Сайт взломали — паниковать поздно, нужно действовать по порядку. Собрали пошаговый план: как понять, что вас взломали, чем изолировать сайт, как найти точку входа, вылечить и снять санкции поисковиков. Чем быстрее реагируете — тем меньше потерь.
Если коротко: при взломе сайта действуйте по порядку — закройте сайт от посетителей, смените все пароли, снимите резервную копию текущего (заражённого) состояния для разбора, найдите и закройте точку входа, восстановитесь из чистого бэкапа до взлома, усильте защиту и подайте сайт на перепроверку в Яндекс Вебмастер и Google Search Console для снятия санкций. Главное правило — не бросаться лечить хаотично: сначала остановить ущерб, потом понять причину, и только потом восстанавливать. Ниже — детальный план, по которому работаем мы.
Первая реакция на взлом почти у всех одинаковая — паника и желание «срочно всё починить». Это худшее, что можно сделать. Хаотичные действия затирают следы, мешают найти причину и часто приводят к повторному взлому через ту же дыру уже на следующий день. Спокойствие и порядок здесь экономят дни работы и нервы.
Как понять, что сайт действительно взломали
Иногда взлом очевиден, иногда сайт месяцами заражён, а владелец не в курсе. Вот типичные признаки — если совпало хоть несколько, пора действовать.
- Браузер или Яндекс помечают сайт как опасный, при заходе появляется красное предупреждение.
- На сайте всплывают чужие страницы, реклама, баннеры казино или редиректы на сторонние ресурсы.
- Резко упал трафик из поиска — сайт выкинули из выдачи или понизили из-за заражения.
- Хостинг прислал жалобу на рассылку спама или подозрительную активность с вашего аккаунта.
- В коде появились незнакомые файлы, зашифрованные строки, странные скрипты.
- Сайт стал медленным или ведёт себя странно — иногда из-за майнера или левого трафика.
- Не получается войти в админку — злоумышленник сменил пароль.
Пошаговый план: что делать прямо сейчас
Действуйте строго по порядку. Соблазн перескочить к лечению велик, но без первых шагов вы рискуете сделать только хуже.
- Закройте сайт от посетителей. Поставьте заглушку или включите режим технических работ. Заражённый сайт заражает посетителей и копит санкции поисковиков — лучше временно «закрыто», чем это.
- Смените все пароли. Админка, FTP/SSH, база данных, панель хостинга, почта, привязанная к домену. Меняйте всё, что могло утечь, с другого, заведомо чистого устройства.
- Сделайте копию заражённого состояния. Прежде чем что-то удалять, сохраните текущую версию отдельно. Она понадобится, чтобы найти точку входа и понять, что именно сделали.
- Найдите точку входа. Через что попали: устаревший модуль с уязвимостью, слабый пароль, дыра в стороннем коде, заражённый компьютер сотрудника. Без этого вы вылечите симптом, а не болезнь.
- Восстановитесь из чистого бэкапа. Разверните копию, сделанную заведомо до взлома. Здесь и выручают несколько хранимых версий — свежая может оказаться уже заражённой.
- Вычистите вредоносный код. Если чистого бэкапа нет, придётся лечить вручную — искать и удалять чужие файлы и вставки в коде. Это работа для специалиста.
- Закройте уязвимость и усильте защиту. Обновите движок и компоненты, включите фильтр запросов, второй фактор, ограничьте права. Иначе через ту же дыру вас взломают снова.
- Снимите санкции поисковиков. После лечения подайте сайт на перепроверку в Яндекс Вебмастере и Google Search Console, чтобы убрать пометку «опасный сайт».
Где искать точку входа
Найти причину взлома — половина дела. Если её пропустить, любое лечение временное. Вот где обычно прячется вход, в порядке частоты.
- Устаревший компонент. Модуль, плагин или ядро с известной уязвимостью, которую не закрыли обновлением. Самая частая причина.
- Слабый или утёкший пароль. Подобрали перебором или перехватили. Проверьте журнал входов — там видны попытки.
- Заражённый компьютер. Вирус на машине сотрудника украл сохранённые в FTP-клиенте пароли. Тогда лечить нужно и сайт, и компьютер.
- Сторонний код. Скачанный «бесплатный» шаблон или плагин из непроверенного источника с зашитым бэкдором.
- Сосед по хостингу. На дешёвом сервере без изоляции взлом одного сайта открывает доступ к другим.
Восстановление из бэкапа: на что обратить внимание
Чистая резервная копия — самый быстрый и надёжный способ вернуть сайт. Но есть нюансы, которые легко упустить в спешке.
Во-первых, копия должна быть заведомо до взлома. Если заражение заметили не сразу, последние бэкапы могут быть уже с вирусом — поэтому и нужна глубина в несколько версий. Во-вторых, после разворачивания обязательно проверьте, что восстановилось всё — и файлы, и база. Для интернет-магазина критично не потерять свежие заказы: иногда приходится аккуратно совмещать чистые файлы со свежей базой. В-третьих, сразу после восстановления, ещё до открытия сайта, закройте ту самую уязвимость — иначе круг замкнётся.
На лечении мы видим закономерность: у кого был свежий бэкап вне сайта — отделываются простоем на несколько часов. У кого копий нет — это недели ручной чистки кода, и нет гарантии, что вычистили всё до последнего файла. Резервная копия превращает катастрофу в неприятность на день.
Если бэкапа нет: ручное лечение
Худший расклад, но не безнадёжный. Без чистой копии остаётся ручная чистка: специалист сравнивает файлы сайта с эталонными версиями движка, ищет лишнее, вычищает зашифрованные вставки и бэкдоры, проверяет базу на инъекции. Это кропотливо, дорого и не даёт стопроцентной гарантии — один пропущенный бэкдор, и взлом возвращается.
Именно поэтому мы настаиваем: настройте бэкапы до того, как они понадобятся. После взлома, когда копий нет, любой разговор о профилактике звучит как «надо было раньше» — потому что так и есть. Ручное лечение — это всегда план Б, к которому прибегают от безысходности.
Сколько стоит и сколько занимает восстановление
Зависит от того, есть ли чистый бэкап и насколько глубоко зашло заражение. Грубые ориентиры по нашему опыту: восстановление из чистой копии с закрытием уязвимости — несколько часов работы, от 5 000 ₽. Ручное лечение заражённого сайта без бэкапа — от 15 000 ₽ и от одного-двух дней, иногда больше для крупных и запущенных сайтов. Плюс время на снятие санкций поисковиков — обычно от нескольких дней до пары недель после подачи на перепроверку.
К прямым расходам на лечение почти всегда добавляются скрытые — и они нередко больнее. Пока сайт закрыт заглушкой, он не приносит заявок: для магазина это упущенная выручка за каждый день простоя. Если поисковик успел пометить сайт как опасный, часть трафика теряется ещё на недели вперёд, пока позиции восстанавливаются. Плюс репутация: посетитель, который однажды увидел на вашем сайте предупреждение браузера, в следующий раз дважды подумает, прежде чем вернуться. Именно поэтому скорость реакции в первые часы стоит дороже любого тарифа на лечение.
Частые вопросы
Можно ли вылечить сайт самому без специалиста?
Если есть чистый бэкап — простое восстановление реально сделать самому через панель хостинга. Ручную чистку заражённого кода без опыта лучше не пытаться: легко пропустить бэкдор, и взлом вернётся, или сломать рабочий сайт окончательно.
Сайт взломали, но бэкапа нет — что делать?
Остаётся ручное лечение: специалист ищет и удаляет вредоносный код, сверяя файлы с эталоном. Это дольше и дороже отката из копии, без гарантии вычистить всё с первого раза. После лечения сразу настройте резервное копирование.
Как убрать пометку «опасный сайт» в Яндексе?
Сначала полностью вылечите сайт, затем в Яндекс Вебмастере в разделе безопасности подайте запрос на перепроверку. После того как робот убедится, что угроз нет, пометку снимут — обычно в течение нескольких дней.
Могут ли взломать снова после лечения?
Да, если не закрыть точку входа. Это главная ошибка — вылечить симптом, оставив причину. После восстановления обязательно обновите движок, смените пароли, включите защиту, иначе через ту же дыру вас взломают повторно.
Как быстро реагировать, если заметил взлом ночью или в выходной?
Первым делом закройте сайт заглушкой и смените пароли — это можно сделать самому в любое время, и для бизнеса из Хабаровска или Владивостока это особенно важно: пока московская поддержка спит, у вас уже идёт рабочий день. Дальнейшее лечение — уже со специалистом. На договоре техподдержки реакция на аварию идёт по приоритету, а не в общей очереди.
Сайт взломали или ведёт себя странно? Не теряйте время — вылечим, найдём и закроем причину, снимем санкции поисковиков и настроим защиту, чтобы это не повторилось, — удалённо по всему Дальнему Востоку и России. Звоните: 8 800 55-100-10. Подробнее — поддержка и безопасность сайтов или общий раздел услуги.
