Website bị hack: quy trình xử lý theo đúng thứ tự
Khi phát hiện website bị xâm nhập, việc đầu tiên không phải là xoá file lạ. Hãy sao lưu hiện trạng trước — cả bản bị nhiễm — vì bạn có thể cần đối chiếu để tìm đường vào của kẻ tấn công. Xoá vội thường dẫn tới bị hack lại sau vài ngày vì chưa bít lỗ hổng gốc.
Dấu hiệu nhận biết
- Web chuyển hướng sang trang lạ, nhiều trường hợp chỉ xảy ra trên điện thoại hoặc khi vào từ Google.
- Xuất hiện tài khoản quản trị bạn không tạo.
- Google Search Console gửi cảnh báo nội dung nguy hiểm.
- Có file .php lạ trong thư mục uploads.
- Website chậm bất thường, hoặc máy chủ báo gửi hàng nghìn email.
Bước 1: Sao lưu hiện trạng
Nén toàn bộ file và xuất database ngay, dù đang bị nhiễm. Đây là bằng chứng và cũng là phương án dự phòng nếu quá trình dọn dẹp làm hỏng thêm.
Bước 2: Đưa website về chế độ bảo trì
Nếu web đang phát tán mã độc hoặc chuyển hướng khách, hãy tạm đóng để không hại thêm khách và không bị Google đánh dấu nặng hơn.
Bước 3: Đổi toàn bộ mật khẩu
Không chỉ mật khẩu WordPress. Phải đổi hết: tài khoản hosting, FTP/SSH, database, email quản trị. Kẻ tấn công thường lấy được nhiều hơn một mật khẩu, và đây là lý do phổ biến nhất khiến website bị hack lại.
Bước 4: Tìm và loại mã độc
Cách nhanh và chắc nhất là thay mới phần lõi: tải bản WordPress sạch cùng phiên bản, thay toàn bộ trừ wp-content và wp-config.php. Sau đó cài lại theme và plugin từ nguồn chính thức thay vì cố dọn từng file.
Với wp-content/uploads, hãy tìm các file có phần mở rộng .php — thư mục ảnh không có lý do gì chứa file php. Đó gần như luôn là mã độc.
Bước 5: Kiểm tra database
Mã độc hay chèn script vào nội dung bài viết hoặc vào bảng cấu hình. Hãy tìm các đoạn <script> lạ, các iframe, hoặc đường dẫn tới tên miền bạn không biết. Đồng thời kiểm tra danh sách người dùng và xoá tài khoản lạ.
Bước 6: Bít lỗ hổng gốc
Trước khi mở lại website, hãy trả lời được câu hỏi họ vào bằng đường nào? Ba nguyên nhân chiếm phần lớn: plugin hoặc theme cũ có lỗ hổng, theme/plugin tải từ nguồn lậu, và mật khẩu yếu. Nếu chưa xác định được nguyên nhân thì gần như chắc chắn sẽ bị lại.
Bước 7: Yêu cầu Google xem xét lại
Nếu website đã bị đánh dấu, sau khi dọn sạch hãy vào Search Console, mục Vấn đề bảo mật, và gửi yêu cầu xem xét lại. Thường mất vài ngày để cảnh báo được bỏ.
Khi nào nên nhờ người có chuyên môn
Nếu website có đơn hàng và dữ liệu khách hàng, hoặc bạn đã dọn mà vẫn bị lại, hãy nhờ người có kinh nghiệm. Chi phí thuê xử lý thường thấp hơn nhiều so với thiệt hại khi dữ liệu khách bị rò rỉ.
