Сайт на WordPress взломали: что делать в первые часы и как закрыть дыру
Вы открыли свой сайт и увидели чужую рекламу, незнакомые страницы или надпись «hacked by»? Или поисковик внезапно предупредил посетителей об опасности? Спокойно: паника хуже взлома. Рассказываем по шагам, что делать в первые часы, как найти причину, очистить сайт, вернуть доверие поисковиков и сделать так, чтобы история не повторилась.
WordPress — самая распространённая система управления сайтами, и именно поэтому она чаще других становится целью атак. Это не значит, что платформа плоха. Просто массовость делает её привлекательной: злоумышленники пишут автоматические программы, которые ищут по всему интернету сайты с известными слабыми местами. Ваш сайт может оказаться жертвой не потому, что кому-то нужны именно вы, а потому, что программа нашла открытую дверь.
Статья написана для владельцев бизнеса и руководителей, у которых сайт на WordPress и нет штатного специалиста по безопасности. Мы объясняем простым языком, что нужно сделать самому, а когда лучше сразу звать профессионалов. Технические команды приведены там, где они действительно нужны, и каждая сопровождается пояснением.
Как понять, что сайт взломан: типичные признаки
Взлом не всегда выглядит эффектно. Иногда владелец узнаёт о нём спустя недели, потому что на главной странице ничего не изменилось. Вот признаки, которые стоит проверить.
Видимые признаки:
- на сайте появились чужие надписи, рекламные баннеры или окна;
- посетителей перенаправляет на посторонние сайты. Часто это происходит только при заходе с телефона или из поисковой выдачи, поэтому сами вы можете ничего не замечать;
- в статьях появились незнакомые ссылки или скрытый текст;
- браузер или поисковик показывают предупреждение об опасном сайте;
- на странице видны лишние символы, а текст заголовков заменён;
- сайт стал заметно медленнее или периодически недоступен.
Скрытые признаки:
- в списке пользователей появились незнакомые администраторы. Особенно тревожно, если после удаления они возвращаются снова: это признак того, что в системе остался «чёрный ход»;
- в корне сайта или в папке загрузок появились неизвестные файлы и каталоги, например с сотнями страниц на посторонние темы;
- в выдаче поисковиков по вашему сайту находятся страницы с рекламой лекарств, ставок или подделок, которых вы не создавали;
- на почту приходят жалобы от клиентов на спам, который якобы отправляли вы;
- хостинг прислал уведомление о подозрительной активности или заблокировал аккаунт;
- в статистике резко выросло число посещений из неожиданных стран или упал трафик из поиска.
Если вы заметили хотя бы один из этих признаков, считайте, что проблема реальна, и переходите к действиям. Лучше потратить час на проверку и убедиться, что всё в порядке, чем игнорировать сигнал.
Первые 60 минут: что делать немедленно
Первый час определяет, насколько велик будет ущерб. Задача этого этапа — остановить распространение проблемы и сохранить информацию. Очистка и разбор причин будут позже.
Шаг 1. Не паникуйте и не удаляйте всё подряд. Желание немедленно стереть подозрительные файлы понятно, но оно опасно. Вместе с вредоносным кодом можно удалить следы, которые покажут, как злоумышленник попал на сайт. Без этого информации вы рискуете получить повторный взлом.
Шаг 2. Сделайте полную копию сайта в текущем состоянии. Сохраните файлы и базу данных, даже если они заражены. Эта копия нужна для расследования и как страховка на случай, если очистка пойдёт не так. Храните её отдельно и не запускайте на рабочем сайте.
Шаг 3. Ограничьте доступ посетителей. Включите режим обслуживания или временно закройте сайт на уровне хостинга. Это защитит клиентов от вредоносных скриптов и мошеннических перенаправлений, а вас от дополнительных санкций поисковиков. Если сайт принимает оплату или собирает данные клиентов, этот шаг особенно важен.
Шаг 4. Сообщите хостинг-провайдеру. Служба поддержки хостинга часто помогает: сообщит, что именно они видят, предоставит журналы, при необходимости изолирует аккаунт. Не бойтесь признаться во взломе: провайдеры сталкиваются с этим постоянно.
Шаг 5. Смените все пароли. Не только пароль администратора WordPress, но и все доступы, через которые можно попасть на сайт и в окружение:
- учётные записи администраторов и редакторов сайта;
- панель управления хостингом;
- FTP и SFTP-доступы;
- SSH, если он используется;
- пароль пользователя базы данных (после смены его нужно прописать в файле настроек сайта);
- электронная почта, привязанная к сайту и хостингу.
Новые пароли должны быть длинными, уникальными и не повторять старые. Если возможно, меняйте их с чистого, заведомо незаражённого компьютера: иногда причиной взлома становится вирус на устройстве администратора, который перехватывает вводимые пароли.
Шаг 6. Завершите все активные сессии и обновите ключи безопасности. В WordPress есть так называемые «соли и ключи» в файле настроек: они защищают сессии входа. После их обновления все пользователи, включая злоумышленника, будут вынуждены войти заново. При наличии доступа к командной строке это делается командой wp config shuffle-salts. Если вы не уверены, попросите специалиста: ошибка в файле настроек может сделать сайт недоступным.
Если сайт принимает платежи или хранит данные клиентов
Здесь действуют особые правила, и откладывать их нельзя. Если на сайте есть формы заявок, личный кабинет, интернет-магазин или база подписчиков, взлом может быть не просто неприятностью, а утечкой персональных данных.
По закону «О персональных данных» (152-ФЗ) оператор, допустивший утечку, обязан в течение 24 часов с момента обнаружения инцидента уведомить Роскомнадзор, а в течение 72 часов направить результаты внутреннего расследования с указанием причин и лиц, действия которых к этому привели. Требование действует с 1 сентября 2022 года, и Роскомнадзор регулярно напоминает о нём в ответ на публичные инциденты. За неуведомление предусмотрена ответственность по статье 13.11 КоАП РФ, а по сообщениям СМИ, с 30 мая 2025 года штрафы за утечки были существенно увеличены.
Важно понимать: не каждый взлом сайта означает утечку персональных данных. Если злоумышленник разместил рекламу на странице, но не получил доступа к базе заявок, речь может идти только о дефейсе или спаме. Однако вывод об этом должен сделать специалист на основании журналов и анализа базы, а не владелец «по ощущениям». Если вы не можете исключить доступ к данным, действуйте осторожно и сразу проконсультируйтесь с юристом, который разбирается в защите персональных данных.
Это общая информация, а не юридическая консультация. Точные сроки, форму уведомления и актуальные размеры штрафов уточняйте у юриста или в официальных источниках.
Как найти причину взлома
Очистить сайт и не выяснить, как злоумышленник попал внутрь, — значит оставить дверь открытой. Через несколько дней или недель взлом повторится. Поэтому расследование обязательно, даже если оно кажется сложным.
По практике специалистов, в большинстве взломанных сайтов WordPress точкой входа становится не изощрённая уязвимость, а слабый или украденный пароль, подобранный перебором на странице входа или через интерфейс xmlrpc.php. Разработчик популярного защитного плагина Wordfence заявляет, что блокирует миллиарды вредоносных попыток входа каждый месяц, и это показывает масштаб проблемы. Второй по частоте причиной обычно становятся устаревшие или уязвимые плагины и темы, а третьей пиратские («нуль-версии») шаблоны и расширения, в которые заранее встроен вредоносный код.
Вот что проверяют специалисты и что можете проверить вы:
1. Целостность файлов ядра. WordPress позволяет сверить свои файлы с официальными контрольными суммами. Файл, который не совпадает, тревожный сигнал, хотя некоторые расхождения безобидны, например языковой файл или удалённый вручную readme. Для проверки используется команда wp core verify-checksums. Аналогично проверяются плагины: wp plugin verify-checksums --all.
2. Список пользователей. Выведите всех администраторов командой wp user list --role=administrator или откройте раздел «Пользователи» в панели. Каждая учётная запись с правами администратора должна быть вам известна. Незнакомые удаляйте, но только после того, как сохранили копию сайта.
3. Недавно изменённые файлы. Файлы, которые менялись в последние дни без вашего ведома, подозрительны. Список можно получить командой find . -type f -mtime -7 в корне сайта. Особое внимание уделите папке загрузок: в ней не должно быть файлов с расширением php, ведь там хранятся изображения и документы.
4. Файлы настроек. Проверьте файл wp-config.php, файл .htaccess и каталог mu-plugins. Злоумышленники любят прятать там код, который выполняется при каждой загрузке страницы, или правила, перенаправляющие посетителей на сторонние сайты.
5. База данных. Вредоносные скрипты часто вставляются в тексты записей и страниц, в таблицу настроек и в виджеты. Проверьте адрес сайта в настройках: иногда его подменяют. Посмотрите запланированные задания: они бывают использованы для повторного заражения после очистки.
6. Журналы веб-сервера. В журналах доступа видно, какие запросы приходили на сайт. Ищите большое число попыток входа с одного адреса, обращения к незнакомым файлам и запросы к страницам плагинов, предшествовавшие появлению подозрительных файлов. Журналы обычно доступны в панели хостинга или через поддержку.
7. Плагины и темы. Составьте список установленных расширений и сверьте версии с актуальными. Отметьте всё, что давно не обновлялось, что вы не используете и что было получено не из официальных источников.
Если вы не можете самостоятельно пройти эти пункты, это нормально. Передайте специалисту копию сайта и журналы, чтобы он выполнил анализ.
Как очистить сайт: правильный порядок действий
Порядок очистки важен. Если сначала убрать вредоносные файлы, а потом заняться паролями, злоумышленник успеет вернуться. Мы рекомендуем следующую последовательность.
Шаг 1. Закройте точку входа. Смените пароли, обновите ключи безопасности, удалите неизвестных администраторов, отключите уязвимые плагины. Пока вход остаётся открытым, очистка бесполезна.
Шаг 2. Переустановите ядро WordPress. Скачайте с официального сайта ту же версию системы, которая у вас установлена, и замените системные файлы, не трогая настройки и каталог с вашим контентом. Версию можно посмотреть в панели управления или в файле wp-includes/version.php. Через командную строку это делается командой wp core download --force --skip-content. После замены ядра обновите WordPress до актуальной версии.
Шаг 3. Переустановите плагины и темы. Удалите все расширения и установите их заново из официальных источников. Не используйте пиратские версии: даже если они «работают», внутри может быть вредоносный код. Расширения, которые вам не нужны или которые давно не поддерживаются разработчиком, лучше не возвращать вовсе.
Шаг 4. Проверьте и очистите каталог загрузок и корневую папку. Удалите файлы с расширением php в каталоге загрузок и все неизвестные файлы и папки в корне сайта. Сверьте содержимое корня со стандартным набором файлов WordPress.
Шаг 5. Очистите базу данных. Найдите и удалите вставленные скрипты в записях, страницах, виджетах и настройках. Проверьте адрес сайта и правила перенаправлений. Эта работа требует осторожности: ошибочное удаление может повредить контент.
Шаг 6. Если вы сомневаетесь, что нашли всё, начните с чистого листа. Практичный вариант: развернуть новый чистый WordPress и восстановить на нём резервную копию, сделанную до взлома, либо перенести только проверенный контент: тексты, изображения, данные форм. Это надёжнее, чем бесконечно искать остатки заражения.
Шаг 7. Проверьте результат. Просканируйте сайт специализированным сервисом или защитным плагином, проверьте журналы на повторные подозрительные запросы, откройте сайт с телефона и из поисковой выдачи, чтобы убедиться, что перенаправления исчезли.
Шаг 8. Включите сайт и наблюдайте. Первые несколько дней после очистки внимательно следите за журналами, списком файлов и пользователей. Многие повторные заражения происходят в первые сутки.
Что делать с поисковиками: Google и Яндекс
Взлом часто отражается на позициях сайта. Поисковые системы могут пометить его как опасный, показывать предупреждение в выдаче или понизить в результатах. Репутацию придётся восстанавливать.
Удалите спам-страницы. Если злоумышленники создали на сайте множество посторонних страниц, они должны исчезнуть и из индекса. Страницы, которые больше не существуют, должны отдавать ответ о том, что они удалены.
Проверьте консоли вебмастеров. В Google Search Console и Яндекс Вебмастере есть разделы с информацией о проблемах безопасности. Если сайт помечен как заражённый, после очистки нужно отправить запрос на повторную проверку. Поисковики проверят сайт и при отсутствии угроз снимут пометки.
Обновите карту сайта. Отправьте актуальную карту сайта, чтобы поисковики быстрее узнали о том, какие страницы должны быть в индексе.
Проверьте, как сайт видят разные посетители. Некоторые вредоносные скрипты показывают подмену только поисковым роботам или посетителям с определённых устройств. Откройте сайт с мобильного устройства и перейдя из выдачи, а не вводя адрес вручную.
Восстановление позиций занимает от нескольких дней до нескольких недель. Точные сроки назвать нельзя: они зависят от масштаба заражения и от того, как быстро вы всё исправили.
Как защитить сайт после взлома: чек-лист
Очистка закрывает последствия, а защита предотвращает повторение. Вот набор мер, которые стоит внедрить сразу.
1. Обновления. Регулярно обновляйте ядро WordPress, темы и плагины. Уязвимости в устаревших версиях известны злоумышленникам и используются автоматически. Включите автоматические обновления для безопасных исправлений либо назначьте человека, который проверяет их раз в неделю.
2. Ничего лишнего. Удалите все неиспользуемые плагины и темы. Отключённый, но установленный плагин по-прежнему может быть уязвим. Чем меньше расширений, тем меньше площадь атаки.
3. Надёжные пароли и двухфакторная защита. Для всех администраторов используйте длинные уникальные пароли и подтверждение входа вторым фактором. Не используйте имя пользователя admin.
4. Ограничение попыток входа. Установите защиту от перебора паролей: блокировку после нескольких неудачных попыток, капчу или ограничение доступа к странице входа по адресам. Если интерфейс xmlrpc.php вам не нужен, отключите его.
5. Запрет редактирования файлов из панели. Параметр DISALLOW_FILE_EDIT в файле настроек отключает встроенный редактор кода. Если злоумышленник получит доступ к панели, ему будет сложнее внедрить вредоносный код.
6. Правильные права на файлы. Обычно файлам назначают права 644, каталогам 755, а файл настроек защищают строже. Права, при которых любой может записывать данные, это приглашение для вредоносных программ.
7. Запрет выполнения кода в папке загрузок. В каталоге с изображениями и документами не должно выполняться ничего. Правило на уровне веб-сервера не позволит запустить загруженный вредоносный файл.
8. Защитный экран и мониторинг. Файрвол для сайта блокирует известные атаки до того, как они достигнут WordPress. Мониторинг изменения файлов сообщит о подозрительной активности в день её появления, а не через месяц.
9. Резервные копии. Копии должны создаваться автоматически, храниться отдельно от сайта и проверяться на восстановление. Копия, которую ни разу не пробовали восстанавливать, может оказаться непригодной в нужный момент. Хорошее правило: храните несколько версий за разные периоды, чтобы можно было откатиться к состоянию до взлома.
10. Раздельные доступы. Каждому сотруднику и подрядчику выдавайте отдельную учётную запись с минимально необходимыми правами и отзывайте её, когда доступ больше не нужен. Общий пароль на всех делает невозможным понять, кто и что менял.
11. Только официальные источники. Темы и плагины скачивайте из официального каталога или у проверенных разработчиков. «Бесплатные версии платных шаблонов» из непонятных источников часто содержат скрытый вредоносный код.
12. Безопасность окружения. Актуальные версии PHP и базы данных, защищённое соединение (HTTPS), отдельные учётные записи на хостинге для разных сайтов. Если на одном аккаунте работает несколько сайтов, заражение одного может перейти на остальные.
Сколько стоит взлом и почему профилактика дешевле
Прямые расходы на очистку сайта это лишь часть общего ущерба. Перечислим то, что обычно учитывают при оценке последствий:
- потерянные заявки и продажи за время простоя и недоверия клиентов;
- падение позиций в поиске и стоимость их восстановления;
- работа специалистов по очистке и анализу;
- возможные штрафы и юридические расходы, если произошла утечка персональных данных;
- репутационный ущерб: клиент, увидевший предупреждение об опасном сайте, вряд ли вернётся;
- время сотрудников, которое уходит на разбор последствий вместо основной работы.
Профилактика, как правило, обходится существенно дешевле: регулярные обновления, резервные копии, базовая защита и мониторинг требуют заметно меньше ресурсов, чем ликвидация серьёзного взлома. Мы не называем конкретных сумм, потому что они сильно зависят от размера сайта и объёма данных, но сравнение по порядку величины в большинстве случаев в пользу профилактики.
Когда нужно сразу звать специалистов
Самостоятельно можно справиться с простыми случаями: подобранный пароль, одно заражённое расширение, очевидный спам на нескольких страницах. Но есть ситуации, когда лучше сразу обратиться к профессионалам:
- на сайте есть персональные данные клиентов, платежи или личные кабинеты;
- после очистки заражение возвращается;
- вы нашли «чёрные ходы» и не уверены, что обнаружили все;
- сайт приносит значительную часть выручки, и простой стоит дорого;
- вы не имеете доступа к серверу и журналам или не понимаете, что в них искать;
- на одном аккаунте хостинга работает несколько сайтов, и заражение могло затронуть их все;
- нужно подготовить уведомление для Роскомнадзора и разобраться в причинах инцидента.
Специалист не только очистит сайт, но и найдёт причину, настроит защиту, подготовит заключение для внутреннего расследования и поможет выстроить процесс, чтобы подобное не повторялось.
Стоит ли оставаться на WordPress
После взлома владельцы нередко задаются вопросом: не перейти ли на другую платформу. Универсального ответа нет. WordPress остаётся удобным и гибким инструментом, а при грамотной настройке, обновлениях и мониторинге его можно эксплуатировать безопасно. Проблемы возникают, когда сайт остаётся без внимания: никто не обновляет расширения, не проверяет резервные копии и не следит за доступами.
Если же у вас простой сайт-визитка без сложной логики и вы не готовы регулярно заниматься его обслуживанием, имеет смысл рассмотреть альтернативы: облачные конструкторы, где обновления и защита инфраструктуры лежат на стороне платформы, либо статичный сайт без базы данных, который значительно труднее взломать. Для сложных проектов с индивидуальной логикой часто выбирают разработку на современных фреймворках с продуманной архитектурой. Решение зависит от задач, бюджета и ресурсов на поддержку.
Как мы можем помочь в ИТБРАТ
Мы занимаемся разработкой и сопровождением цифровых продуктов, включая аудит и рефакторинг существующих сайтов, настройку инфраструктуры, резервного копирования и мониторинга, а также техническую поддержку. Если ваш сайт взломали или вы хотите проверить его до того, как это случится, мы можем оценить текущее состояние, предложить план очистки и защиты и взять сопровождение на себя.
Работаем по фиксированной смете с разбивкой по этапам, подписываем соглашение о неразглашении до первого созвона, а для поддержки действует SLA на реакцию от 15 минут в рабочее время. Подробнее о наших услугах: веб-приложения и сервисы.
Вывод
Взлом сайта неприятен, но не фатален, если действовать последовательно. Сначала остановите ущерб и сохраните копию, затем закройте точку входа, найдите причину, очистите сайт и только после этого возвращайте его посетителям. Отдельно позаботьтесь о поисковиках и, если на сайте были данные клиентов, о требованиях закона.
И главное: взлом чаще всего следствие простых упущений, а не хитрой атаки. Устаревший плагин, слабый пароль, пиратская тема и отсутствие резервных копий. Закройте эти пробелы, и вероятность повторения снизится многократно.
Источники: практические руководства по восстановлению сайтов WordPress после взлома (Habr, Timeweb Community, специализированные блоги по безопасности), материалы Роскомнадзора и отраслевых изданий об уведомлении об утечках персональных данных (Habr, 1С:ИТС), статья 13.11 КоАП РФ.
Материал подготовлен ООО «ИТБРАТ». Мы занимаемся разработкой программного обеспечения, интеграциями, поддержкой и автоматизацией бизнес-процессов. Опишите задачу на сайте или в Telegram @itbrat, и инженер вернётся с вариантами решения, сроками и вилкой бюджета в течение 4 рабочих часов.
Часто задаваемые вопросы
Как понять, что сайт на WordPress взломали?
Признаки: перенаправления на чужие сайты, незнакомые страницы и ссылки, неизвестные администраторы, предупреждения браузера или поисковика, неожиданные файлы в корне и в папке загрузок, жалобы клиентов на спам. Часть признаков видна только в определённых условиях, например при заходе с телефона.
Что делать в первую очередь, если сайт взломали?
Сохранить копию сайта и базы данных в текущем состоянии, закрыть сайт для посетителей, сообщить хостингу и сменить все пароли, включая доступы к хостингу, базе данных и почте. Только после этого переходите к поиску причины и очистке.
Можно ли очистить сайт самостоятельно?
В простых случаях да, если вы понимаете, что делаете, и сохранили копию. Если на сайте есть данные клиентов, платежи, заражение возвращается или вы не уверены в результате, лучше привлечь специалиста.
Почему после очистки сайт заражается снова?
Обычно остаётся «чёрный ход»: скрытый файл, незнакомый администратор, заражённый плагин или запланированное задание, а также не закрыта изначальная причина: слабый пароль или уязвимое расширение. Нужно найти и закрыть точку входа, а не только удалить последствия.
Нужно ли уведомлять Роскомнадзор о взломе сайта?
Если произошла утечка персональных данных, оператор обязан уведомить Роскомнадзор в течение 24 часов, а в течение 72 часов направить результаты расследования. Не каждый взлом означает утечку, но вывод должен основываться на анализе, а не предположениях. Лучше проконсультироваться с юристом.
Как снять пометку «опасный сайт» в поисковике?
Очистите сайт, закройте причину взлома, удалите спам-страницы и отправьте запрос на повторную проверку через Google Search Console и Яндекс Вебмастер. После проверки пометки снимаются.
Как часто нужно обновлять WordPress и плагины?
Проверяйте обновления не реже раза в неделю, а критические исправления безопасности устанавливайте как можно скорее. Перед обновлением делайте резервную копию, а на сложных сайтах сначала проверяйте изменения на тестовой копии.
Какие резервные копии нужны и где их хранить?
Нужны автоматические копии файлов и базы данных по расписанию, хранящиеся отдельно от сайта, с несколькими версиями за разные периоды. Периодически проверяйте, что копию действительно можно восстановить.
Можно ли доверять бесплатным версиям платных тем и плагинов?
Нет. Такие взломанные «nulled»-версии нередко содержат вредоносный код, а обновлений безопасности не получают. Используйте официальные источники или проверенных разработчиков.
Сколько стоит очистка сайта от вирусов и защита?
Стоимость зависит от размера сайта, масштаба заражения и требуемого уровня защиты. Точную оценку обычно называют после первичного анализа копии сайта и журналов.
