Что делать, если сайт взломали

На сайте появились чужие страницы, посетителей перенаправляет или хостинг сообщил о вредоносных файлах. Не пытайтесь исправить всё удалением заметного баннера: источник доступа может сохраниться. Сейчас нужны ограничение последствий, сохранение сведений и восстановление под контролем специалиста.

Ограничьте ущерб и назначьте ответственного

Свяжитесь с хостингом и специалистом, который обслуживает сайт. Передайте адрес, время обнаружения и наблюдаемые признаки. Если страницы опасны для посетителей, согласуйте временное ограничение доступа или безопасную страницу с контактами.

Делайте это средствами хостинга или с помощью специалиста: самостоятельные изменения на заражённом сервере могут не сработать. Организуйте альтернативный приём обращений. Не вводите новые важные пароли через подозрительную страницу и не устанавливайте предложенные ею программы.

Сохраните сведения до очистки и переустановки

Сделайте снимки симптомов, запишите адреса чужих страниц и сохраните уведомления. Попросите специалиста сохранить журналы событий — записи о действиях и запросах — и изолированную копию скомпрометированного состояния для анализа.

Такая копия не предназначена для возврата в работу. Она помогает установить способ проникновения и масштаб изменений. Массовое удаление файлов или восстановление поверх заражённой системы может уничтожить полезные сведения. Согласуйте действия, особенно если есть признаки доступа к данным клиентов.

Установите, как посторонний получил доступ

Причиной может быть украденная учётная запись, уязвимое дополнение или неправильное ограничение доступа. Специалист должен проверить пользователей, изменения, внешние подключения и механизмы повторного входа, а не только найти один вредоносный файл.

Если затронуты персональные данные, вместе с ответственным за их обработку и юристом оцените применимые обязанности по действующим нормам. Владелец сайта не должен делать вывод об отсутствии утечки только потому, что страницы снова выглядят нормально.

Восстановите чистую версию и закройте обнаруженный путь

Резервная копия полезна, только если она относится к незаражённому состоянию. Дата раньше обнаружения взлома сама по себе этого не доказывает: доступ могли получить раньше. Проверку копии и восстановление лучше проводить в изолированной среде.

После устранения причины замените затронутые пароли и ключи доступа с проверенного устройства, отключите неизвестные учётные записи и старые сеансы. Если поменять пароль до очистки, злоумышленник в некоторых случаях может получить и новый. Порядок действий должен определить специалист по результатам обследования.

Проверьте сайт перед возвращением в работу

• Согласованная причина устранена, подозрительные изменения проверены.
• Нужные страницы, формы и заказы работают.
• Доступы пересмотрены, ответственные известны.
• Есть проверяемая резервная копия и наблюдение за повторными признаками.

Запросите краткий отчёт: что обнаружено, что восстановлено, что остаётся неизвестным. Если поисковые системы или защитные сервисы показывают предупреждение, потребуется отдельная проверка и предусмотренная ими процедура пересмотра. Одного восстановления внешнего вида для завершения инцидента недостаточно.