Что делать если сайт взломали

Почему это влияет на заявки

Взлом сайта для владельца бизнеса обычно начинается с одной из двух ситуаций: либо клиенты звонят и говорят, что при переходе на сайт вылезает предупреждение об опасности, либо заявок просто перестало быть. Второй вариант коварнее, потому что причина не очевидна, и можно неделями думать, что «сезонность» или «конкуренты что-то сделали».

Хотите понять, относится ли это к вашему сайту?Проверим сайт и вернёмся с коротким планом.

Получить аудит

Первое, что нужно понять: хакеры редко взламывают небольшие бизнес-сайты ради данных. Ваша база клиентов из региональной стоматологии или магазина запчастей вряд ли стоит риска. Чаще всего сайт используют как инструмент. На него незаметно для вас размещают скрытые ссылки на сайты с запрещённой тематикой, создают тысячи страниц с фармацевтикой или казино, настраивают перенаправление посетителей на другие ресурсы, либо используют сервер вашего сайта для рассылки спама и майнинга криптовалюты.

Для Яндекса взломанный сайт — это источник мусора и угроза для пользователей. Поисковик реагирует быстро: пессимизирует позиции, исключает страницы из индекса или вообще убирает сайт из поиска. В результатах поиска рядом с вашим адресом может появиться пометка «Этот сайт может угрожать безопасности компьютера». Даже если вы этого не видите (потому что ищете себя по названию компании, а не по прямому адресу), ваши клиенты видят. И они уходят к конкурентам.

Ещё один важный момент: Яндекс часто знает о взломе раньше вас. Вебмастер присылает уведомления о подозрительной активности, о появлении чужих страниц или о том, что на сайте обнаружен вредоносный код. Если такие письма приходят — это не формальность и не ошибка системы. Это повод действовать прямо сейчас.

Практические особенности и варианты применения

Порядок действий после обнаружения взлома зависит от того, что именно произошло, но базовый сценарий одинаков для большинства сайтов на популярных движках.

Шаг первый — зафиксируйте ситуацию. Не спешите сразу всё удалять. Сделайте полную резервную копию сайта в текущем состоянии, включая базу данных. Это может понадобиться, если нужно будет понять, что именно изменили злоумышленники и через какую уязвимость проникли. Если бэкап сделать невозможно из-за активности хакеров — хотя бы сделайте скриншоты подозрительных страниц и сохраните адреса URL.

Шаг второй — смена паролей. Меняйте всё: пароль от панели управления сайтом, от FTP-доступа, от базы данных, от почты, которая привязана к домену. Пароли должны быть разными и сложными. Если у вас один пароль на хостинг, сайт и почту — это одна из причин, по которой вас взломали.

Шаг третий — проверка Яндекс.Вебмастера. Зайдите в раздел «Безопасность» и «Индексирование». Посмотрите, нет ли там уведомлений о проблемах. Проверьте список проиндексированных страниц — если вдруг их стало в десять раз больше, скорее всего, хакеры нагенерировали мусорных страниц. Посмотрите отчёт о внешних ссылках — если появились ссылки на казино, таблетки или сайты сомнительного содержания, это следствие взлома.

Шаг четвертый — очистка сайта. Здесь начинается самое сложное. Если у вас простая визитка на HTML, можно открыть файлы и найти подозрительные вставки: обычно это длинные строки закодированного текста, скрытые блоки с display:none, или скрипты, которые вы не добавляли. На сайтах на WordPress, Joomla, 1С-Битрикс вредоносный код прячется глубже — в файлах ядра, в плагинах, в шаблонах, в таблицах базы данных.

Позиции и аналитика

Найдём точки роста по позициям и трафику

Посмотрим видимость, запросы, страницы и просадки. Подскажем, что даст лучший эффект в ближайших работах.

Разобрать позиции

Если вы не программист, этот этап лучше доверить специалисту. Попытка самостоятельно удалить кусок подозрительного кода часто приводит к тому, что сайт перестаёт работать, а бэкдор (потайной вход для хакера) остаётся на месте.

Шаг пятый — закрытие уязвимости. Это критически важный момент, который многие пропускают. Если вы просто откатили сайт из чистого бэкапа, но не устранили дыру, через которую вас взломали — через день или неделю всё повторится. Уязвимость может быть в старой версии движка, в кривом плагине, в слабом пароле администратора, в открытых правах на папки. Движок и все плагины нужно обновить до актуальных версий, лишние плагины удалить, права доступа на файлы привести в норму.

Шаг шестой — уведомление Яндекса. Когда сайт очищен и уязвимость закрыта, зайдите в Вебмастер и отправьте заявку на перепроверку безопасности. Если всё действительно исправлено, пометка об опасности исчезнет, а сайт начнёт возвращаться в поиск. Процесс восстановления позиций может занять от нескольких дней до нескольких недель — это зависит от серьёзности проблемы и того, как быстро вы среагировали.

Ошибки, ограничения и что учитывать на практике

Самая распространённая ошибка — откатить бэкап и считать, что проблема решена. Без закрытия уязвимости это просто временная пауза. Хакеры часто ставят бэкдоры в местах, которые не попадают в стандартные бэкапы, или прописывают их так, что они переживают восстановление. Через несколько дней после «лечения» сайт снова оказывается заражённым, иногда в ещё худшей форме.

Вторая ошибка — игнорировать предупреждения Яндекса. Владелец видит письмо из Вебмастера, думает «ну ладно, потом разберусь» и забывает. Через неделю позиции падают, пометка об опасности появляется в поиске, клиенты перестают звонить. Восстановить доверие поисковика после длительного игнорирования проблемы гораздо сложнее, чем отреагировать сразу.

Третья ошибка — думать, что ваш сайт «никому не нужен». Хакеры не выбирают цели вручную. Они используют ботов, которые сканируют интернет по известным уязвимостям. Если ваш сайт работает на устаревшей версии WordPress с открытым доступом к админке через логин admin — его найдут и взломают автоматически, независимо от того, продаете вы недвижимость в Москве или делаете ключи в районном центре.

Четвёртая ошибка — экономить на безопасности после взлома. Владелец просит знакомого программиста «быстро глянуть», тот удаляет видимый мусор, сайт вроде работает, и на этом всё заканчивается. Через месяц история повторяется. Профессиональная очистка и защита стоят денег, но эти деньги меньше, чем вы потеряете из-за отсутствия заявок в течение месяца простоя.

Что учитывать при ограниченном бюджете. Если денег на специалиста нет, минимальный набор действий такой: обновить движок и все плагины до последних версий, сменить все пароли на надёжные, удалить неиспользуемые плагины и темы, проверить файлы на наличие подозрительных вставок, настроить базовую защиту (ограничение попыток входа в админку, закрытие доступа к файлам конфигурации). Это не даёт стопроцентной гарантии, но закрывает большинство банальных векторов атаки.

Если после взлома позиции сайта сильно просели и не восстанавливаются в течение двух-трёх недель после очистки, скорее всего, проблема глубже, чем кажется. Возможно, часть мусорных страниц осталась в индексе, или Яндекс наложил фильтр, который требует отдельного разбора. В такой ситуации имеет смысл заказать комплексный аудит безопасности и SEO-аудит — они покажут, что именно ещё нужно исправить, чтобы сайт вернулся в нормальное состояние.