WordPress bị hack? Cần làm gì trong 24 giờ đầu

Đây là gì

Một vụ xâm phạm WordPress thường có nghĩa là ai đó đã có khả năng thay đổi tệp, cơ sở dữ liệu hoặc tài khoản người dùng. Các dấu hiệu phổ biến gồm người dùng quản trị không xác định, plugin hoặc tệp lạ, JavaScript bị chèn vào, trang spam được công cụ tìm kiếm lập chỉ mục, chuyển hướng chỉ ảnh hưởng đến một số khách truy cập, email spam được gửi đi hoặc cảnh báo từ trình duyệt hay công cụ tìm kiếm. Các điểm xâm nhập thường gặp gồm plugin và theme lỗi thời hoặc bị bỏ rơi, mật khẩu yếu hoặc dùng lại, thông tin đăng nhập hosting hoặc FTP bị xâm phạm và quyền tệp không an toàn. 24 giờ đầu tập trung vào việc xác nhận điều gì đang xảy ra, hạn chế tác hại thêm, lưu lại hồ sơ và chuẩn bị cho việc dọn dẹp bài bản. Việc dọn dẹp chi tiết từng tệp sẽ được thực hiện như một bước riêng tiếp theo.

Dành cho ai

Danh mục này dành cho:

• Chủ doanh nghiệp và nhóm marketing quản lý website WordPress mà không có đội ngũ bảo mật chuyên trách
• Các agency hỗ trợ website của khách hàng vừa được báo cáo là bị xâm phạm
• Nhân viên IT nội bộ đã nhận được thông báo tạm ngưng hosting hoặc cảnh báo trình duyệt
• Bất kỳ ai cần cung cấp thông tin rõ ràng cho nhà cung cấp trước khi bắt đầu công việc dọn dẹp

Giúp làm rõ điều gì

Làm theo danh mục giúp làm rõ:

• Website thực sự bị xâm phạm hay chỉ gặp lỗi cấu hình hoặc lỗi plugin
• Điều gì đã thay đổi, vào lúc nào và những tài khoản nào có thể liên quan
• Ai sở hữu hosting, tên miền, DNS và bản sao lưu, và ai có thể ủy quyền thay đổi
• Dữ liệu khách hàng hoặc luồng thanh toán có thể bị ảnh hưởng và cần được xử lý riêng hay không

Những gì được bao gồm

• Giờ 0-2: ghi lại điều gì đã được nhận thấy, vào lúc nào và bởi ai; chụp màn hình các cảnh báo, chuyển hướng và trang lạ
• Giờ 0-2: xác định ai kiểm soát hosting, nhà đăng ký tên miền, DNS, CDN và trang quản trị WordPress
• Giờ 1-4: sao chép đầy đủ tệp và cơ sở dữ liệu ở trạng thái hiện tại và lưu riêng; không ghi đè các bản sao lưu cũ hơn
• Giờ 1-4: cân nhắc đưa website vào chế độ bảo trì hoặc đề nghị nhà cung cấp hosting hạn chế truy cập nếu khách truy cập đang bị ảnh hưởng
• Giờ 2-6: từ một thiết bị sạch, đổi mật khẩu hosting, FTP/SFTP, cơ sở dữ liệu và tài khoản quản trị WordPress; bật MFA nếu có
• Giờ 2-6: rà soát người dùng WordPress và xóa hoặc vô hiệu hóa các tài khoản không nhận ra, ghi lại những gì đã xóa
• Giờ 4-12: thu thập nhật ký truy cập máy chủ hiện có và các thông báo bảo mật từ nhà cung cấp hosting
• Giờ 6-24: cung cấp cho một nhà cung cấp đủ năng lực các ghi chú, nhật ký và bản sao lưu, đồng thời thống nhất phạm vi dọn dẹp

Những gì không được bao gồm

• Lệnh gỡ bỏ mã độc hoặc hướng dẫn chỉnh sửa tệp lõi khi không có bản sao lưu
• Tư vấn pháp lý về việc có bắt buộc thông báo vi phạm dữ liệu hay không
• Khẳng định rằng chỉ đổi mật khẩu là đủ để giải quyết vụ xâm phạm
• Lời khuyên liên hệ hoặc trả đũa kẻ tấn công

Khi nào nên chọn

Hãy dùng danh mục này ngay khi nghi ngờ bị xâm phạm, trước khi bắt đầu xóa tệp hoặc khôi phục bản sao lưu. Nếu website xử lý thanh toán hoặc lưu trữ dữ liệu cá nhân của khách hàng, hãy sớm đưa người phụ trách quyền riêng tư và nghĩa vụ pháp lý vào cuộc; nghĩa vụ thông báo phụ thuộc vào tình tiết cụ thể và khu vực pháp lý, và bài viết này không phải là tư vấn pháp lý. Nếu nhà cung cấp hosting đã tạm ngưng tài khoản, hãy hỏi họ cần gì để khôi phục quyền truy cập và họ có lưu nhật ký mà bạn có thể sử dụng hay không.

Phương pháp của chúng tôi

Hãy ưu tiên ngăn chặn và lưu giữ hồ sơ hơn là tốc độ dọn dẹp bề ngoài. Một website trông đã bình thường trở lại vẫn có thể chứa backdoor cho phép kẻ tấn công quay lại trong vài ngày. Khôi phục một bản sao lưu cũ mà không đóng điểm xâm nhập thường dẫn đến tái nhiễm. Sau khi hoàn tất các bước ban đầu, việc dọn dẹp cần bao quát tệp, cơ sở dữ liệu, người dùng, tác vụ theo lịch và cấu hình máy chủ, tiếp theo là đóng điểm xâm nhập và tăng cường bảo mật. Dịch vụ Incident Recovery của chúng tôi cung cấp rà soát và phân loại ban đầu đối với một sự cố website hoặc WordPress đã thống nhất, ngăn chặn trực tiếp, dọn dẹp mã độc, backdoor và người dùng trái phép, khôi phục an toàn, đóng điểm xâm nhập đã xác định và một báo cáo bằng văn bản kèm khuyến nghị tăng cường bảo mật. Đây là công việc có phạm vi xác định cho website đã xác nhận, còn các kết luận pháp lý do cố vấn pháp lý của bạn đảm nhận. Dù ai hỗ trợ, hãy đề nghị họ giải thích những gì đã phát hiện và thay đổi, và lưu báo cáo đó cùng với ghi chú của bạn.

Incident Recovery

Câu hỏi thường gặp

Bài viết liên quan