اختُرق موقع WordPress؟ ما الذي تفعله في أول 24 ساعة

ما هو

يعني اختراق موقع WordPress عادةً أن شخصًا ما حصل على القدرة على تغيير الملفات أو قاعدة البيانات أو حسابات المستخدمين. ومن العلامات الشائعة: مستخدمون مسؤولون غير معروفين، وإضافات أو ملفات غير مألوفة، وشيفرة JavaScript محقونة، وصفحات مزعجة تفهرسها محركات البحث، وعمليات إعادة توجيه لا تصيب إلا بعض الزوار، ورسائل بريد مزعج صادرة، أو تحذيرات من متصفح أو محرك بحث. ومن نقاط الدخول الشائعة: الإضافات والقوالب القديمة أو المهجورة، وكلمات المرور المعاد استخدامها أو الضعيفة، وبيانات اعتماد الاستضافة أو FTP المخترقة، وأذونات الملفات غير الآمنة. والغرض من أول 24 ساعة هو التأكد مما يحدث، والحد من مزيد من الضرر، والاحتفاظ بسجل، والاستعداد لتنظيف سليم. ويأتي التنظيف التفصيلي ملفًا ملفًا كخطوة مستقلة لاحقة.

لمن هذا؟

قائمة التحقق هذه موجّهة إلى:

• أصحاب الأعمال وفرق التسويق الذين يديرون موقع WordPress دون فريق أمن مخصص
• الوكالات التي تدعم موقع عميل أُبلغ للتو عن اختراقه
• موظفي تقنية المعلومات الداخليين الذين تلقوا إشعارًا بتعليق الاستضافة أو تحذيرًا من المتصفح
• كل من يحتاج إلى إطلاع مزوّد خدمة بوضوح قبل بدء أعمال التنظيف

ما يساعد على توضيح

يساعد اتباع قائمة التحقق على توضيح:

• ما إذا كان الموقع مخترقًا فعلًا أم يُظهر خللًا في الإعدادات أو في إحدى الإضافات
• ما الذي تغيّر، ومتى، والحسابات التي قد تكون متورطة
• من يملك الاستضافة والنطاق وDNS والنسخ الاحتياطية، ومن يمكنه الموافقة على التغييرات
• ما إذا كانت بيانات العملاء أو مسارات الدفع قد تتأثر وتحتاج إلى اهتمام منفصل

ما هو متضمن

• الساعة 0–2: دوّن ما لوحظ، ومتى، ومن لاحظه؛ والتقط صورًا للشاشة للتحذيرات وعمليات إعادة التوجيه والصفحات غير المألوفة
• الساعة 0–2: حدّد من يتحكم في الاستضافة ومسجّل النطاق وDNS وشبكة CDN ولوحة إدارة WordPress
• الساعة 1–4: خذ نسخة كاملة من الملفات وقاعدة البيانات على حالتها الراهنة، واحفظها بشكل منفصل؛ ولا تستبدل النسخ الاحتياطية الأقدم
• الساعة 1–4: فكّر في وضع الموقع في وضع الصيانة أو اطلب من جهة الاستضافة تقييد الوصول إذا كان الزوار يتعرضون للضرر
• الساعة 2–6: من جهاز نظيف، غيّر كلمات المرور الخاصة بالاستضافة وFTP/SFTP وقاعدة البيانات ومسؤولي WordPress؛ وفعّل المصادقة متعددة العوامل (MFA) حيثما كانت متاحة
• الساعة 2–6: راجع مستخدمي WordPress واحذف الحسابات التي لا تعرفها أو عطّلها، مع تدوين ما حذفته
• الساعة 4–12: اجمع سجلات الوصول المتاحة على الخادم والإشعارات الأمنية من جهة الاستضافة
• الساعة 6–24: أطلِع مزوّد خدمة مؤهلًا على ملاحظاتك وسجلاتك ونسختك الاحتياطية، واتفقا على نطاق التنظيف

ما لا يشتمل عليه

• أوامر لإزالة البرمجيات الخبيثة أو تعليمات لتعديل الملفات الأساسية دون نسخة احتياطية
• استشارة قانونية بشأن ما إذا كان الإبلاغ عن خرق البيانات مطلوبًا
• ادعاء بأن تغيير كلمات المرور وحده يعالج الاختراق
• نصائح بالتواصل مع المهاجم أو الانتقام منه

متى تختارها

استخدم قائمة التحقق هذه فور اشتباهك في حدوث اختراق، وقبل أن تبدأ في حذف الملفات أو استعادة النسخ الاحتياطية. وإذا كان الموقع يعالج مدفوعات أو يخزّن بيانات شخصية للعملاء، فأشرك المسؤول عن التزامات الخصوصية والالتزامات القانونية مبكرًا؛ إذ تتوقف واجبات الإبلاغ على الوقائع والولاية القضائية، وهذه المقالة ليست استشارة قانونية. وإذا علّقت جهة الاستضافة الحساب، فاسألها عمّا تحتاجه منك لاستعادة الوصول، وما إذا كانت تحتفظ بسجلات يمكنك الاستفادة منها.

نهجنا

أعطِ الأولوية للاحتواء والتوثيق على حساب سرعة التنظيف الظاهري. فالموقع الذي يبدو طبيعيًا من جديد قد يظل يحتوي على باب خلفي يتيح للمهاجم العودة في غضون أيام. واستعادة نسخة احتياطية قديمة دون إغلاق نقطة الدخول كثيرًا ما تؤدي إلى إعادة الإصابة. وبعد إتمام الخطوات الأولية، ينبغي أن يغطي التنظيف الملفات وقاعدة البيانات والمستخدمين والمهام المجدولة وإعدادات الخادم، ثم يعقبه إغلاق نقطة الدخول وتقوية الموقع. توفر خدمتنا «Incident Recovery» مراجعة أولية وتصنيفًا لمشكلة متفق عليها في موقع إلكتروني أو WordPress، واحتواءً عمليًا، وتنظيفًا للشيفرة الضارة والأبواب الخلفية والمستخدمين غير المصرّح لهم، واستعادة آمنة، وإغلاقًا لنقطة الدخول التي جرى تحديدها، وتقريرًا مكتوبًا مع توصيات للتقوية. وهي عمل محدد النطاق للموقع المؤكَّد، فيما يتولى مستشارك القانوني القرارات القانونية. وأيًّا كانت الجهة التي تساعدك، اطلب منها أن تشرح ما وجدته وما غيّرته، واحتفظ بذلك التقرير مع ملاحظاتك.

Incident Recovery

الأسئلة المتكررة

مقالات ذات صلة