Сайт взломали: что делать — пошаговый план восстановления

Как понять, что сайт действительно взломан

Взлом редко выглядит как надпись «Hacked by...» на главной странице. Чаще злоумышленникам нужно, чтобы владелец ничего не заметил как можно дольше: сайт используют для рассылки спама, размещения скрытых ссылок, майнинга, перенаправления трафика на сомнительные ресурсы или раздачи вирусов посетителям.

Поэтому о проблеме обычно узнают косвенно: клиенты жалуются, что их «выкидывает» на чужой сайт, антивирус блокирует страницу, хостинг присылает уведомление, а в поисковой выдаче рядом с вашим адресом появляется пометка об опасном содержимом. Иногда первым сигналом становится падение трафика в Яндекс Метрике и Google Analytics без видимых причин.

Если вы заметили хотя бы один из признаков ниже, относитесь к ситуации как к взлому, пока не доказано обратное.

Первые минуты: без паники, но быстро

Время играет против вас. Пока вредоносный код работает, он может красть данные клиентов, заражать устройства посетителей и ухудшать репутацию домена в глазах Яндекса и Google. С другой стороны, поспешные действия вроде удаления всего подряд или переустановки CMS поверх заражённых файлов уничтожают следы и мешают понять, как именно проникли на сайт.

Оптимальная стратегия состоит из двух этапов: сначала быстро перекрыть доступ злоумышленнику и защитить посетителей, затем спокойно разбираться с причинами и чисткой. Ниже последовательность, которая подходит для большинства сайтов на WordPress, 1С-Битрикс, Joomla, OpenCart и самописных движках.

Как найти следы взлома

Когда сайт изолирован и копия сохранена, начинается диагностика. Задача на этом этапе: понять, какие файлы изменены, где спрятан бэкдор (скрытая «чёрная дверь» для повторного входа) и через какую уязвимость злоумышленник попал внутрь.

Самый надёжный подход — сравнить файлы сайта с чистым дистрибутивом той же версии CMS и с последней рабочей резервной копией. Всё, что отличается или лежит там, где ему быть не положено, подозрительно. Дополнительно используют серверные антивирусы и сканеры (например, Imunify, ClamAV, AI-Bolit), но полагаться только на них не стоит: современные вредоносные скрипты умело маскируются под обычный код.

Отдельно стоит посмотреть журналы доступа сервера: они покажут, с каких IP и на какие адреса отправлялись подозрительные запросы в момент заражения.

Очистка и восстановление

Есть два пути: лечение и восстановление из чистой копии. Если у вас есть резервная копия до даты взлома, часто проще и надёжнее развернуть её, а затем сразу обновить CMS и расширения. Но важно убедиться, что копия не содержит бэкдора: взлом мог произойти за недели до того, как вы его заметили.

Если чистой копии нет, придётся лечить вручную: заменить файлы ядра CMS оригинальными, удалить найденные веб-шеллы, очистить вредоносные вставки в шаблонах и базе данных, переустановить все плагины из официальных источников. Нелицензионные темы и «взломанные» плагины — частый источник заражения, от них лучше отказаться.

Завершающий шаг — устранение причины. Закройте найденную уязвимость: обновите уязвимый плагин, смените конфигурацию, ограничьте права на папки, отключите выполнение PHP в каталоге загрузок. Без этого любая очистка временная.

Что происходит с позициями и как вернуть доверие поисковиков

Если поисковые роботы находят вредоносный код, Яндекс и Google могут пометить сайт как опасный, понизить его в выдаче или показывать предупреждение перед переходом. Это бьёт по трафику и репутации даже после того, как вы уже всё почистили, потому что поисковики не снимают пометку автоматически сразу.

После очистки откройте Яндекс Вебмастер, раздел «Диагностика» → «Безопасность и нарушения», и Google Search Console, раздел «Безопасность и меры, принятые вручную». Там отображаются найденные угрозы и примеры заражённых адресов. Убедитесь, что вы устранили всё из списка, и отправьте запрос на перепроверку. Если в индексе остались спам-страницы, удалите их через инструменты удаления URL в обоих сервисах и проверьте, что они отдают код 404 или 410.

Параллельно следите за посещаемостью в Яндекс Метрике и Google Analytics: после снятия ограничений трафик обычно восстанавливается постепенно, а не мгновенно.

Как защитить сайт от повторного взлома

Взлом почти никогда не бывает случайным: боты автоматически сканируют интернет в поиске известных уязвимостей, и сайт с устаревшим плагином попадает в их список за считанные дни. Поэтому защита — это не разовая акция, а регулярная гигиена.

Лучше всего работает сочетание простых мер: своевременные обновления, минимум расширений, строгая парольная политика и резервные копии, которые хранятся не только на том же сервере. Если сервер будет взломан, копии рядом с сайтом тоже пострадают.

Роль доступов и обновлений

Отдельно проверьте, кто и зачем имеет доступ к сайту. Бывшие подрядчики, фрилансеры и сотрудники часто сохраняют учётные записи годами. Каждый такой аккаунт — потенциальная лазейка, особенно если пароль простой или повторяется на других сервисах.

Настройте двухфакторную аутентификацию в панели хостинга и админке CMS, ограничьте количество попыток входа, используйте SFTP вместо обычного FTP и установите HTTPS-сертификат. Эти меры не требуют больших затрат, но закрывают большинство сценариев автоматических атак.