Site compromis: primii pași, în ordinea corectă
TipărireDescoperirea unui site spart sperie, dar panica face mai mult rău decât atacul. Cele mai multe site-uri compromise pot fi readuse la normal, cu condiția să nu distrugeți urmele și să închideți întâi ușa prin care a intrat atacatorul. Ordinea pașilor de mai jos contează.
Cum vă dați seama că site-ul a fost spart
- Vizitatorii sunt trimiși pe alte site-uri, adesea doar cei veniți de pe telefon sau din Google, așa că dvs. s-ar putea să nu vedeți nimic.
- Au apărut pagini, linkuri, texte în alte limbi sau utilizatori administratori pe care nu i-ați creat.
- Browserul afișează un avertisment de site periculos sau Google arată în rezultate mesajul că site-ul ar putea fi compromis.
- Ați primit de la noi o notificare Imunify360 despre fișiere malițioase sau despre trimitere de spam.
Ce faceți imediat
- Documentați. Faceți capturi de ecran cu ce vedeți și notați adresele paginilor afectate, data și ora. Aceste detalii ajută mult la găsirea cauzei.
- Păstrați o copie a stării actuale. Descărcați fișierele și baza de date așa cum sunt acum, chiar dacă sunt infectate. Puneți copia într-un folder separat, cu un nume clar (de exemplu „infectat-data”), ca să nu o confundați niciodată cu un backup curat.
- Verificați calculatorul. Rulați o scanare antivirus completă pe toate calculatoarele de pe care intrați în cPanel, pe FTP sau în administrarea site-ului. Un program spion poate fura și parolele pe care urmează să le schimbați.
- Schimbați parolele, de pe un calculator curat: contul de client TopHost, cPanel, toate conturile FTP, utilizatorii bazelor de date (actualizați apoi și fișierul de configurare al site-ului), administratorii CMS-ului și căsuțele de e-mail.
- Căutați „ușile din spate”. În cPanel verificați FTP Accounts, Forwarders (redirecționările de e-mail) și Cron Jobs. Atacatorii lasă adesea un cont FTP în plus, o redirecționare a corespondenței sau o sarcină programată care reinfectează site-ul. În CMS, verificați lista utilizatorilor cu drepturi de administrator.
- Scrieți-ne. Deschideți un tichet în care descrieți ce ați observat și ce ați făcut deja.
Greșeli care agravează situația
- Ștergerea fișierelor la întâmplare. Puteți elimina și fișiere necesare, iar site-ul nu mai pornește deloc.
- Restaurarea unui backup înainte de schimbarea parolelor. Atacatorul are încă acces și revine în câteva ore.
- Plata către cineva care promite „deblocarea” site-ului. Nu primiți nicio garanție, iar banii sunt pierduți.
- Ignorarea notificării de la noi. Conform Termenilor și condițiilor, după o notificare despre fișiere malițioase aveți 24 de ore ca să luați măsuri și să ne informați. Dacă amenințarea este gravă, contul poate fi blocat imediat, pentru protecția celorlalți clienți.
Curățarea și repornirea site-ului
- Deschideți în cPanel secțiunea Security, apoi Imunify360, și citiți lista fișierelor găsite la scanare.
- Dacă știți aproximativ când a început problema, restaurați o copie de dinainte cu JetBackup 5. Copiile se păstrează în rotație 30 de zile, deci nu amânați. Pașii sunt în articolul despre restaurarea cu JetBackup 5.
- Actualizați CMS-ul, temele și pluginurile. Pentru WordPress, cel mai simplu este din cPanel, cu WP Toolkit; ca alternativă, din panoul de administrare WordPress.
- Ștergeți complet pluginurile și temele pe care nu le folosiți.
- Activați autentificarea în doi pași acolo unde se poate.
- Dacă Google sau browserele au marcat site-ul, cereți o nouă verificare după curățare. Vedeți ce faceți când site-ul este marcat ca fraudulos.
Alte întrebări
Ce poate face echipa TopHost?
Vă spunem ce a găsit Imunify360, vă ajutăm cu restaurarea copiilor de siguranță și verificăm jurnalele serverului pentru a vedea pe unde au venit cererile suspecte. Curățarea codului site-ului și repararea vulnerabilităților din CMS sau din pluginuri rămân în grija dvs. ori a dezvoltatorului site-ului.
Am obligația să raportez incidentul?
Dacă prin atac au putut ajunge în mâini străine date personale ale clienților dvs. (nume, telefoane, adrese, comenzi), este posibil să aveți obligația legală de a anunța autoritatea pentru protecția datelor. În Republica Moldova aceasta este Centrul Național pentru Protecția Datelor cu Caracter Personal (datepersonale.md). Dacă aveți clienți din Uniunea Europeană, se aplică și GDPR, care cere în general notificarea în 72 de ore (art. 33 GDPR). Pentru cazul dvs. concret, cereți sfatul unui jurist.
Pe unde a intrat atacatorul?
De obicei, printr-un plugin sau o temă neactualizată ori printr-o parolă furată sau prea simplă. Dacă nu găsiți și nu închideți cauza, infecția revine chiar și după o curățare reușită. Lista de verificări din articolul despre detectarea virușilor și a codului rău intenționat vă ajută să o identificați.
