Сайт взломали: как это понять, что делать в первый час и как не допустить повторения

Короткий ответ: сайт, скорее всего, взломали, если он уводит посетителей на чужие страницы, в поиске появились незнакомые страницы или пометка об опасности, в панели управления завёлся новый администратор, а хостинг жалуется на спам. В первый час нужно не «чистить», а остановить ущерб: сохранить копию заражённого состояния, сменить все пароли и ключи, закрыть сайт или переключить его на чистую резервную копию. Дальше — найти, через что вошли, закрыть эту дыру и попросить поисковики перепроверить сайт.

По каким признакам видно взлом?

Самые частые признаки — переадресация на чужие сайты, предупреждение в поисковой выдаче, спам-страницы на вашем домене, незнакомые администраторы и письма хостинга о рассылке. Многие из них владелец сам не видит: вредоносный код часто прячется от администратора и показывается только посетителям с поиска.

Типичная история: владелец открывает сайт по закладке — всё в порядке. А клиент, который нашёл компанию в Яндексе с телефона, попадает на страницу «вы выиграли». Код проверяет, откуда пришёл человек и с какого устройства, и не трогает тех, кто заходит напрямую или авторизован в панели. Поэтому проверять сайт нужно глазами посетителя: из выдачи, с мобильного интернета, в режиме инкогнито.

Есть и тихие взломы, которые не видны вообще: на сайт подсаживают скрипт, который крадёт данные из форм, или используют сервер для рассылки спама. Их замечают по косвенным признакам — сайт стал медленнее, выросла нагрузка на сервер, почта компании начала попадать в спам у получателей.

Что заметили	Что это обычно значит	Где проверить
С поиска или с телефона сайт уводит на казино, аптеку или «выигрыш», а при прямом входе всё нормально	Внедрён условный редирект: он срабатывает только для части посетителей	Открыть сайт из выдачи Яндекса в режиме инкогнито с мобильного интернета; журнал доступа на сервере
В выдаче рядом с сайтом предупреждение об опасности	Поисковик нашёл вредоносный код или нежелательное ПО	Яндекс Вебмастер: «Безопасность и нарушения»; Search Console: «Проблемы безопасности»
В поиске появились страницы, которых вы не создавали, часто на чужом языке	Злоумышленник генерирует спам-страницы на вашем домене	Запрос site:вашдомен в поиске; «Страницы в поиске» в Вебмастере
Хостинг прислал письмо о рассылке спама или заблокировал аккаунт	С сервера уходит почта или идёт нагрузка от постороннего скрипта	Письмо хостинга, журнал почты, список процессов
В админке новый пользователь-администратор, которого никто не заводил	Получен доступ к панели управления	Список пользователей CMS, журнал входов
Изменились файлы, которые никто не трогал	Подложен код или «чёрный ход» для повторного входа	Сравнение с резервной копией или с репозиторием

Что сделать в первый час?

Не удаляйте подозрительные файлы наугад. Сначала сохраните копию текущего состояния для разбора, затем смените все доступы и ограничьте ущерб для посетителей: закройте сайт заглушкой или переключите на заведомо чистую копию. Лечение — после этого.

1. Снимите копию заражённого сайта. Файлы и базу данных целиком, плюс журналы сервера за последние недели. По ним потом будет видно, когда и через что вошли. Если сразу всё удалить, вы потеряете следы и повторите ту же ошибку.
2. Смените все пароли и ключи. Панель управления сайтом, хостинг, доступ к серверу (SSH и FTP), база данных, почта, к которой привязан хостинг, регистратор домена. Ключи API платёжных и почтовых сервисов, которые лежат в настройках сайта, тоже считайте скомпрометированными и перевыпустите. Пароли меняйте с чистого компьютера: если заражён ноутбук администратора, новые пароли утекут так же.
3. Удалите чужих администраторов и проверьте, у кого вообще есть доступ: бывшие подрядчики, сотрудники, которые уволились, общие логины «admin».
4. Защитите посетителей. Если сайт уводит людей на мошеннические страницы или заражает их устройства, честнее на время поставить заглушку «ведутся технические работы», чем продолжать отдавать вредоносный код. Для магазина это потеря заказов на несколько часов, но не репутации.
5. Проверьте, есть ли чистая резервная копия и от какой она даты. Если взлом случился три недели назад, а копии хранятся две недели, все копии уже заражены — это частая неприятная находка.
6. Решите вопрос с персональными данными. Если на сайте хранятся заявки, заказы или аккаунты клиентов и есть признаки, что их могли выгрузить, по ч. 3.1 ст. 21 152-ФЗ оператор обязан уведомить Роскомнадзор об инциденте в течение 24 часов с момента его выявления — о самом инциденте, предполагаемых причинах, вреде и принятых мерах, а о результатах внутреннего расследования — в течение 72 часов.

Чего не делать в первый час: не писать в общий чат пароли «чтобы быстрее», не просить переустановить сайт «с нуля» без копии для разбора и не ставить первый попавшийся плагин-антивирус в надежде, что он всё решит.

Как вычистить сайт и вернуть доверие поисковиков?

Надёжная очистка — это восстановление заведомо чистой версии, а не поиск заражённых строк по одной. Код берут из репозитория или из копии до взлома, систему и модули обновляют, базу проверяют на внедрённые скрипты, затем просят Яндекс и Google перепроверить сайт.

Порядок работ выглядит так.

• Найти точку входа. По журналам сервера и датам изменения файлов определяют, через что вошли: устаревший модуль, слабый пароль, форма загрузки файлов без проверки, украденный доступ подрядчика. Пока дыра не закрыта, чистка бесполезна: через неделю сайт заразят снова.
• Восстановить код из надёжного источника. Если сайт ведётся в репозитории, сравнить файлы на сервере с ним — сразу видно, что подложено. Если репозитория нет, берут резервную копию до даты взлома и дистрибутив системы управления с официального сайта.
• Проверить базу данных. Вредоносный код часто прячут не в файлах, а в текстах страниц и настройках: скрипт в подвале сайта, ссылка в описании товара, новый администратор в таблице пользователей.
• Обновить всё, что устарело, — систему управления, модули, тему оформления, версию языка на сервере. Неиспользуемые модули удалить, а не просто выключить.
• Вычистить поиск. Спам-страницы, которые успели попасть в индекс, должны отдавать код 404 или 410, тогда поисковик их со временем удалит.

Когда сайт чистый, запросите перепроверку. В Яндекс Вебмастере это раздел «Оптимизация сайта → Безопасность и нарушения»: в блоке нарушения описываете, что сделали, отмечаете «Нарушение исправлено» и отправляете на проверку. По справке Яндекса проверка идёт до 30 дней, а если нарушения остались, повторно отправить сайт можно не раньше чем через 30 дней. В Google Search Console — отчёт «Проблемы безопасности» и кнопка «Запросить проверку»; Google пишет, что рассмотрение занимает от нескольких дней до нескольких недель. Отсюда практический вывод: отправлять на проверку только после полной очистки: если нарушения останутся, повторно отправить сайт в Вебмастере можно лишь через 30 дней с момента первой отправки.

Почему взламывают сайты на популярных CMS?

Не потому, что популярные системы управления плохие, а потому, что их много и атаки на них автоматизированы. Когда в распространённом модуле находят уязвимость, роботы за дни проверяют тысячи сайтов. Взламывают не вас лично, а всех, кто не обновился.

На практике сайт ломают через одно из четырёх мест:

• Устаревшие модули и темы. Ядро системы обычно обновляется, а модуль, купленный пять лет назад у разработчика, который его забросил, — нет.
• Слабые и общие пароли. Один логин «admin» на всю компанию, пароль, который знают три бывших подрядчика, нет второго фактора входа.
• «Пиратские» темы и модули. Бесплатная копия платного модуля нередко приходит с уже встроенным чёрным ходом.
• Соседи и хостинг. Несколько сайтов в одном аккаунте хостинга: заражение одного забытого сайта переходит на все остальные.

Сайт без системы управления, собранный разработчиком под задачу, атакуют реже массовыми роботами, но у него свои риски: ошибки в собственном коде никто, кроме разработчика, не исправит, поэтому до запуска стоит задать вопросы о безопасности подрядчику. Сравнение вариантов по безопасности и стоимости владения — в статье «1С-Битрикс, WordPress или своя разработка». Общий вывод простой: безопасность сайта определяет не платформа, а регулярный уход за ним.

Правило	Что значит для сайта	Пример
3 копии	Рабочий сайт и ещё две независимые копии файлов и базы	Сайт на сервере, копия у хостинга, копия во внешнем хранилище
2 разных носителя	Копии не лежат на одном диске с сайтом	Снимки хостинга и объектное хранилище другого провайдера
1 копия вне площадки	Хотя бы одна копия недоступна с сервера сайта	Хранилище, куда сервер может только дописывать, но не удалять

Как настроить резервные копии?

Копировать нужно и файлы, и базу данных, автоматически, по расписанию, и хотя бы одну копию хранить вне сервера сайта. Распространённая схема — правило 3-2-1: три копии, два разных носителя, одна копия за пределами основной площадки. И раз в квартал проверять, что из копии реально поднимается рабочий сайт.

Почему копий хостинга мало. Во-первых, если злоумышленник получил доступ к аккаунту хостинга, он может удалить и копии. Во-вторых, хостинг хранит их ограниченное время, и при «тихом» взломе все копии успевают оказаться заражёнными. В-третьих, при блокировке аккаунта за спам доступ к копиям тоже может пропасть.

Чек-лист настройки:

• копируются файлы сайта, база данных и загруженные пользователями файлы, а не только что-то одно;
• частота соответствует тому, сколько данных не жалко потерять: визитке хватает суток, у магазина с заказами база копируется чаще;
• глубина хранения — не меньше нескольких недель, плюс ежемесячные копии, чтобы было куда откатиться после позднего обнаружения взлома;
• внешнее хранилище настроено так, что сервер сайта может туда только записывать, но не удалять;
• копии с персональными данными клиентов лежат там же, где разрешено хранить сами данные: для персональных данных граждан России действуют требования 152-ФЗ о локализации;
• восстановление проверено на тестовом сервере, а не «в теории»: записано, кто восстанавливает, сколько это занимает и где лежат доступы.

Если код сайта ведётся в Git-репозитории, чистый источник для восстановления кода есть всегда. Резервные копии нужны прежде всего для базы данных и загруженных файлов — того, чего в репозитории нет.

Что входит в профилактику на поддержке?

Профилактика — это регулярные обновления, мониторинг, резервные копии и порядок в доступах. Ничего из этого не требует героизма, но всё требует регулярности: сайты, которые взламывают, обычно годами никто не обновлял и не смотрел.

Что делаем на поддержке и развитии сайта, если это согласовано в составе абонентки:

• Обновления системы, модулей и библиотек — сначала на тестовой копии, потом на рабочем сайте, чтобы обновление не сломало оформление или обмен с 1С.
• Мониторинг работы сайта: доступность, ошибки, сроки сертификата и домена. Внезапная смена содержимого главной страницы — тоже повод проверить.
• Резервные копии по схеме, которую фиксируем после брифа, и проверка восстановления.
• Ревизия доступов: кто может входить в панель и на сервер, удаление доступов уволившихся сотрудников и прошлых подрядчиков, второй фактор входа там, где система его поддерживает.
• Задачи в личном кабинете с доской проекта: видно, что и когда обновляли, а не «где-то в переписке».

Абонентка — от 7 900 ₽ в месяц; точный состав и цену для вашего сайта считаем после брифа. Сразу после запуска мелкие правки бесплатны в течение срока по тарифу, а гарантия по договору на разработку — 30 календарных дней с даты акта — идёт отдельно от поддержки. Из чего складывается ежемесячный бюджет сайта целиком, с доменом и хостингом, — в статье сколько стоит поддержка сайта в месяц.

Какие ошибки делают чаще всего?

Главная ошибка — считать, что взлом закончился, когда пропал редирект. Если не найдена точка входа и не сменены доступы, через неделю всё повторится, а поисковик второй раз снимает пометку не быстрее первого.

• «Почистили плагином — и всё». Сканер находит известные вредоносные файлы, но не закрывает уязвимость и пропускает код, спрятанный в базе данных. Плагином взлом не лечится, им лечится симптом.
• Восстановили копию, но не обновили систему. Сайт вернулся в то же уязвимое состояние, через которое его взломали.
• Не сменили пароли всем. Сменили пароль от панели, но оставили старый доступ к хостингу или ключ к серверу у прошлого подрядчика.
• Нет доступов у владельца. Хостинг и домен оформлены на бывшего разработчика, и в критический момент компания не может даже зайти в панель. Как оформить их правильно — в статье на кого оформлять домен и хостинг.
• Отправили сайт на перепроверку до полной очистки — и получили ещё минимум 30 дней ожидания в Вебмастере.

Когда абонентская поддержка вам не нужна?

Если сайт — статическая страница без системы управления, форм с хранением данных и сторонних модулей, атаковать в нём почти нечего. Достаточно надёжных паролей к хостингу и домену, двухфакторного входа и копии в репозитории; разовые задачи — по мере необходимости.

Ещё один случай — сайт, который вы и так собираетесь заменить в ближайшие месяцы. Тратить бюджет на глубокую чистку старой системы, которую всё равно выключат, неразумно: восстановите чистую копию, закройте доступы и вложитесь в новый сайт, где безопасность заложена с начала. Если сайт для компании нужен заново, посмотрите тариф корпоративного сайта — он от 56 000 ₽, и первый месяц поддержки после запуска в него уже входит.

А вот если через сайт идут заказы, оплаты или заявки с персональными данными, без регулярного ухода не обойтись: сравните стоимость месяца поддержки с выручкой за день простоя и с последствиями утечки — уведомлением Роскомнадзора и разговором с клиентами. Что происходит с сайтом, если разработчик перестаёт им заниматься, и чем гарантия отличается от поддержки, — в статье что будет с сайтом, если студия пропадёт.

Короткие ответы на частые вопросы

Как быстро понять, что сайт взломали?

Откройте сайт из поисковой выдачи с телефона через мобильный интернет, проверьте раздел «Безопасность и нарушения» в Яндекс Вебмастере и отчёт «Проблемы безопасности» в Search Console, просмотрите список администраторов в панели. Редирект на чужой сайт, незнакомый администратор или пометка поисковика — достаточный повод действовать.

Можно ли вылечить взломанный сайт плагином-антивирусом?

Сканер помогает найти часть заражённых файлов, но не закрывает дыру, через которую вошли, и не находит всё. Надёжный путь — восстановить чистую копию, обновить систему, сменить все пароли и ключи и только потом снова открыть сайт.

Сколько Яндекс снимает пометку об опасности после очистки?

По справке Вебмастера проверка после отправки занимает до 30 дней. Если нарушения остались, отправить сайт повторно можно не раньше чем через 30 дней, поэтому отправлять стоит только после полной очистки.

Нужно ли сообщать в Роскомнадзор о взломе сайта?

Если при взломе утекли персональные данные клиентов, например заявки с именами и телефонами, закон обязывает оператора уведомить Роскомнадзор в течение 24 часов с момента выявления инцидента, а о результатах внутреннего расследования — в течение 72 часов (ч. 3.1 ст. 21 152-ФЗ). Если персональных данных на сайте нет, такой обязанности нет.

Как часто делать резервные копии сайта?

Частота зависит от того, сколько данных вы готовы потерять: для сайта-визитки хватает ежедневной копии, для магазина с заказами база копируется чаще. Главное — хотя бы одна копия вне сервера сайта и регулярная проверка, что из неё действительно восстанавливается рабочий сайт.

Входит ли защита от взлома в поддержку Roboweb.team?

В поддержку входят мониторинг работы сайта и обновления, абонентка — от 7 900 ₽ в месяц; состав для вашего сайта, в том числе резервные копии, считаем после брифа. Полной гарантии от взлома не даёт никто, но регулярный уход заметно снижает риск и время восстановления.

Услуги и кейсы по теме: поддержка сайта от 7 900 ₽/мес · корпоративные сайты · цены и сроки