Если сайт взломали, в первую очередь смените все пароли и закройте доступы, сохраните копию текущего состояния для анализа, а затем восстановите сайт из чистой резервной копии и обновите CMS, тему и плагины. После этого проверьте сайт в Яндекс Вебмастере и Google Search Console и запросите повторную проверку.
Как понять, что сайт взломан
Взлом далеко не всегда выглядит как «чужая картинка на главной». Чаще его цель — незаметно использовать ваш сайт: для рассылки спама, размещения ссылок, перенаправления мобильных посетителей на сомнительные ресурсы. Тревожные признаки:
- В Яндекс Вебмастере в разделе «Диагностика» → «Безопасность и нарушения» появилось сообщение об угрозе, а в выдаче рядом с сайтом — пометка.
- Браузер показывает полноэкранное предупреждение об опасном сайте.
- Посетители жалуются, что с телефона их перебрасывает на другой сайт, хотя у вас на компьютере всё нормально.
- В поиске по запросу
site:вашдомен.ruпоявились страницы, которых вы не создавали — часто на иностранном языке, про казино, кредиты или лекарства. - Хостинг заблокировал аккаунт или прислал уведомление о рассылке спама либо повышенной нагрузке.
- В админке появились незнакомые пользователи-администраторы, на сервере — файлы с непонятными именами.
- Резко выросли отказы, а в Яндекс Метрике — трафик с подозрительных источников.
Первый час: что сделать немедленно
Главное — не паниковать и не начинать хаотично удалять файлы. Поспешное «лечение» часто уничтожает следы, по которым можно понять, как именно проникли на сайт, и тогда взлом повторится.
- Зафиксируйте ситуацию. Сделайте скриншоты предупреждений, запишите время, сохраните письма хостинга.
- Сделайте копию текущего, заражённого состояния — файлов и базы. Храните её отдельно и помечайте как заражённую: она нужна для анализа, а не для восстановления.
- Смените все пароли с чистого, проверенного компьютера: панель хостинга, FTP/SFTP, SSH, база данных, все администраторы CMS, почта, регистратор домена. Включите двухфакторную аутентификацию везде, где есть.
- Проверьте список пользователей в CMS и удалите неизвестных администраторов. Отзовите ключи API и токены интеграций.
- При необходимости закройте сайт заглушкой техобслуживания с кодом ответа 503, если он активно вредит посетителям — например, перенаправляет их или раздаёт вредоносные файлы.
- Сообщите хостингу. У многих провайдеров есть антивирусная проверка и специалисты, которые подскажут, какие файлы заражены.
Восстановление сайта
Вариант 1. Откат на чистую копию
Самый надёжный путь — восстановиться из резервной копии, сделанной до взлома. Сложность в том, чтобы понять, когда именно произошло заражение. Ориентируйтесь на даты изменения подозрительных файлов, логи сервера, дату первых странных страниц в поиске. Берите копию с запасом — на несколько дней раньше.
После восстановления сразу обновите CMS, тему и все плагины: если на сайте осталась та же уязвимость, через день он окажется взломан снова. Данные, появившиеся после даты копии (заказы, заявки), придётся перенести вручную из сохранённой заражённой базы — аккуратно, только нужные таблицы и записи.
Вариант 2. Лечение на месте
Если чистой копии нет, сайт придётся очищать. Это работа для специалиста, но порядок действий полезно понимать:
- Ядро CMS заменяется оригинальными файлами с официального сайта той же версии — не «чистится», а именно заменяется.
- Плагины и тема переустанавливаются из официальных источников. Всё, что скачано с сомнительных сайтов (так называемые «нулёные» версии платных плагинов), удаляется — это частый источник заражения.
- Загруженные файлы проверяются на наличие исполняемого кода: в папке для картинок не должно быть PHP-файлов.
- База данных проверяется на вставки скриптов и чужих ссылок в тексты, настройки и виджеты.
- Проверяются задания cron, файлы .htaccess и конфигурации сервера — через них часто закрепляются редиректы.
Для первичной диагностики подойдут антивирусные сканеры хостинга и специализированные утилиты для поиска вредоносного кода на сервере. Но ни один сканер не даёт гарантии полного лечения — ручная проверка обязательна.
Найдите причину
Самый важный вопрос — как злоумышленник попал на сайт. Типичные причины:
| Причина | Как закрыть |
|---|---|
| Устаревшая CMS, тема или плагин с известной уязвимостью | Регулярные обновления, удаление неиспользуемых расширений |
| Слабый или утёкший пароль | Уникальные пароли, менеджер паролей, двухфакторная аутентификация |
| Пиратские («нулёные») плагины и темы | Только официальные источники и лицензии |
| Заражённый компьютер подрядчика или сотрудника | Антивирус, отдельные доступы для каждого, отзыв доступов после работ |
| Соседи по дешёвому хостингу без изоляции | Хостинг с изоляцией аккаунтов или VPS |
Как вернуть доверие поисковиков
Яндекс
- Убедитесь, что сайт полностью очищен.
- В Яндекс Вебмастере откройте «Диагностика» → «Безопасность и нарушения» и нажмите «Я всё исправил». Проверка занимает некоторое время, пометка снимается после неё.
- Удалите из индекса мусорные страницы: они должны отдавать код 404 или 410. Для ускорения используйте инструмент «Удаление страниц из поиска».
- Проверьте карту сайта — в ней не должно быть чужих адресов.
В Search Console посмотрите раздел «Проблемы безопасности», исправьте указанное и отправьте запрос на проверку. Опишите, что сделали: какие файлы удалили, что обновили, какие доступы сменили.
Если через сайт шла спам-рассылка, IP-адрес сервера мог попасть в чёрные списки почтовых сервисов — тогда письма с сайта будут уходить в спам. Проверьте это отдельно и при необходимости запросите исключение из списков.
Проверьте связанные сервисы
Взлом сайта редко ограничивается только файлами на сервере. Если злоумышленник получил пароль администратора, он мог видеть и настройки интеграций. Пройдитесь по связанным системам:
- Яндекс Метрика и Вебмастер — нет ли новых пользователей с доступом, не изменены ли цели и настройки.
- Регистратор домена — не изменены ли NS-серверы, контактная почта и не включена ли передача домена.
- Почта — нет ли правил пересылки на чужие адреса.
- CRM и платёжный модуль — актуальны ли ключи, нет ли незнакомых вебхуков.
- Рекламные кабинеты, если ссылки из объявлений ведут на сайт: остановите показы, пока сайт помечен как опасный, чтобы не тратить бюджет впустую.
Если пострадали персональные данные
Если есть основания полагать, что злоумышленник получил доступ к базе с данными клиентов, это уже не только техническая проблема. По 152-ФЗ об инциденте с утечкой персональных данных нужно уведомлять Роскомнадзор в установленные сроки — первичное уведомление подаётся в течение суток. Порядок и формулировки лучше согласовать с юристом. Также подумайте, как и о чём честно предупредить клиентов.
Как снизить риск повторного взлома
- Обновляйте CMS и расширения регулярно, но безопасно — с копией и проверкой.
- Удалите неиспользуемые плагины, темы, тестовые копии сайта и старые файлы установщиков.
- Выдавайте подрядчикам отдельные доступы и закрывайте их после окончания работ.
- Ограничьте вход в админку: двухфакторная аутентификация, ограничение попыток входа, по возможности доступ только с определённых IP.
- Настройте автоматические резервные копии с хранением вне хостинга.
- Подключите мониторинг: уведомления Яндекс Вебмастера, контроль изменения файлов, мониторинг доступности.
- Используйте SFTP вместо FTP и запретите выполнение скриптов в папке загрузок.
Частые вопросы
Сколько времени занимает восстановление после взлома?
При наличии чистой резервной копии и понятной причине — от нескольких часов до суток. Если копии нет и сайт заражён глубоко, очистка может занять несколько дней. Снятие пометок в поисковиках зависит от проверки на их стороне и обычно занимает дни.
Упадут ли позиции после взлома?
Пока сайт помечен как опасный, трафик из поиска обычно заметно снижается, а мусорные страницы размывают индекс. После очистки и снятия пометки позиции, как правило, восстанавливаются постепенно. Чем быстрее вы отреагируете, тем меньше будут потери.
Достаточно ли установить плагин безопасности?
Плагин безопасности — полезное дополнение: он ограничивает попытки входа и сканирует файлы. Но он не заменяет обновлений, надёжных паролей, резервных копий и нормального хостинга. На уже заражённом сайте плагин может не найти всё, поэтому после взлома нужна ручная проверка.
Нужно ли переделывать сайт с нуля?
Обычно нет. Сайт восстанавливают из копии или очищают, обновляют и защищают. Переделка оправдана, если сайт работает на давно неподдерживаемой версии CMS или сильно устаревшем коде, который невозможно безопасно обновить.
Если сайт уже взломан или вы хотите заранее закрыть уязвимости, команда Pear Advert поможет с восстановлением и дальнейшим сопровождением в рамках поддержки сайтов. Когда проблема в устаревшем коде, оценим объём доработки существующего сайта. Опишите ситуацию через контакты — начнём с диагностики.
