Что делать, если взломали сайт? Первые часы решают, сколько вы потеряете: зафиксируйте, что видите, смените пароль хостинга, ничего не удаляйте и не переустанавливайте CMS, проверьте, есть ли чистая резервная копия, и подключите специалиста. Паника обычно толкает владельца «почистить всё самому» — и вместе с вирусом уходят следы, по которым можно найти, как злоумышленник вошёл. Ниже — порядок действий по часам, который мы сами используем при восстановлении.
- Первый час: скриншоты и описание симптомов, смена пароля хостинга, никаких удалений.
- Первые 4 часа: изоляция заражённой части, снимок сайта, проверка бэкапов.
- До конца суток: очистка или восстановление, смена всех паролей и ключей, решение, кого и как предупредить.
- После: поиск точки входа и защита, иначе через неделю всё повторится.
Как понять, что сайт действительно взломан
Не каждая поломка — взлом. Сайт может лечь из-за хостинга, истёкшего домена или неудачного обновления модуля. Признаки именно взлома другие: посетителей перекидывает на казино или аптеку, в поиске появились страницы, которых вы не создавали, хостинг прислал письмо о вредоносном коде или рассылке спама, в админке появился незнакомый пользователь, браузер показывает красный экран «сайт может нанести вред».
Если симптом один и неясный — например, сайт просто не открывается, — сначала проверьте хостинг и домен. Если признаков несколько или есть хотя бы один из перечисленных выше, действуйте по плану ниже, не дожидаясь, пока «само пройдёт».
Сайт взломан: первые действия в первый час
Первый час нужен не для лечения, а для того, чтобы не сделать хуже. Ваша задача — остановить распространение, сохранить улики и вернуть себе контроль над доступами.
- Зафиксируйте симптомыСделайте скриншоты: что видит посетитель, куда ведёт редирект, какие страницы появились в поиске, письмо от хостинга. Запишите время, когда заметили проблему. Это пригодится и специалисту, и для пересмотра в поисковиках.
- Смените пароль хостингаЭто главный ключ: через панель хостинга можно поменять всё остальное. Пароль новый, длинный, нигде ранее не использованный. Если в панели есть двухфакторный вход — включите его сразу.
- Ничего не удаляйтеНе стирайте подозрительные файлы, не откатывайте сайт, не переустанавливайте CMS. Удалённые файлы и логи — потерянные улики, без них точку входа найти сложнее.
- Не принимайте новые заказы в заражённую копиюЕсли это магазин, лучше поставить приём заказов на паузу или принимать их по телефону и в WhatsApp. Иначе заказы могут потеряться при восстановлении из бэкапа.
- Подключите специалистаСвою команду или подрядчика. Чем раньше подключится инженер, тем меньше успеет навредить вредоносный код.
Переустановить CMS «с нуля» и залить старую базу. Вредоносный код часто живёт именно в базе данных — в настройках, текстах страниц, виджетах. Переустановка уничтожает логи и подозрительные файлы, а заразу оставляет. Через пару дней сайт снова редиректит, но понять, откуда пришла атака, уже нельзя.
Часы 1–4: изоляция, снимок и проверка бэкапов
Когда доступы под контролем, начинается техническая работа. У нас этот этап занимает 1–2 часа: делаем снимок текущего состояния сайта и отключаем то, что заражает посетителей.
Зачем нужен снимок заражённого сайта
Снимок — полная копия файлов и базы в том виде, в каком их оставил злоумышленник. По нему ищут все копии вредоносного кода и восстанавливают картину: когда изменились файлы, через какой скрипт они попали на сервер, какие пользователи входили в админку. Чистить нужно рабочую версию, а анализировать — снимок.
Отключать ли сайт целиком
Зависит от симптомов. Если сайт редиректит посетителей или раздаёт вредоносный код, заражённую часть лучше отключить: каждый час работы в таком режиме — потерянные клиенты и риск метки «опасный» в браузерах. Если заражение локальное, например одна поддельная страница, чистить можно без полной остановки.
Есть ли чистая резервная копия
Выясните у хостинга или подрядчика, какие бэкапы есть и за какие даты. Важно найти копию, сделанную до заражения, а не просто последнюю: последняя может уже содержать вредоносный код. Если чистой копии нет — это не катастрофа, сайт чистят на месте, просто дольше.
| Ситуация | Что делать | Чего не делать |
|---|---|---|
| Редирект на казино у посетителей | Отключить заражённую часть, снять снимок | Ждать, пока «само пройдёт» |
| Хостинг заблокировал сайт | Запросить у хостинга отчёт о найденных файлах | Удалять файлы по списку хостинга без анализа |
| Незнакомый администратор в админке | Сменить пароли хостинга и админки, зафиксировать логин | Удалять пользователя до снимка |
| Спам-страницы в поиске | Сохранить примеры адресов из выдачи | Массово удалять страницы из базы |
До конца суток: очистка, восстановление и смена доступов
Очистка и восстановление у нас занимают 4–12 часов после подключения. Есть два пути: восстановить сайт из последней чистой копии или вычистить вредоносный код на месте — в файлах и в базе, включая бэкдоры и шеллы, которые злоумышленник оставляет, чтобы вернуться. После очистки обязательно проверяют, что заражение не вернулось через час: если в системе остался хотя бы один бэкдор, код появится снова.
Когда сайт чистый, меняются все доступы — не только тот пароль, который вы сменили в первый час:
- пароли всех пользователей админки, лишних пользователей — удалить;
- доступы к хостингу, FTP, SSH и базе данных;
- ключи интеграций: платёжные сервисы, 1С, CRM, службы доставки, почтовые сервисы;
- пароли почтовых ящиков на домене, если они хранились на том же сервере;
- доступы бывших подрядчиков и фрилансеров, которые кто-то когда-то выдал «на время».
Если у вас есть программист или прежний подрядчик, позовите его: знания о том, что и где дорабатывалось, ускоряют поиск. Но менять доступы нужно всё равно — в том числе выданные ему.
Подключаемся в день обращения: инженер выходит на связь в течение часа, в том числе в выходные. Сначала изоляция и снимок, затем очистка и закрытие точки входа.
Восстановить сайт после взломаВзломали сайт на WordPress: что делать в первую очередь
WordPress вместе с Joomla — самые частые пациенты. Обычно причина в устаревших плагинах и темах, в «бесплатных» версиях платных шаблонов из сомнительных источников или в слабом пароле администратора. Что проверить в первую очередь: список пользователей с ролью «Администратор», недавно изменённые файлы в папках плагинов и тем, загрузки в папке uploads, где не должно быть исполняемых файлов, и настройки адреса сайта в базе — их часто подменяют для редиректа.
После очистки ядро, плагины и темы обновляются до актуальных версий, а неиспользуемые удаляются целиком, а не просто отключаются: отключённый плагин с уязвимостью по-прежнему лежит на сервере.
Взломали сайт на Битрикс: на что смотреть
На 1С-Битрикс точкой входа чаще становятся устаревшее ядро и модули, слабые пароли пользователей с правами администратора и доработки прошлых подрядчиков, написанные в обход штатных механизмов. В интернет-магазине отдельно проверяют формы оформления заказа и ключи интеграций — обмена с 1С, оплаты, Kaspi.
После очистки платформу и модули обновляют, проводят ревизию прав и пользователей, меняют все пароли и ключи и настраивают мониторинг целостности файлов. Тогда любое постороннее изменение кода видно сразу, а не через месяц по жалобам клиентов.
Кого предупредить: клиенты, хостинг, поисковики
Взлом — это не только технический инцидент. Подумайте, кого он касается за пределами сайта.
- Клиенты. Если сайт хранит личные кабинеты, заказы, телефоны и адреса, нужно выяснить, был ли у злоумышленника доступ к базе. Специалист определит это по логам и объёму доступа. Если утечка была, закон РК о персональных данных обязывает владельца реагировать — порядок и сроки сверяйте с актуальной редакцией закона.
- Хостинг. Если сайт заблокирован, после очистки хостингу отправляют описание проведённых работ и запрашивают разблокировку.
- Поисковики. Если Google или Яндекс пометили сайт как опасный, после полной очистки отправляют запрос на пересмотр. Снятие метки обычно занимает 3–7 дней.
- Сотрудники. Предупредите, что пароли сменились, и попросите не пересылать новые доступы в общих чатах.
ПРАВИЛООчистить сайт — полдела. Если не найдена точка входа, взлом повторится тем же путём.
Следующие 1–3 дня: найти точку входа и закрыть её
Самая частая история, с которой к нам приходят: «почистили — через неделю взломали снова». Так бывает, когда убрали симптом, а дверь оставили открытой. Поиск точки входа у нас занимает около дня: изучаем логи сервера, ищем уязвимости в CMS, модулях и формах, проверяем права пользователей. Чаще всего причина — устаревший модуль, слабый пароль или дыра в форме.
Затем 1–2 дня уходят на защиту: обновление CMS и модулей, WAF, мониторинг целостности файлов, регулярные бэкапы. Весь цикл вместе с защитой — 1–3 дня. По стоимости ориентир такой: «Восстановление» — от 120 000 ₸ за 24 часа, «Восстановление + защита» — от 250 000 ₸ за 3–5 дней. Подробнее о том, что входит в каждый формат, мы писали в статье о стоимости лечения сайта от вирусов.
- Сделаны скриншоты симптомов и записано время обнаружения
- Пароль хостинга сменён, двухфакторный вход включён
- Ни одного файла не удалено до снимка
- Снимок сайта сделан, заражённая часть изолирована
- Найдена чистая резервная копия или принято решение чистить на месте
- Приём заказов в заражённую копию остановлен
- Сайт очищен, проверено, что заражение не вернулось
- Сменены пароли админки, хостинга, базы, FTP, почты и ключи интеграций
- Выяснено, был ли доступ к данным клиентов
- Отправлен запрос на пересмотр в поисковики, если сайт помечен опасным
- Запланирован поиск точки входа и настройка защиты
Что сделать, чтобы следующий взлом не застал врасплох
Почти все пункты из этого плана проще выполнить, если они подготовлены заранее: есть свежие бэкапы, список всех доступов, мониторинг доступности и человек, который отвечает за сайт. Это и есть регулярная техническая поддержка сайта: ежедневные резервные копии, обновления CMS и модулей, мониторинг 24/7 и реакция на аварию до 1 часа. Тариф «Стандарт» стоит 120 000 ₸ в месяц, тарифы для магазинов с 1С и Kaspi — на странице цен на поддержку.
Если сайт уже взломан — не тратьте время на самостоятельные эксперименты. Опишите симптомы, смените пароль хостинга и передайте задачу команде, которая занимается лечением и защитой сайтов после взлома.
Можно ли восстановить сайт после взлома за один день?
Типовой взлом — да. Изоляция занимает 1–2 часа, очистка и восстановление — 4–12 часов. Поиск точки входа и настройка защиты идут дольше, весь цикл — 1–3 дня.
Взломали сайт на WordPress — что делать в первую очередь?
Сменить пароль хостинга, ничего не удалять и не переустанавливать, проверить список администраторов и наличие чистого бэкапа. Затем очистка, обновление ядра, плагинов и тем и удаление неиспользуемых модулей.
Взломали сайт на Битрикс — чем это отличается?
Порядок тот же. Отдельно проверяют ядро и модули, пользователей с правами администратора, доработки прошлых подрядчиков и ключи интеграций с 1С, оплатой и Kaspi.
Что делать, если чистого бэкапа нет?
Сайт чистят на месте: ищут и удаляют вредоносный код, бэкдоры и шеллы в файлах и базе. Это дольше, но результат тот же. После работ настраивают регулярные бэкапы.
Нужно ли сообщать клиентам о взломе?
Если у злоумышленника был доступ к персональным данным клиентов, владелец обязан реагировать по закону РК о персональных данных. Сначала по логам выясняют, была ли утечка, затем решают, кого и как уведомить.
