Web bị hack thường không báo trước. Chủ web hay phát hiện ra khi khách nhắn “sao vào web lại nhảy sang trang cá cược”, hoặc khi Google hiện cảnh báo đỏ. Bài này giúp bạn nhận ra dấu hiệu sớm và xử lý đúng thứ tự, vì làm sai thứ tự (ví dụ xoá file lạ trước khi đổi mật khẩu) thì vài hôm sau mã độc thường quay lại.
1. Dấu hiệu web WordPress bị hack
- Chuyển hướng lạ: vào web từ Google hoặc trên điện thoại thì bị chuyển sang trang cá cược, quảng cáo, trong khi gõ thẳng địa chỉ trên máy tính lại bình thường. Mã độc kiểu này cố tình chỉ hiện với một số khách để chủ web khó phát hiện.
- Kết quả Google có nội dung lạ: gõ
site:tenmiencuaban.comtrên Google thấy các trang tiếng Nhật, tiếng Trung, tên thuốc, cá cược mà bạn chưa từng viết. - Cảnh báo của trình duyệt hoặc Google: “Trang web này có thể gây hại”, hay thông báo bảo mật trong Google Search Console.
- Tài khoản quản trị lạ trong mục Người dùng, hoặc bạn không đăng nhập được bằng mật khẩu cũ.
- File và plugin lạ: plugin bạn không cài, file PHP tên ngẫu nhiên trong thư mục
wp-content/uploads. - Hosting báo vượt tài nguyên hoặc khoá tài khoản vì web gửi thư rác hoặc chạy tiến trình lạ.
Muốn kiểm tra nhanh phần nhìn thấy từ bên ngoài (xmlrpc còn mở, tên tài khoản bị lộ, file nhạy cảm để hở, HTTPS và header bảo mật), dùng công cụ kiểm tra bảo mật WordPress. Công cụ bên ngoài không thấy được hết mã độc nằm trong file, nhưng giúp bạn biết web đang để hở những gì.
2. Các bước xử lý theo thứ tự
- Giữ bình tĩnh, đừng xoá vội. Chụp màn hình các dấu hiệu, ghi lại thời điểm phát hiện. Thông tin này giúp tìm đường mã độc vào.
- Sao lưu nguyên trạng cả file và cơ sở dữ liệu, kể cả khi web đang nhiễm. Nếu dọn sai, bạn còn bản để làm lại.
- Đổi toàn bộ mật khẩu: tài khoản hosting, FTP/SFTP, cơ sở dữ liệu, mọi tài khoản quản trị WordPress, và email gắn với web. Xoá các tài khoản quản trị lạ.
- Đổi khoá bảo mật (salt) trong file
wp-config.phpđể mọi phiên đăng nhập cũ, kể cả của kẻ tấn công, bị đăng xuất. - Cài lại lõi WordPress, theme và plugin từ nguồn sạch: tải bản mới từ wordpress.org hoặc nhà phát triển. Đừng giữ lại plugin, theme “bản crack” hay bản tải từ nguồn không rõ. Đây là đường lây nhiễm rất phổ biến.
- Tìm và dọn mã độc còn lại trong thư mục
uploads(thư mục này không được chứa file PHP), trong file.htaccess, và trong cơ sở dữ liệu (đoạn script lạ chèn vào bài viết, tuỳ chọn hay widget). - Cập nhật tất cả lên bản mới nhất và xoá plugin, theme không dùng.
- Gỡ cảnh báo: nếu Google đã gắn cờ, vào Search Console mục Vấn đề bảo mật, xác nhận đã xử lý và gửi yêu cầu xem xét lại.
Nếu hosting có bản sao lưu tự động từ trước lúc bị nhiễm, khôi phục bản đó có thể nhanh hơn dọn tay. Nhưng vẫn phải làm bước 3-5, vì lỗ hổng cũ vẫn còn trong bản sao lưu.
3. Vì sao web bị hack
Phần lớn web WordPress nhỏ không bị nhắm riêng. Chúng bị các công cụ tự động quét hàng loạt và tấn công qua những lỗi quen thuộc:
- Plugin hoặc theme cũ có lỗ hổng đã công bố mà chưa cập nhật.
- Plugin, theme bản lậu được cài sẵn mã độc.
- Mật khẩu quản trị yếu, dùng lại mật khẩu ở nơi khác, bị dò mật khẩu ở trang đăng nhập.
- Nhiều web chung một gói hosting: một web nhiễm thì lây sang web khác.
4. Phòng lại sau khi đã dọn
- Bật xác thực hai lớp (2FA) cho mọi tài khoản quản trị.
- Giới hạn số lần đăng nhập sai để chặn dò mật khẩu.
- Bật cập nhật tự động cho bản vá bảo mật, kiểm tra cập nhật plugin mỗi tuần.
- Sao lưu tự động hằng ngày, lưu bản sao ở nơi khác ngoài hosting.
- Theo dõi web liên tục để biết sớm khi web sập hay chứng chỉ SSL sắp hết hạn: dùng công cụ giám sát website miễn phí.
5. Khi nào nên nhờ người làm
Nên nhờ người có kinh nghiệm khi web đang bán hàng, khi mã độc quay lại sau lần dọn đầu, hoặc khi Google đã gắn cảnh báo. Dọn sót một file là đủ để mã độc quay lại.
Dịch vụ quét và dọn mã độc của DatPilot giá 890.000đ đến 1.900.000đ tuỳ mức độ nhiễm: quét toàn bộ file và cơ sở dữ liệu, dọn mã độc, đổi mật khẩu, khoá lỗ hổng, gỡ cảnh báo Google nếu có, bảo hành 30 ngày. Web chưa bị gì nhưng muốn phòng trước thì có gói gia cố bảo mật 690.000đ.
