Сайт взломали: порядок действий в первые часы

Признаки взлома

• Браузер или поисковая система предупреждает, что сайт опасен.
• В поиске под вашим адресом появились страницы про казино, займы, лекарства.
• Посетителей перенаправляет на другой сайт, часто только с телефона или только из поиска.
• Хостинг заблокировал аккаунт или прислал письмо о подозрительной активности.
• В папках сайта есть файлы, которых вы не создавали, или появились новые администраторы.

Порядок действий

1. Сохраните копию как есть

Скачайте все файлы сайта и выгрузите базу данных. Копия нужна, чтобы найти вход злоумышленника и понять, что он изменил. Не удаляйте подозрительные файлы до этого: вместе с ними пропадут следы.

2. Смените пароли

Смените пароли от панели хостинга, FTP или SFTP, базы данных, администраторов сайта и почты, привязанной к сайту. После смены пароля базы обновите его в настройках сайта (в WordPress файл wp-config.php, в 1С-Битрикс файлы настроек подключения к базе). В WordPress замените секретные ключи (AUTH_KEY и остальные) на новые.

3. Закройте сайт от посетителей

Если сайт раздаёт вирус посетителям, включите страницу технических работ или временно отключите сайт. Это защищает посетителей и уменьшает ущерб репутации.

4. Сообщите хостингу

Если хостинг написал вам, ответьте и запросите список файлов, которые он счёл вредоносными. Он поможет определить время заражения по журналам.

5. Найдите вход

Посмотрите, какие файлы изменялись недавно. На сервере по SSH это можно сделать командой:

find . -type f -name "*.php" -mtime -14

Проверьте журнал доступа на запросы (особенно POST) к файлам, которых не должно быть. В WordPress проверьте список пользователей и устаревшие или «взломанные» плагины и темы. Загрузки не должны содержать php-файлов: в wp-content/uploads исполняемых файлов быть не должно.

6. Очистите сайт

Замените файлы ядра CMS чистыми файлами той же версии. Переустановите плагины и темы из официальных источников. Проверьте базу данных на вставленный код: в записях и настройках ищите <script, eval(, base64_decode.

7. Закройте уязвимость

Обновите CMS, плагины и темы. Удалите лишние плагины и неиспользуемых пользователей. Запретите выполнение php-файлов в каталоге загрузок. Без этого шага взлом повторится.

8. Снимите метки и блокировки

В Google Search Console откройте раздел «Проблемы безопасности» и запросите повторную проверку. В Яндекс Вебмастере откройте раздел «Безопасность и нарушения» и запросите проверку после исправления. Хостингу отправьте запрос на разблокировку.

Если на сайте были данные клиентов

Если в базе хранились персональные данные клиентов (заказы, заявки, учётные записи), возможна утечка. По закону о персональных данных оператор должен уведомить Роскомнадзор об инциденте в установленный срок (на момент написания: 24 часа с момента, когда о нём стало известно). Уточните срок и порядок у юриста.

Чего не делать

• Не удаляйте всё подряд до копии.
• Не восстанавливайте старую копию, не закрыв вход: взлом повторится.
• Не оставляйте старые пароли, даже если сайт «вроде работает».

Сколько стоит очистка у нас

Диапазоны ориентировочные, ставка 3 800 ₽ в час. Точную оценку присылаем до начала работ. Все цены.

Частые вопросы