Хакнат WordPress сайт: как да ограничите щетите

Когато видите непознати реклами, странни пренасочвания или предупреждение от браузъра, най-вероятно вече търсите отговор на въпроса какво се прави при хакнат WordPress сайт. Проблемът не е само във външния вид на страницата. Може да са засегнати запитвания от клиенти, фирмена поща, данни от форми, позиции в търсачките и доверието към бизнеса ви. Първата цел е проста: да спрете щетите спокойно и без действия, които ще усложнят възстановяването.

Как да разпознаете хакнат WordPress сайт

Понякога пробивът е очевиден – началната страница е сменена или показва съобщение от нападателя. По-често обаче признаците са по-тихи. Клиент ви казва, че линкът към сайта отваря чужда страница. В Google се появяват резултати за продукти, които не предлагате. Администраторският профил не приема паролата ви, въпреки че сте сигурни в нея.

Друг често срещан сценарий е сайтът да работи нормално за вас, но на случаен принцип да препраща посетители към страници с хазарт, фалшиви оферти или опасни файлове. Това се случва, когато злонамерен код проверява откъде идва посетителят или дали е робот на търсачка. Така собственикът не винаги вижда проблема веднага.

Има и по-непреки сигнали: необяснимо забавяне, нови администраторски акаунти, изпратени имейли от сайта без ваше действие, непознати файлове в хостинга или рязък спад на посещенията. Нито един от тях сам по себе си не доказва пробив, но е достатъчна причина за проверка.

Първите действия, когато WordPress сайтът е хакнат

Не започвайте с изтриване на файлове на случаен принцип. Така може да премахнете следи, които показват откъде е влязъл проблемът, или да унищожите работеща версия на важна страница. Ако сайтът събира заявки, има онлайн магазин или показва опасно съдържание, временното му ограничаване е разумна мярка. По-добре посетителите да видят кратко съобщение за поддръжка, отколкото да попаднат на измама.

След това запазете наличното състояние. Направете копие на файловете и базата данни, дори да знаете, че в тях има зловреден код. Това копие не е за връщане онлайн, а за анализ и като резервен вариант. Проверете и кога е направен последният надежден архив. Надежден означава архив от момент, в който сайтът е работил нормално, а не просто най-новият наличен файл.

Полезно е да си запишете какво точно сте забелязали: час на проблема, адреси на странните страници, снимки на екрана, имейли от хостинг доставчика и промени, правени наскоро по сайта. Тази информация спестява време при диагностика.

Необходими са четири бързи мерки:

• сменете паролите за WordPress, хостинг панела, FTP или SFTP достъпа и свързаните служебни имейли;
• прекратете активните сесии и премахнете непознати потребителски профили, ако имате сигурен достъп до администрацията;
• уведомете хостинг доставчика, защото той може да провери логове, ограничения и засегнати файлове;
• ако сайтът приема плащания или лични данни, спрете съответната функционалност до изясняване на случая.

Самата смяна на парола не е цялото решение. Ако уязвим плъгин, оставен администраторски профил или злонамерен файл остане на място, достъпът може да бъде възстановен отново.

Не връщайте сайт от архив без проверка

Възстановяването от архив често е най-бързият вариант, но не винаги е достатъчен. Ако пробивът е станал седмици преди да го забележите, архивът от вчера може вече да съдържа проблема. Освен това причина за пробива може да е стара тема, неактуален плъгин или компрометиран достъп до хостинга. Върнете ли само файловете, без да отстраните причината, рискувате сайтът да бъде заразен отново същия ден.

Как протича почистването на хакнат WordPress сайт

Практичното възстановяване започва с преценка на обхвата. Проверяват се файловете на WordPress, темите, плъгините, базата данни, потребителите и настройките на сайта. Търсят се добавени скриптове, непознати административни акаунти, променени системни файлове и код, който зарежда външно съдържание.

Следва избор между почистване и възстановяване от чист архив. При малък фирмен сайт с надежден архив често е по-сигурно да се върне проверена версия и после да се актуализира внимателно. При сайт с чести публикации, запитвания или поръчки директното връщане назад може да означава загуба на ново съдържание. Тогава е нужна по-прецизна работа – премахва се опасният код, а актуалните легитимни данни се запазват.

Почистването не приключва, когато страницата отново се отвори. Проверяват се пренасочванията, формите за контакт, изпращането на имейли, потребителските роли и видимостта на сайта през различни устройства. Ако е имало предупреждение в търсачките, трябва да се проследи и процесът по премахването му след отстраняване на причината.

За собственик на малък офис най-важният резултат е работещ сайт с ясен отчет: какво е засегнато, какво е поправено, има ли риск за данни и какви действия остават. Техническите детайли са нужни, но не трябва да заменят отговора на въпроса дали сайтът отново е безопасен за клиенти.

Откъде идва пробивът най-често

WordPress сам по себе си не е проблемен избор. Рискът обикновено идва от остарели компоненти и неподдържан достъп. Плъгин, който не е обновяван отдавна, тема с копирани файлове или слаба парола могат да бъдат достатъчни за пробив.

Особено рискови са т.нар. нулирани или безплатно разпространявани платени теми и разширения. Те често съдържат скрит код още преди инсталирането. Същото важи за плъгини, които вече не се поддържат от разработчика, но остават активни, защото някога са добавили удобна функция.

Понякога проблемът не е в WordPress. Компрометиран служебен имейл, запазена парола в чужд браузър, заразен компютър или прекалено много хора с администраторски права могат да дадат вход към сайта. Затова проверката трябва да обхваща не само самата инсталация, а и начините, по които се влиза в нея.

Как да намалите риска след възстановяване

Сигурността не означава да инсталирате максимален брой добавки. Означава да поддържате ясен ред. WordPress ядрото, темата и нужните плъгини трябва да се обновяват редовно, като преди по-големи промени има работещ архив. Плъгини без реална употреба е по-добре да се премахнат, а не само да се деактивират.

Всеки човек трябва да има собствен профил и права според задачите си. Счетоводител или редактор, който качва новина, не се нуждае от пълен администраторски достъп. При напускане на служител или външен изпълнител достъпът се прекратява веднага, а не когато се сетите след няколко месеца.

Силните, уникални пароли и потвърждаването при вход с втори фактор намаляват риска значително. Също толкова важни са автоматичните архиви, съхранявани отделно от самия хостинг. Архив, който стои само на същия компрометиран акаунт, не е достатъчна застраховка.

За фирмен сайт е добра практика да има конкретен човек или външен партньор, който следи обновяванията и реагира при предупреждение. Това не изисква вътрешен IT отдел. Изисква яснота кой проверява проблема, кой има достъп и къде е последното чисто копие.

Кога е нужна професионална намеса

Ако нямате достъп до администрацията или хостинга, виждате пренасочвания, сайтът изпраща спам или обработва данни на клиенти, не отлагайте проверката. Самостоятелните опити са подходящи при ясна и малка промяна, например неуспешен ъпдейт с наличен проверен архив. При съмнение за пробив обаче прибързаната намеса често струва повече време.

В много случаи първата оценка и част от действията могат да се направят дистанционно. Посещение на място в София има смисъл, когато проблемът засяга и работните устройства, фирмената мрежа, пощата или достъпите на няколко служители. Важното е да се избере действие според реалния обхват, а не да се прилага една и съща схема за всеки сайт.

Хакнатият сайт е неприятен инцидент, но не е присъда за бизнеса ви. Запазете спокойствие, ограничете достъпа, пазете доказателствата и не връщайте сайта онлайн, преди причината да е изяснена. Така следващото ви действие ще бъде решение, а не поредният риск.