Сайт взломали: казино на главной, что делать в первые сутки
Содержание
Однажды владелец открывает свой сайт и видит на главной рекламу казино, страницу с контентом 18+ или попадает на чужой адрес. Именно с таких обращений к нам чаще всего приходят клиенты, у которых сайт взломали. Паника в такой момент нормальна, но порядок действий важнее эмоций: от первых часов зависит, удастся ли найти вход злоумышленника и не потерять позиции в поиске.
Ниже разбираем, как понять, что сайт взломан, что делать в первые сутки, как восстановить его и вернуть в поиск, и какие меры защиты работают лучше всего. Статья написана для владельцев сайтов и маркетологов, технические детали сведены к минимуму.
Как понять, что сайт взломали
Признаки бывают очевидными и скрытыми. Очевидные видит каждый посетитель, скрытые замечает только поиск или владелец, если знает, куда смотреть.
- На главной появилась чужая реклама. Блоки казино, ставок или другого контента, который вы не размещали, подмена всей страницы.
- Сайт перенаправляет на чужие адреса. Иногда только с телефонов или только из поиска, поэтому при заходе напрямую всё выглядит нормально.
- В поиске появились чужие страницы. По запросу site:ваш-домен выдача показывает сотни страниц на иностранных языках или о товарах, которых у вас нет.
- Браузер или поисковик предупреждает об опасном сайте. Красная страница перед входом пугает посетителей сильнее любого рекламного бюджета.
- Форма заявок перестала присылать письма или отправляет их не туда.
- Хостинг заблокировал сайт или прислал жалобу на вредоносный код.
- Сайт стал медленным без роста посетителей, в панели появились новые пользователи, которых вы не создавали.
Важно помнить: владелец чаще всего видит взлом последним. Спам и редиректы нередко показывают только поисковым роботам и посетителям из поиска, поэтому регулярно проверяйте выдачу и отчёты в Google Search Console и Яндекс Вебмастере.
Почему сайты взламывают
Автоматические программы ищут сайты с известными слабостями, лично вы им неинтересны. Чаще всего причиной становится один из пунктов:
- устаревшая CMS, тема или плагин с известной уязвимостью;
- слабый или повторяющийся пароль, общий доступ без двухфакторной защиты;
- открытые служебные файлы: копии базы данных, журналы ошибок, файлы настроек, доступные по прямой ссылке;
- формы и кабинеты без ограничений, где можно подбирать пароли и отправлять тысячи запросов;
- забытые поддомены и старые записи DNS, которые ведут на чужой или заброшенный сервер;
- подключённые сторонние скрипты и плагины неизвестного происхождения.
Поэтому чистка сайта без поиска входа не работает: если причина остаётся, взлом повторяется через несколько дней.
Что делать в первые сутки
Сначала действуйте спокойно и по порядку.
- Не удаляйте всё подряд. Сначала сохраните состояние: сделайте копию файлов и базы данных, чтобы можно было найти вход.
- Закройте доступ. Смените пароли хостинга, админки, FTP и базы данных. Если сайт активно рассылает спам или вредоносный код, на время работ включите страницу «Технические работы».
- Найдите вход. Причина обычно в устаревшем плагине, украденном пароле или открытом файле.
- Очистите сайт. Уберите вредоносный код, чужие страницы и лишних пользователей, восстановите изменённые файлы из чистой копии.
- Обновите всё, что можно обновить, и удалите лишнее.
- Проверьте почту и DNS домена. Иногда взламывают не сайт, а доступ к домену.
Чего не стоит делать: откатывать сайт на старую копию, пока вход не найден, оставлять прежние пароли и платить тем, кто обещает «вылечить за час» без объяснения причины.
Как вернуть сайт в поиск
Когда сайт чист, нужно убедиться, что поисковые системы это увидели.
- Откройте Google Search Console и Яндекс Вебмастер, найдите раздел о проблемах безопасности и отправьте запрос на перепроверку.
- Удалите из выдачи чужие страницы: отдайте для них корректный код ответа и используйте инструмент удаления адресов.
- Проверьте файл robots.txt и карту сайта: злоумышленники иногда подменяют их.
- Следите за позициями и ошибками индексации несколько недель после очистки.
Сроки восстановления позиций зависят от того, как долго сайт оставался взломанным и насколько много чужих страниц успело попасть в индекс.
Что защищает лучше всего: чек-лист
- Обновления движка и плагинов по расписанию, не реже раза в месяц, и удаление неиспользуемых.
- Уникальные пароли, менеджер паролей и двухфакторная защита для админки, хостинга и почты.
- Резервные копии по расписанию вне сервера и проверка восстановления. Копия, из которой нельзя восстановиться, копией не является.
- HTTPS на всех страницах и безопасные заголовки.
- Закрытые служебные файлы: никаких копий базы, журналов и файлов настроек в публичных папках.
- Ограничение числа попыток входа и защита форм от спама и ботов.
- Минимальные права: у каждого сотрудника и подрядчика только тот доступ, который нужен.
- Мониторинг: оповещения, если сайт недоступен, истекает сертификат или домен, меняются файлы.
- Порядок в DNS: уберите записи, которые ведут в никуда, и поддомены, которыми вы не пользуетесь.
- План на случай взлома: кто что делает и куда звонить.
Частые вопросы
Можно ли обойтись плагином безопасности?
Плагин закрывает часть рисков, но не заменяет обновления, резервные копии и порядок с доступами. Лучше всего он работает как один из слоёв защиты.
Как часто проверять сайт на взлом?
После любых изменений и регулярно по расписанию. Для магазинов и порталов с кабинетами удобно подключить постоянный мониторинг доступности и изменений файлов.
Что делать, если сайт взломали, а резервной копии нет?
Сохраните текущее состояние, закройте доступы и обратитесь к специалисту. Чаще всего сайт можно очистить, но это дольше и дороже, чем восстановление из чистой копии.
Это касается только больших сайтов?
Нет. Автоматические программы не разбирают, большой сайт или маленький, поэтому визитки и лендинги взламывают так же часто, как интернет-магазины.
