Site WordPress spart: semne și primii pași

Un site WordPress spart se recunoaște după redirecționări spre alte site-uri, conținut pe care nu l-ai adăugat, avertismente de la Google sau de la antivirusul vizitatorilor și conturi de administrator necunoscute. Dacă vezi unul dintre aceste semne, salvează o copie a site-ului, anunță firma de găzduire, schimbă parolele și cere o curățare completă. Ștergerea fișierelor suspecte sau restaurarea unui backup vechi nu închide breșa prin care a intrat atacatorul.

Semnele unui site compromis

Unele semne se văd imediat. Altele apar după săptămâni.

• vizitatorii sunt trimiși spre alte site-uri, uneori doar de pe telefon sau doar când vin din Google;
• în pagini sau în subsol apar linkuri și reclame pe care nu le-ai pus;
• Google afișează avertismentul că site-ul poate fi periculos;
• clienții îți spun că antivirusul lor blochează site-ul;
• în lista de utilizatori apare un administrator pe care nu îl cunoști;
• firma de găzduire îți suspendă contul sau te anunță că serverul trimite spam;
• în rezultatele Google apar pagini cu titluri care n-au legătură cu afacerea ta.

Ultimul semn trece cel mai des neobservat. Conținutul de tip spam e ascuns de vizitatori și afișat doar motoarelor de căutare. Îl găsești dacă scrii în Google site:domeniultau.ro și citești titlurile din rezultate. Raportul „Probleme de securitate” din Google Search Console arată dacă Google a detectat deja o problemă.

Cum ajunge un site să fie spart

Cele mai multe atacuri asupra site-urilor WordPress nu țintesc o firmă anume. Programe automate caută versiuni de pluginuri și teme cu vulnerabilități publicate și intră pe orice site care le folosește.

Căile obișnuite de acces sunt:

• pluginuri și teme neactualizate, inclusiv cele dezactivate, dar rămase pe server;
• pluginuri premium descărcate din surse neoficiale, care vin deja cu cod malițios;
• parole slabe sau refolosite la contul de administrator, la FTP sau la panoul de găzduire;
• conturi vechi de administrator, rămase de la colaboratori care nu mai lucrează pe site;
• pluginuri abandonate, pentru care dezvoltatorul nu mai publică actualizări.

Despre parole găsești mai multe în articolul ce sunt parolele și cum arată o parolă sigură.

Ce faci în primele ore

Ordinea pașilor contează. Scopul e să oprești paguba și să păstrezi informațiile de care e nevoie la curățare.

• Fă o copie a site-ului așa cum e acum, cu fișierele și baza de date. Copia arată ce a modificat atacatorul.
• Anunță firma de găzduire. Are acces la jurnalele serverului și poate avea backup-uri din zilele dinaintea atacului.
• Schimbă parolele pentru panoul de găzduire, FTP, baza de date, conturile de administrator și adresele de email legate de site.
• Verifică lista de utilizatori din WordPress și notează conturile pe care nu le recunoști.
• Dacă ai un magazin online, verifică plățile și comenzile din ultimele zile.

Dacă atacul a putut expune datele personale ale clienților, ai și o obligație legală. Regulamentul GDPR cere notificarea autorității de supraveghere, în România ANSPDCP, în cel mult 72 de ore de la momentul în care afli de incident. Notificarea nu e necesară doar când incidentul nu prezintă un risc pentru persoanele ale căror date au fost expuse.

Ce agravează situația

Câteva reacții frecvente fac curățarea mai grea:

• ștergi fișierele care par suspecte și consideri problema rezolvată, deși atacatorii lasă de obicei mai multe căi de intrare ascunse, numite backdoor;
• restaurezi un backup vechi fără să afli cum a intrat atacatorul, iar site-ul poate fi infectat din nou în câteva zile;
• instalezi un plugin de securitate peste un site deja infectat și te bazezi pe el să repare baza de date și conturile compromise;
• amâni intervenția, timp în care Google și clienții văd site-ul ca nesigur.

Cum decurge o curățare completă

O devirusare făcută corect are mai multe etape. La Emiral le aplicăm în această ordine:

• auditul: aflăm când s-au modificat fișierele, căutăm conținutul plasat în pagini, inclusiv cel vizibil doar pentru motoarele de căutare, și verificăm dacă adresa site-ului apare pe listele de spam;
• intervenția urgentă: blocăm accesul la site și facem un backup local al fișierelor și al bazei de date, sau folosim backup-ul firmei de găzduire;
• curățarea: ștergem fișierele plasate de atacator, pluginurile și temele inactive, conturile de administrator compromise și backdoor-urile, apoi curățăm baza de date;
• actualizarea: aducem WordPress și pluginurile la ultima versiune și dezactivăm pluginurile pentru care dezvoltatorul nu mai oferă actualizări;
• testarea: generăm chei noi, repunem site-ul online într-un mediu restricționat după IP și verificăm cum funcționează;
• protecția: instalăm un firewall, stabilim reguli de acces și o politică pentru parole, apoi publicăm site-ul.

La audit folosim și informațiile pe care le au firma de găzduire, Google, procesatorul de plăți, firma de curierat sau utilizatorii site-ului. Fiecare a putut observa altă parte a atacului.

Durata depinde de gravitatea atacului. În general, intervenția urgentă și curățarea se termină în 24-48 de ore. Pe pagina de devirusare a site-ului WordPress găsești etapele în detaliu și pachetele, cu timp de intervenție de 24 sau de 8 ore.

Ce previne o nouă infectare

Un site curățat rămâne vulnerabil dacă revine la vechile obiceiuri. Trei măsuri reduc riscul:

• actualizări aplicate regulat, cu backup înainte și verificare după;
• un firewall și o scanare zilnică pentru malware;
• un jurnal de activitate care trimite o alertă când cineva încearcă să intre în contul de administrare.

În WordPress Care Plan folosim Imunify360 ca firewall și pentru scanarea contului de găzduire, Wordfence pentru scanarea zilnică a site-ului și WP Activity Log pentru alertele pe email. Ritmul complet de întreținere e descris în articolul despre mentenanța website-ului.

Dacă Google a marcat site-ul ca periculos, după curățare ceri o reverificare din Google Search Console. Avertismentul dispare după ce Google confirmă că site-ul e curat.

Refacerea unui site compromis costă mai mult decât prevenția. Măsurile de protecție pentru un site care nu a fost încă atacat sunt pe pagina de securizare WordPress.

Întrebări frecvente