Сайт взломали: что делать в первые 24 часа

Сайт взломали — что делать в первую очередь? Этот вопрос встаёт перед владельцем в самый неподходящий момент: когда пропал доступ, рассылается спам или поисковик пометил ресурс как опасный. Статья — пошаговое руководство для владельцев сайтов и администраторов, которое поможет взять ситуацию под контроль в первые 24 часа и минимизировать ущерб.

Коротко

Не паникуйте: действуйте по чек-листу — отключите сайт от сети, смените пароли, уведомите хостера.
Определите тип взлома: дефейс, SEO-спам, фишинг, вредоносный код или кража данных.
Сделайте резервную копию заражённого сайта — она понадобится для анализа и восстановления.
Найдите и устраните уязвимость, иначе после очистки взлом повторится.
После восстановления усильте защиту: обновления, сложные пароли, двухфакторная аутентификация, WAF.

Признаки взлома сайта: как понять, что произошло

Не всегда взлом очевиден. Иногда сайт продолжает работать, но уже используется злоумышленниками. Типичные симптомы:

Главная страница заменена на постороннюю (дефейс).
Появились всплывающие окна, редиректы на другие ресурсы.
В выдаче Google или Яндекса сайт помечен как «может быть взломан» или «содержит вредоносный код».
Резко выросла нагрузка на сервер, письма уходят в спам, почтовый ящик переполнен возвратами.
В файлах сайта появились незнакомые скрипты, изменились права доступа.
Пропал доступ в админ-панель, пароль перестал подходить.

Если заметили хотя бы один признак — действуйте немедленно. Промедление увеличивает ущерб и усложняет восстановление.

Первые действия после взлома сайта: пошаговый план

Главное в первые часы — остановить распространение атаки и зафиксировать улики. Следуйте инструкции.

Отключите сайт от сети. Если есть возможность, переведите сайт в режим обслуживания или временно закройте доступ через .htaccess. Это не даст злоумышленнику продолжать действия и защитит посетителей от заражения.
Смените все пароли. Начните с хостинга, FTP/SFTP, админ-панели CMS, базы данных. Используйте сложные уникальные пароли. Если доступ к админке потерян, восстановите через email или обратитесь к хостеру.
Уведомите хостера. Сообщите в техническую поддержку о взломе. Хостер может заблокировать подозрительную активность, предоставить логи и помочь с восстановлением из резервной копии.
Сделайте резервную копию. Скопируйте файлы и базу данных заражённого сайта в отдельную папку. Это нужно для анализа и возможного восстановления отдельных данных.
Проверьте локальный компьютер. Просканируйте антивирусом компьютер, с которого вы работаете с сайтом. Возможно, пароли были украдены трояном.

Эти шаги помогут стабилизировать ситуацию и подготовиться к очистке сайта.

Что делать после взлома сайта: анализ и устранение уязвимости

После экстренных мер нужно понять, как злоумышленник проник на сайт. Без этого любая очистка будет временной.

Проверьте логи сервера

В логах хостинга (access.log, error.log) можно найти подозрительные запросы: множественные попытки входа в админку, обращения к нестандартным скриптам, загрузку файлов. Обратите внимание на время, совпадающее с моментом взлома.

Ищите изменённые файлы

Сравните файлы сайта с эталонной версией (из резервной копии или дистрибутива CMS). Обратите внимание на недавно изменённые файлы, новые скрипты, подозрительные вставки в index.php, .htaccess, файлы тем и плагинов.

Проверьте CMS и расширения

Устаревшие версии CMS, плагинов и тем — самая частая причина взлома. Сразу после восстановления обновите всё до актуальных версий. Удалите неиспользуемые расширения.

Удаление вредоносного кода и очистка сайта

Очистка включает несколько этапов. Действуйте последовательно, не пропуская шаги.

Восстановите сайт из чистой резервной копии, сделанной до взлома. Если такой нет — удалите вредоносный код вручную.
Проверьте все файлы на наличие посторонних вставок (eval, base64_decode, странные iframe, подозрительные ссылки).
Смените все пароли ещё раз, включая доступ к базе данных и FTP.
Удалите неиспользуемые учётные записи администраторов.
Обновите CMS, темы и плагины до последних версий.
Проверьте права доступа к файлам и папкам (обычно 644 для файлов, 755 для папок).
Установите или обновите плагины безопасности, настройте файрвол.

После очистки обязательно проверьте сайт на наличие скрытых бэкдоров — файлов, которые позволяют злоумышленнику вернуться. Это можно сделать с помощью специализированных сканеров или вручную.

Восстановление сайта из резервной копии

Если у вас есть свежая резервная копия, сделанная до взлома, восстановление пройдёт быстрее и надёжнее. Порядок действий:

Убедитесь, что копия чистая. Проверьте её на вирусы и вредоносный код, особенно если копия хранилась на том же сервере.
Загрузите файлы и базу данных. Используйте FTP или файловый менеджер хостинга. При необходимости создайте новую базу данных и импортируйте дамп.
Обновите конфигурацию. Проверьте файл конфигурации CMS, убедитесь, что пути и доступы указаны верно.
Смените пароли. После восстановления обязательно смените все пароли, так как старые могли быть скомпрометированы.
Проверьте работоспособность. Убедитесь, что сайт открывается, все функции работают, нет ошибок.

Если резервной копии нет, придётся чистить сайт вручную или обратиться к специалистам. В будущем обязательно настройте регулярное резервное копирование.

Как защитить сайт от повторного взлома

После восстановления важно укрепить защиту, чтобы не наступить на те же грабли. Основные меры:

Мера	Описание
Регулярные обновления	Обновляйте CMS, плагины и темы сразу после выхода новых версий. Большинство взломов происходит через известные уязвимости.
Сложные пароли	Используйте уникальные пароли длиной не менее 12 символов для всех доступов. Включите двухфакторную аутентификацию.
Резервное копирование	Настройте автоматические ежедневные или еженедельные копии файлов и базы данных. Храните копии вне сервера.
Файрвол и сканеры	Установите веб-файрвол (WAF) и антивирусный сканер для мониторинга подозрительной активности.
Ограничение доступа	Закройте доступ к админ-панели по IP, ограничьте количество попыток входа, отключите лишние учётные записи.

Также полезно регулярно проверять сайт на наличие вредоносного кода и следить за предупреждениями поисковых систем.

Что делать, если сайт взломали, а вы не технический специалист

Не каждый владелец сайта разбирается в коде и серверных настройках. Если вы не уверены в своих силах, лучше сразу обратиться к профессионалам. Специалисты по безопасности сайтов быстро найдут причину взлома, удалят вредоносный код и восстановят работоспособность.

Веб-студия Perfect Team предлагает услугу удаление вирусов и защита сайта. Мы работаем с 2007 года, за это время помогли сотням клиентов вернуть сайты в строй после взломов и настроить надёжную защиту.

Если ваш сайт уже пострадал, не откладывайте решение проблемы. Чем дольше сайт заражён, тем больше вреда он может принести: потеря позиций в поиске, блокировка хостингом, утечка данных клиентов.

После восстановления стоит задуматься о регулярном обслуживании. Услуга администрирование сайта включает мониторинг безопасности, обновления и резервное копирование — это снизит риск повторного взлома.

Если же сайт устарел и его проще создать заново с учётом современных требований безопасности, мы можем разработать новый проект. Например, интернет-магазин от 14 999 ₽ или лендинг от 19 999 ₽ с базовой защитой.

Взлом сайта — неприятное событие, но его можно пережить с минимальными потерями. Главное — действовать быстро, методично и не пренебрегать профилактикой. Если понадобится помощь, мы всегда на связи.