Что делать, если сайт взломали: пошаговый план

Признаки взлома

• сайт перенаправляет на другие ресурсы;
• появились страницы, которых вы не создавали;
• в поисковой выдаче стоит пометка «сайт может угрожать безопасности»;
• пользователи сообщают о вирусах и всплывающих окнах;
• изменился контент на главной или внутренних страницах;
• пропал доступ к админке или изменились пароли;
• в логах сервера видны подозрительные запросы и файлы.

Шаг 1. Изолировать сайт

Если есть возможность — временно отключите сайт от публичного доступа или переведите на страницу-заглушку. Это остановит распространение вредоносного кода и снизит риски для посетителей. Если сайт работает с платежами или персональными данными — тем более важно ограничить доступ до завершения анализа.

Шаг 2. Сохранить доказательства

Сделайте полную резервную копию сайта и базы данных в текущем состоянии — до любых правок. Это нужно для анализа: по логам и файлам можно понять, как именно произошёл взлом. Не удаляйте подозрительные файлы до того, как они зафиксированы.

Шаг 3. Сменить все пароли и ключи

• пароли к админке сайта, хостингу, FTP, SSH, базе данных;
• пароли к почте, привязанной к сайту;
• ключи API, токены интеграций, доступы к CRM и платёжным системам;
• пароли ко всем административным аккаунтам.

После смены паролей включите двухфакторную аутентификацию там, где это возможно.

Шаг 4. Найти точку входа

Причины взлома обычно лежат в одном из следующих мест:

• устаревшая CMS или плагин с известной уязвимостью;
• слабый или украденный пароль администратора;
• уязвимость в кастомном коде — чаще всего в формах и загрузках файлов;
• вредоносный код, оставленный предыдущим подрядчиком;
• открытые резервные копии, логи и дампы базы данных;
• уязвимость на стороне хостинга или соседних сайтов на сервере.

Без анализа логов и кода найти точку входа сложно. Если нет опыта — лучше привлечь специалистов.

Шаг 5. Удалить вредоносный код

Найдите и удалите:

• подозрительные файлы, появившиеся в последнее время;
• изменённые файлы ядра CMS, тем и плагинов;
• вредоносные скрипты в базе данных: спам-страницы, редиректы, скрытые ссылки;
• бэкдоры — специально оставленные точки входа для повторного взлома;
• лишние административные аккаунты.

Если сайт сильно заражён, надёжнее восстановить его из чистой резервной копии и заново закрыть уязвимость.

Шаг 6. Обновить и защитить

• обновите CMS, плагины, темы и библиотеки до актуальных версий;
• закройте уязвимость, через которую произошёл взлом;
• настройте правильные права доступа к файлам и каталогам;
• включите WAF и защиту от брутфорса;
• настройте регулярное резервное копирование;
• включите мониторинг изменений файлов и подозрительной активности.

Шаг 7. Проверить сайт и уведомить поисковики

После устранения вредоносного кода проверьте сайт на наличие остатков заражения. Если сайт был помечен поисковиками как опасный, отправьте запрос на пересмотр через Яндекс.Вебмастер и Google Search Console. Обычно пометка снимается в течение нескольких дней после проверки.

Шаг 8. Разобраться с последствиями

• проверьте, не утекли ли данные пользователей;
• предупредите клиентов, если есть риск для их аккаунтов;
• оцените репутационный ущерб и при необходимости подготовьте публичное заявление;
• зафиксируйте инцидент и выводы на будущее.

Профилактика

• регулярно обновляйте CMS и плагины;
• используйте сложные пароли и двухфакторную аутентификацию;
• проводите плановые проверки на уязвимости;
• настройте резервное копирование и проверяйте его работоспособность;
• следите за логами и изменениями файлов;
• ограничьте доступ к админке по IP, если это возможно.

Вывод

Взлом сайта — это серьёзно, но не катастрофа, если действовать по алгоритму. Главное — не оставлять сайт в заражённом состоянии, найти точку входа, устранить вредоносный код, закрыть уязвимость и настроить защиту от повторной атаки. После инцидента обязательно проведите работу над ошибками и настройте регулярные проверки безопасности.

Материал носит информационный характер. Конкретные шаги зависят от типа сайта, характера взлома и стека технологий.