Взломанный сайт: пять сценариев и что делать в первый час

Владелец обычно узнаёт о взломе не от хостера. Ему звонит клиент: «Ваш сайт показывает какую-то казино-рекламу» — или приходит письмо от поисковой системы о заражении страниц. К этому моменту атака идёт уже неделями.

Ломают не «интересные» сайты, а любые доступные: массовые атаки перебирают тысячи адресов и ищут известные уязвимости в плагинах и слабые пароли. Ниже — пять сценариев, которые встречаются чаще всего, что видно в каждом из них и что делать в первый час, чтобы не потерять ещё больше.

Как заметить взлом раньше клиента

Явные признаки видно сразу, скрытые — по косвенным. Проверять стоит оба списка, потому что половина взломов не меняет внешний вид сайта вообще.

Пять сценариев, которые встречаются чаще всего

1. Дырка в плагине или теме

Самый частый путь. Плагин год не обновлялся, в нём известная уязвимость — и доступ открыт. Внешне сайт может работать как обычно, а внутри уже лежит скрипт.

Что видно: подозрительные файлы в каталоге загрузок, новые админы, лишние строки в теме. Что делать: обновить всё, что возможно, снять неиспользуемые плагины, проверить список администраторов.

2. Подобранный пароль

Пароль вида «Сайт2019» подбирается перебором. Или пароль утёк с другого сервиса, а на сайте нет двухфакторной аутентификации.

Что видно: входы из незнакомых городов в журнале, новые пользователи с правами администратора. Что делать: двухфакторная аутентификация, смена всех паролей, ограничение попыток входа.

3. SEO-инъекции: тысячи невидимых страниц

Сайт работает, но в индексе появились адреса вида пояснительных страниц с ссылками на посторонние сайты. Посетитель их не видит, а поисковик читает — и понижает весь сайт.

Что видно в поиске: оператор с ограничением на ваш домен показывает мусорные заголовки. Что делать: найти источник (файл, плагин, база), удалить, закрыть доступы, запросить переобход.

4. Шифровальщик или удаление файлов

Приходят через уязвимость, но цель — не реклама, а деньги: файлы и база зашифрованы, рядом лежит записка с требованием. Восстановление возможно только из резервных копий.

Что видно: сайт отдаёт ошибку, файлы с новыми расширениями. Что делать: не платить, изолировать сайт, восстановить из копии, менять все доступы, включая почту и хостинг.

5. Майнер или рассылка

Сайт жив, но сервер работает на чужую прибыль. Или через ваш сайт рассылают спам, из-за чего домен попадает в чёрные списки и письма клиентам не доходят.

Что видно: нагрузка при низком числе посетителей, письма о превышении лимитов. Что делать: искать процессы и скрипты, закрыть рассылку, проверять репутацию домена.

Первый час: порядок действий

1. Не удаляйте ничего сразу «для чистоты». Сначала сохраните копию сайта и логов — это единственные следы, по которым видно, как вошли.
2. Поставьте заглушку или ограничьте доступ, если сайт показывает посетителям посторонний контент. Клиенты не должны видеть рекламу от вашего имени.
3. Смените пароли по цепочке: хостинг, CMS, база, почта, FTP, доступы к домену. Именно в этом порядке, потому что почта и домен часто и есть цель.
4. Включите двухфакторную аутентификацию везде, где она есть: хостинг, админка, регистратор домена.
5. Проверьте список администраторов и пользователей — лишние учётки удалить, права снять.
6. Напишите в поддержку хостинга: попросите посмотреть логи за период и подтвердить, что вредоносное не осталось на сервере.

Дальше — восстановление: чистая копия, обновление всего, что обновляется, и повторная проверка файлов. «Почистили и оставили» почти всегда означает, что через месяц всё повторится: доступ остался у того, кто его получил.

Взлом — это не «сайт сломался», а «у кого-то есть ключ от вашего сайта». Пока ключ не отобран и не заменён, любые чистки бесполезны.

Что при этом теряется в деньгах

Помимо расходов на восстановление, есть три вида потерь, которые редко считают.

• Трафик. Пока сайт в карантине поиска, заявок нет. Неделя простоя при 30 заявках и среднем чеке 40 000 ₽ — это ощутимая сумма, даже если восстановление бесплатное.
• Репутация домена. Попадание в чёрные списки почты означает, что письма клиентам не доходят — иногда неделями после починки.
• Данные клиентов. Если утекали персональные данные, появляется не только репутационная, но и правовая ответственность. Утечка почти всегда дороже восстановления сайта.

Профилактика, которая закрывает большую часть атак

Ни один пункт ниже не является сложным. Все вместе они занимают несколько часов и снимают самые массовые сценарии.

• Двухфакторная аутентификация для админов и хостинга.
• Обновления CMS, темы и плагинов — раз в месяц, с бэкапом до.
• Минимум плагинов: каждый неиспользуемый — потенциальная дыра.
• Резервные копии с проверкой восстановления, не только «есть копия».
• Ограничение попыток входа и защита админки.
• Актуальная версия PHP и понятный набор прав у файлов.
• Разные пароли для каждого сервиса и менеджер паролей вместо заметок.

Где проходит граница «сами» и «пора звать специалиста»

Общая логика такая: всё, что связано с «поменять доступы и включить защиту», реально сделать своими силами. Всё, что связано с поиском первопричины в коде и базе, лучше отдать тому, кто видит такие следы регулярно. Работы обычно идут в рамках обслуживания сайтов, а профилактика — часть регулярного месячного чек-листа.

Как восстановить сайт и не потерять позиции

Починка — половина работы. Вторая половина — вернуть трафик, который поисковик снял с сайта на время инцидента.

1. Чистая копия, а не «подчищенная». Файлы ядра, темы и плагинов — заново с официальных источников; свои доработки переносим по списку.
2. Проверка базы. Ищем внедрённые записи, скрипты в контенте, лишних пользователей. Часто именно здесь остаётся «эхо» взлома.
3. Проверка загрузок. Каталог с файлами — любимое место для скриптов: там годами лежат вложения писем и «картинки», которых никто не открывал.
4. Переобход. После чистки запрашиваем пересмотр страниц через инструменты вебмастера.
5. Мониторинг. Первые две недели после починки — ежедневная проверка, потому что повторный вход часто происходит именно в этот период.

Если сайт связан с порталом — заявки, клиенты, сделки — стоит проверить и Битрикс24: доступы к интеграциям меняются вместе с остальными. А если сайт только предстоит собрать, разумнее сразу закладывать обновления и копии в создание сайтов на WordPress, чем разбираться с этим после инцидента.

Частые вопросы

Как понять, что сайт взломан, если внешне всё нормально?

Три быстрые проверки: поиск по своему домену на предмет посторонних страниц, список администраторов в CMS, и сравнение нагрузки на хостинге с числом посетителей. Если появились незнакомые админы или нагрузка без причины — сайт уже не ваш.

Нужно ли платить выкуп?

Нет. Оплата не гарантирует возврат данных, зато подтверждает, что платить имеет смысл, и приглашает к повторной атаке. Единственный рабочий путь — резервные копии и закрытие дыры.

Хватит ли антивируса?

Антивирус на компьютере не проверяет сайт. Для сайта нужны проверка файлов на сервере, контроль целостности и мониторинг изменений — это разные инструменты.

Можно ли просто переустановить сайт?

Иногда это быстрее: чистые файлы ядра, темы и плагинов плюс ваши загрузки и база. Но если в базе остались внедрённые записи или скрипты в контенте, переустановка файлов их не уберёт.

Что делать, если в поиске сайт помечен как опасный?

Почистить, проверить ещё раз, затем запросить пересмотр через инструменты вебмастера. Пометка снимается не мгновенно, и до её снятия трафик будет ниже обычного.

Как часто проверять сайт на взлом?

Раз в месяц — глазами (список админов, обновления, копии), плюс автоматические уведомления о изменении файлов и мониторинг доступности. Ежедневная проверка нужна там, где сайт принимает платежи или хранит персональные данные.

Что сделать на этой неделе

1. Проверьте список администраторов в CMS и уберите лишних.
2. Включите двухфакторную аутентификацию на хостинге и в админке.
3. Проверьте, когда была последняя резервная копия, и восстановите её на тестовом домене.
4. Посмотрите в поиске, нет ли на вашем домене посторонних страниц.
5. Обновите CMS и плагины, предварительно сделав копию.