паролите да не се пазят безразборно в браузъри и чатове. Ако няколко души работят по сайта, достъпите трябва да са отделни, а не „един общ акаунт за всички“. Така при проблем се вижда кой какво е правил и достъпът може да се отнеме без да се сменя всичко.

Следете и дребните сигнали. Неочаквано забавяне, странни файлове, предупреждение от хостинга, оплакване от клиент, че сайтът го препраща, или имейли, които изведнъж започват да се връщат – това често са ранни симптоми, не случайности.

Когато сайтът е хакнат, скоростта е важна, но още по-важен е редът. Първо ограничавате щетите, после изчиствате причината и чак след това връщате нормалната работа. Така проблемът остава инцидент, а не се превръща в дълга поредица от нови проблеми.