Как понять, что сайт или хостинг взломали: 12 признаков
Взлом редко выглядит как заставка «Hacked by…». Чаще это тихие изменения, которые продолжаются месяцами: чужие ссылки, подмена для роботов, использование сервера для рассылки спама. Ниже двенадцать признаков и быстрая проверка для каждого. Если совпало три и больше, считайте тревогу настоящей.
Признаки в поиске
- Чужие заголовки в выдаче. По запросу site:ваш-домен находятся страницы, которых вы не создавали.
- Падение трафика из поиска без видимых причин, при том, что сайт открывается.
- Предупреждение браузера или поисковика об опасном сайте.
- Показы по странным запросам в Search Console: казино, подделки, лекарства, иероглифы.
Признаки на сайте
- Редирект на другой сайт с телефона или из поиска, а при заходе напрямую всё нормально.
- Новые страницы и записи, которых вы не добавляли, или изменённые тексты.
- Исчезли ваши изменения в настройках, меню, виджетах.
- Тормоза и ошибки. Сайт стал медленным, появляются сообщения об ошибках базы или памяти.
Признаки на сервере и в почте
- Новые файлы с непонятными именами в корне, в папках тем и плагинов; недавно изменённые старые файлы.
- Новые администраторы или пользователи, которых вы не создавали.
- Всплески нагрузки и исходящего трафика ночью, письма от хостинга о блокировке за спам.
- Письма клиентов: «получили от вас странное сообщение», ваши письма попадают в спам, домен в чёрных списках.
Что проверить за час
| Шаг | Как сделать | Что нашли — значит |
|---|---|---|
| 1. Выдача | Поиск site:домен + казино / купить / иероглифы | Чужие страницы |
| 2. Роботы и люди | Сравнить страницу для браузера и для Googlebot | Подмена содержимого |
| 3. Пользователи | Список администраторов в админке | Лишние учётные записи |
| 4. Файлы | Файлы, изменённые за последние 30 дней | Подложенные скрипты |
| 5. Карта сайта | Открыть sitemap.xml и просмотреть адреса | Сгенерированные страницы |
| 6. Почта | Проверить домен в списках спам-рассылок | Взломанный сервер используют для рассылок |
| 7. Вебмастера | Разделы безопасности Google и Яндекса | Официальное предупреждение |
Шаги 1, 2 и 5 автоматически выполняет бесплатная проверка сайта на взлом: она сравнит страницу для человека и для роботов, найдёт скрытые ссылки и подозрительную карту сайта.
Что делать, если признаки подтвердились
- Закройте доступ злоумышленнику: смените пароли хостинга, админки, FTP и базы.
- Найдите вход. Устаревшие плагины, слабые пароли, уязвимые скрипты, украденные ключи.
- Очистите сайт от вставок и ложных страниц, проверьте базу.
- Сообщите поисковикам и запросите перепроверку.
- Оцените риски по данным. Если на сайте хранятся персональные данные, подумайте об обязанностях по 152-ФЗ.
Если вы не уверены в своих силах, обратитесь к специалистам. Неполная очистка хуже, чем отсутствие очистки: взломщик получает сигнал, что его заметили, и закрепляется глубже.
Вопросы и ответы
Как отличить взлом от ошибки или перегрузки?
Ошибки и перегрузка не создают новых файлов, пользователей и страниц. Если они появились без вашего участия, это взлом.
Почему хостинг ничего не сообщил?
Хостинги реагируют на нагрузку и жалобы на спам, но не следят за содержимым вашего сайта. Тихие вставки они часто не видят.
Достаточно ли восстановить сайт из резервной копии?
Только если копия сделана до взлома, и вы закрыли уязвимость. Иначе взлом повторится.
Как часто проверять сайт?
Для сайта, который приносит заявки, раз в неделю снаружи и при каждом обновлении. Мониторинг изменений файлов делает проверку автоматической.
Нужно ли уведомлять Роскомнадзор?
Если произошла утечка персональных данных, оператор обязан уведомить Роскомнадзор в установленные сроки. Это решается отдельно с юристом.