Röviden
A feltört WordPress-oldal ritkán áll le látványosan: gyakrabban átirányít, spamoldalakat szolgál ki vagy kártevőt terjeszt, miközben a tulajdonos semmit sem lát. Nyolc gyakori jelet, egy 60 perces teendősort és a helyreállítás utáni védekezést mutatjuk meg. Egyetlen jel még nem bizonyíték, két-három együtt viszont már riasztás.
Miért számít minden óra?
Egy feltört WordPress-oldal ritkán áll le látványosan. Sokkal gyakrabban tovább működik, csak már nem csak a tiédet szolgálja ki: kéretlen reklámot, átirányítást, kártevőt vagy teljesen idegen spamoldalakat is. Ezt a látogató vagy a Google gyakran előbb észreveszi, mint te, a saját statisztikád pedig közben semmi rendelleneset nem mutat.
Ezért érdemes néhány egyszerű jelet rendszeresen ellenőrizni. Egyik jel sem bizonyítja önmagában a feltörést, de ha kettő-három együtt jelentkezik, kezeld úgy, mintha a baj már megtörtént volna.
A nyolc leggyakoribb figyelmeztető jel
Az alábbi lista a gyakorlatban leggyakrabban látott tünetek összegzése, nem teljes körű felsorolás.
- Biztonsági figyelmeztetés a keresőben vagy a böngészőben. A Google Search Console „Biztonsági problémák” jelentése vagy egy veszélyes oldalra figyelmeztető képernyő komoly, külső jelzés.
- Ismeretlen adminisztrátor. Nézd meg a Felhasználók listát: egy új admin, akit senki nem hozott létre, kiemelt riasztás.
- Átirányítás vagy felugró ablak, főleg mobilon vagy a keresőből érkezőknél. Az ilyen kártevő gyakran elrejtőzik a bejelentkezett adminisztrátor elől.
- Idegen oldalak a keresőben. A site:sajatdomain.hu keresés gyanús, idegen nyelvű vagy gyógyszer-, kaszinó- és divatreklámos címeket mutat.
- Hirtelen lassulás vagy erőforrás-túllépés. A tárhely-szolgáltató CPU- vagy I/O-korlát miatt jelez, miközben a látogatottság nem nőtt.
- Ismeretlen vagy módosult fájlok. Különösen gyanús a wp-content/uploads mappában található futtatható .php fájl vagy a véletlenszerű nevű fájl.
- Spam megy ki a domainről, vagy visszapattanó levelek érkeznek. Olyan címekről jönnek hibaüzenetek, amelyeknek te nem küldtél levelet.
- Nem tudsz belépni, vagy váratlan jelszó-visszaállító levelek érkeznek. Valaki más próbálkozik, vagy már módosította a fiókodat.
| Figyelmeztető jel | Hol ellenőrizd? | Sürgősség |
|---|---|---|
| Keresői vagy böngészős figyelmeztetés | Google Search Console, biztonsági jelentés | Azonnali teendő |
| Ismeretlen adminisztrátor | WordPress → Felhasználók | Azonnali teendő |
| Átirányítás | Mobilról, inkognitóablakban, keresőből érkezve | Azonnali teendő |
| Idegen oldalak a keresőben | site: keresés, Search Console lefedettség | Aznapi teendő |
| Lassulás, erőforrás-riasztás | Tárhelypanel statisztikái, hibanapló | Aznapi teendő |
| Gyanús fájlok | Fájlkezelő vagy SFTP: legutóbb módosított fájlok | Aznapi teendő |
Az első 60 perc: sorrendben, higgadtan
A pánik legrosszabb következménye, hogy a nyomok eltűnnek, vagy a támadó újra bejut. Ez a sorrend segít.
- 0–10 perc: ne takarítsd le kapkodva. Készíts teljes másolatot a jelenlegi állapotról (fájlok és adatbázis), és őrizd meg a naplókat. Ha a tárhely pillanatképet kínál, használd.
- 10–20 perc: korlátozd a kárt. Kapcsold karbantartási módba az oldalt, és ha a támadás aktív, kérj a szolgáltatótól izolálást.
- 20–35 perc: cseréld a jelszavakat tiszta eszközről. WordPress-adminok, tárhelypanel, FTP/SFTP, adatbázis, e-mail és minden, ami a wp-config.php-ban szerepel, beleértve a biztonsági kulcsokat.
- 35–50 perc: keresd a belépési pontot. Elavult bővítmény vagy sablon, gyenge jelszó, ellopott hozzáférés? A naplókból kiderülhet, mikor és honnan módosultak a fájlok.
- 50–60 perc: dönts a helyreállításról. Ismert, tiszta mentésből való visszaállítás és azonnali frissítés, vagy szakember által végzett takarítás. A kettő keveréke ritkán jó ötlet.
Miért nem elég egyetlen gyanús fájlt törölni?
A támadók általában több helyen hagynak hátsó kaput: rejtett adminisztrátor, módosított alapfájl, időzített feladat, vagy az adatbázisba injektált kód. Ha csak a látható fájlt törlöd, pár órán belül visszajöhet.
Ezért a legbiztosabb út általában az ismert tiszta mentésből való visszaállítás, majd azonnali frissítés és jelszócsere. A mentés időpontját a naplókból érdemes megállapítani: a feltörés előtti állapotot kell visszahoznod.
Utána: hogy ne ismétlődjön
A takarítás csak a fele a munkának. Ezek a lépések csökkentik a támadási felületet és a következő incidens költségét.
- Frissítsd a WordPress magot, a bővítményeket és a sablont, és töröld, amit nem használsz; a kikapcsolt kód is támadható.
- Kapcsold be a kétlépcsős hitelesítést minden adminnál, és adj minimális jogosultságot.
- Tartsd a mentéseket a szervertől külön, és legalább egyszer próbáld ki a visszaállítást.
- Állíts be hibanapló- és fájlváltozás-figyelést, hogy a következő gyanús módosítás ne hetekig maradjon észrevétlen.
- Ha a keresőben biztonsági jelzés volt, a tisztítás után kérj felülvizsgálatot a Search Console-ban.
WordPress-karbantartás a Montavióval
Rendszeres frissítés, mentés és felügyelet, hogy a következő támadás ne érjen készületlenül.
WordPress-karbantartás megnézése
