Un site WordPress spart se recunoaște după redirecționări spre alte site-uri, conținut pe care nu l-ai adăugat, avertismente de la Google sau de la antivirusul vizitatorilor și conturi de administrator necunoscute. Dacă vezi unul dintre aceste semne, salvează o copie a site-ului, anunță firma de găzduire, schimbă parolele și cere o curățare completă. Ștergerea fișierelor suspecte sau restaurarea unui backup vechi nu închide breșa prin care a intrat atacatorul.
Semnele unui site compromis
Unele semne se văd imediat. Altele apar după săptămâni.
- vizitatorii sunt trimiși spre alte site-uri, uneori doar de pe telefon sau doar când vin din Google;
- în pagini sau în subsol apar linkuri și reclame pe care nu le-ai pus;
- Google afișează avertismentul că site-ul poate fi periculos;
- clienții îți spun că antivirusul lor blochează site-ul;
- în lista de utilizatori apare un administrator pe care nu îl cunoști;
- firma de găzduire îți suspendă contul sau te anunță că serverul trimite spam;
- în rezultatele Google apar pagini cu titluri care n-au legătură cu afacerea ta.
Ultimul semn trece cel mai des neobservat. Conținutul de tip spam e ascuns de vizitatori și afișat doar motoarelor de căutare. Îl găsești dacă scrii în Google site:domeniultau.ro și citești titlurile din rezultate. Raportul „Probleme de securitate” din Google Search Console arată dacă Google a detectat deja o problemă.
Cum ajunge un site să fie spart
Cele mai multe atacuri asupra site-urilor WordPress nu țintesc o firmă anume. Programe automate caută versiuni de pluginuri și teme cu vulnerabilități publicate și intră pe orice site care le folosește.
Căile obișnuite de acces sunt:
- pluginuri și teme neactualizate, inclusiv cele dezactivate, dar rămase pe server;
- pluginuri premium descărcate din surse neoficiale, care vin deja cu cod malițios;
- parole slabe sau refolosite la contul de administrator, la FTP sau la panoul de găzduire;
- conturi vechi de administrator, rămase de la colaboratori care nu mai lucrează pe site;
- pluginuri abandonate, pentru care dezvoltatorul nu mai publică actualizări.
Despre parole găsești mai multe în articolul ce sunt parolele și cum arată o parolă sigură.
Ce faci în primele ore
Ordinea pașilor contează. Scopul e să oprești paguba și să păstrezi informațiile de care e nevoie la curățare.
- Fă o copie a site-ului așa cum e acum, cu fișierele și baza de date. Copia arată ce a modificat atacatorul.
- Anunță firma de găzduire. Are acces la jurnalele serverului și poate avea backup-uri din zilele dinaintea atacului.
- Schimbă parolele pentru panoul de găzduire, FTP, baza de date, conturile de administrator și adresele de email legate de site.
- Verifică lista de utilizatori din WordPress și notează conturile pe care nu le recunoști.
- Dacă ai un magazin online, verifică plățile și comenzile din ultimele zile.
Dacă atacul a putut expune datele personale ale clienților, ai și o obligație legală. Regulamentul GDPR cere notificarea autorității de supraveghere, în România ANSPDCP, în cel mult 72 de ore de la momentul în care afli de incident. Notificarea nu e necesară doar când incidentul nu prezintă un risc pentru persoanele ale căror date au fost expuse.
Ce agravează situația
Câteva reacții frecvente fac curățarea mai grea:
- ștergi fișierele care par suspecte și consideri problema rezolvată, deși atacatorii lasă de obicei mai multe căi de intrare ascunse, numite backdoor;
- restaurezi un backup vechi fără să afli cum a intrat atacatorul, iar site-ul poate fi infectat din nou în câteva zile;
- instalezi un plugin de securitate peste un site deja infectat și te bazezi pe el să repare baza de date și conturile compromise;
- amâni intervenția, timp în care Google și clienții văd site-ul ca nesigur.
Cum decurge o curățare completă
O devirusare făcută corect are mai multe etape. La Emiral le aplicăm în această ordine:
- auditul: aflăm când s-au modificat fișierele, căutăm conținutul plasat în pagini, inclusiv cel vizibil doar pentru motoarele de căutare, și verificăm dacă adresa site-ului apare pe listele de spam;
- intervenția urgentă: blocăm accesul la site și facem un backup local al fișierelor și al bazei de date, sau folosim backup-ul firmei de găzduire;
- curățarea: ștergem fișierele plasate de atacator, pluginurile și temele inactive, conturile de administrator compromise și backdoor-urile, apoi curățăm baza de date;
- actualizarea: aducem WordPress și pluginurile la ultima versiune și dezactivăm pluginurile pentru care dezvoltatorul nu mai oferă actualizări;
- testarea: generăm chei noi, repunem site-ul online într-un mediu restricționat după IP și verificăm cum funcționează;
- protecția: instalăm un firewall, stabilim reguli de acces și o politică pentru parole, apoi publicăm site-ul.
La audit folosim și informațiile pe care le au firma de găzduire, Google, procesatorul de plăți, firma de curierat sau utilizatorii site-ului. Fiecare a putut observa altă parte a atacului.
Durata depinde de gravitatea atacului. În general, intervenția urgentă și curățarea se termină în 24-48 de ore. Pe pagina de devirusare a site-ului WordPress găsești etapele în detaliu și pachetele, cu timp de intervenție de 24 sau de 8 ore.
Ce previne o nouă infectare
Un site curățat rămâne vulnerabil dacă revine la vechile obiceiuri. Trei măsuri reduc riscul:
- actualizări aplicate regulat, cu backup înainte și verificare după;
- un firewall și o scanare zilnică pentru malware;
- un jurnal de activitate care trimite o alertă când cineva încearcă să intre în contul de administrare.
În WordPress Care Plan folosim Imunify360 ca firewall și pentru scanarea contului de găzduire, Wordfence pentru scanarea zilnică a site-ului și WP Activity Log pentru alertele pe email. Ritmul complet de întreținere e descris în articolul despre mentenanța website-ului.
Dacă Google a marcat site-ul ca periculos, după curățare ceri o reverificare din Google Search Console. Avertismentul dispare după ce Google confirmă că site-ul e curat.
Refacerea unui site compromis costă mai mult decât prevenția. Măsurile de protecție pentru un site care nu a fost încă atacat sunt pe pagina de securizare WordPress.
Întrebări frecvente
Semnele obișnuite sunt redirecționările necunoscute, conținutul suspect în pagini sau în subsol, avertismentul Google că site-ul e nesigur și plângerile vizitatorilor că antivirusul lor blochează site-ul. Verifică și lista de administratori și rezultatele Google pentru domeniul tău.
Depinde de gravitatea atacului. În general, intervenția urgentă și curățarea se termină în 24-48 de ore.
Restaurează un backup doar după ce afli cum a intrat atacatorul și închizi breșa. Altfel, site-ul restaurat are aceeași vulnerabilitate și poate fi infectat din nou. Verifică și că backup-ul e făcut înainte de atac.
Da. Copia păstrează datele și arată ce a modificat atacatorul. La Emiral facem un backup local sau folosim backup-ul firmei de găzduire înainte de curățare.