Site-ul meu a fost spart (hackuit): plan de acțiune

Un site spart (hackuit) este neplăcut, dar cu un plan de acțiune fix îl puteți curăța din nou și puteți preveni repetarea situației. Cel mai important: a restaura doar o copie de siguranță nu este suficient. Dacă nu știți cum a pătruns intrusul, ușa rămâne în continuare deschisă.

Cum observați că site-ul dumneavoastră a fost spart?

• Vizitatorii ajung pe un alt site web, deseori doar venind de pe Google sau doar de pe telefon.
• Google afișează pentru site-ul dumneavoastră mesajul Acest site poate fi compromis, sau apar pagini ciudate ale domeniului dumneavoastră în rezultatele căutării.
• Browser-ul sau antivirusul dumneavoastră avertizează cu privire la propriul site.
• Există fișiere sau administratori în WordPress pe care nu îi recunoașteți.
• Primiți o notificare de la noi, sau Imunify360 a găsit malware.
• Căsuța dumneavoastră de e-mail trimite spam, sau atingeți brusc limita de trimitere (consultați Ce trebuie să faceți dacă adresa dumneavoastră de e-mail este folosită abuziv).

Pasul 1: păstrați-vă calmul și documentați situația

Nu aruncați imediat totul. Notați ce observați, când a început și faceți capturi de ecran. Aceste informații vă vor fi necesare mai târziu pentru a găsi cauza, iar nouă de asemenea dacă ne solicitați ajutor.

Pasul 2: schimbați toate parolele

Porniți de la premisa că un intrus cunoaște o parolă. Schimbați-le pe toate, de preferință de pe un alt calculator decât cel pe care îl folosiți în mod normal, în cazul în care acesta este infectat:

1. Parola de Mijn WebOké. Codul suplimentar la autentificare este mereu activat acolo; dacă doriți o aplicație de autentificare (authenticator) în locul codului prin e-mail, configurați-o la Administrarea mea și Date de autentificare.
2. Parola dumneavoastră DA (consultați Setarea sau modificarea parolei DA). Aceasta se aplică și contului FTP implicit.
3. Parolele conturilor FTP suplimentare (consultați Crearea și gestionarea conturilor FTP). Eliminați conturile pe care nu le mai folosiți.
4. Toți administratorii din WordPress sau din celălalt CMS pe care îl folosiți. Eliminați administratorii pe care nu îi recunoașteți.
5. Parola utilizatorului bazei de date (consultați Utilizatori de baze de date, drepturi și parole). Adaptați-o ulterior și în fișierul de configurare al site-ului dumneavoastră web, cum ar fi wp-config.php.
6. O căsuță de e-mail trimite spam? Schimbați și acea parolă (consultați Modificarea parolei unei adrese de e-mail).

Apoi activați în DirectAdmin Two-Step Authentication (consultați Configurarea Autentificării în Doi Pași).

Pasul 3: scanați cu Imunify360

Deschideți în DirectAdmin, sub Extra Features, pluginul Imunify360 Plugin. Acolo vedeți ce fișiere au fost găsite ca fiind infectate și puteți solicita o nouă scanare a pachetului dumneavoastră. Cum funcționează aceasta și ce înseamnă notificările, citiți în Imunify360: scanarea website-ului pentru malware.

Pasul 4: aflați cum a pătruns intrusul

Cele mai frecvente cauze, de la des întâlnite la rar întâlnite:

1. Software depășit. O versiune veche de WordPress, un plugin sau o temă cu o vulnerabilitate cunoscută. Verificați în Installatron sau în WordPress ce componente sunt rămase în urmă (consultați Actualizări și actualizări automate).
2. Un plugin sau o temă dintr-o sursă nesigură. Versiunile gratuite ale pluginurilor plătite (nulled) conțin deseori în mod intenționat o ușă secretă (backdoor).
3. O parolă compromisă sau slabă. Verificați la Login History cine și când s-a autentificat în DirectAdmin (consultați Istoricul autentificărilor: cine s-a autentificat și când?).
4. Un calculator infectat pe care au fost salvate parole FTP.

Locuri utile de verificat:

• În File Manager sortați după data modificării. Fișierele care au fost modificate în același moment, mai ales în directoarele pentru încărcări (uploads), merită atenție.
• În jurnalul de acces de la Site summary & logs vedeți ce adrese sunt accesate frecvent, deseori cu cereri POST către un singur fișier (consultați Site summary & logs: jurnalul de erori și jurnalul de acces).

Pasul 5: curățați sau restaurați o copie de siguranță curată

Aveți două posibilități:

• Restaurați o copie de siguranță de dinainte de atac. Cu WebOké Backups în Mijn WebOké alegeți dumneavoastră un moment din ultimele 30 de zile (consultați Poate fi făcut și în Mijn WebOké? WebOké Backups). Alegeți un moment de dinainte să apară primele fișiere ciudate. Actualizați totul imediat după aceea (pasul 6), deoarece vulnerabilitatea se află și în copia de siguranță.
• Curățați dumneavoastră înșivă. Lăsați Imunify360 să curețe fișierele infectate, eliminați fișierele necunoscute și reinstalați WordPress și toate pluginurile din sursa oficială.

Atenție: În caz de nesiguranță, alegeți la WebOké Backups mai întâi Ca o copie alături de cea actuală. Astfel nu se schimbă nimic din ceea ce există acum și puteți compara liniștit.

Pasul 6: actualizați totul și faceți curățenie

• Actualizați WordPress (sau celălalt CMS pe care îl folosiți), toate pluginurile și temele la cea mai recentă versiune.
• Eliminați pluginurile și temele pe care nu le folosiți. Chiar și pluginurile dezactivate pot conține o vulnerabilitate.
• Eliminați copiile vechi și instalările de testare din subdirectoare.
• Folosiți o versiune PHP actuală (consultați Alegerea versiunii de PHP (Select PHP version)).

Pasul 7: măsuri ulterioare

• Google afișează un avertisment? După curățare, solicitați o nouă evaluare în Google Search Console.
• Căsuța dumneavoastră de e-mail a trimis spam? Citiți Ce trebuie să faceți dacă adresa dumneavoastră de e-mail este folosită abuziv și Verzenden geweigerd: blacklists en limieten.
• Lăsați Web Application Firewall activat (consultați Web Application Firewall).
• Verificați din când în când, în săptămânile următoare, Imunify360 și lista dumneavoastră de administratori WordPress.

Aveți nevoie de ajutor?

Nu reușiți să rezolvați situația, sau este vorba de un magazin online cu date ale clienților? Deschideți un tichet și descrieți ce ați făcut deja (consultați Cereți ajutor: ce informații transmiteți suportului). Dacă sunt implicate date cu caracter personal, este posibil să trebuiască să raportați o încălcare a securității datelor la autoritatea competentă pentru protecția datelor.