Website bị hack: dấu hiệu nhận biết và các bước xử lý theo thứ tự
Nếu nghi ngờ website bị hack, đừng vội xóa lung tung. Làm theo thứ tự: khoanh vùng, sao lưu hiện trạng, làm sạch, vá lỗ hổng, rồi mới yêu cầu Google xem xét lại. Hoảng loạn sửa ngẫu nhiên thường làm mất bằng chứng và để lại cửa hậu cho kẻ tấn công quay lại. Bài này giúp bạn nhận ra dấu hiệu và biết việc cần làm, kể cả khi không rành kỹ thuật.
Dấu hiệu website có thể đã bị hack
- Tự chuyển hướng sang trang lạ khi mở từ điện thoại hoặc từ kết quả Google, nhưng mở trực tiếp lại bình thường.
- Kết quả tìm kiếm hiển thị tiêu đề lạ (nội dung thuốc, cờ bạc, hàng giả, tiếng nước ngoài) cho trang của bạn.
- Trình duyệt hoặc Google cảnh báo website nguy hiểm hay lừa đảo.
- Xuất hiện tài khoản quản trị bạn không tạo, hoặc bài viết, trang, tệp bạn không đăng.
- Máy chủ báo vượt tài nguyên hoặc tạm khóa, vì website đang gửi thư rác hay tấn công nơi khác.
- Email của bạn bị gửi vào thư rác hoặc người nhận báo nhận thư lạ từ tên miền của bạn.
- Website chậm đột ngột hoặc không đăng nhập được.
- Nhận thông báo về vấn đề bảo mật trong Search Console (mục Vấn đề bảo mật).
Một dấu hiệu đơn lẻ có thể do lỗi khác (plugin xung đột, máy chủ quá tải). Nhiều dấu hiệu cùng lúc hoặc có cảnh báo từ Google thì cần coi là nghiêm trọng.
Các bước xử lý theo thứ tự
Bước 1: Giữ bình tĩnh và khoanh vùng
Báo ngay cho đơn vị quản lý máy chủ hoặc người chăm sóc website. Nếu website đang gây hại cho khách (chuyển hướng lừa đảo, tải mã độc), cân nhắc bật chế độ bảo trì hoặc tạm ngưng để bảo vệ khách trong lúc xử lý.
Bước 2: Sao lưu hiện trạng, kể cả khi đã bị nhiễm
Tạo bản sao toàn bộ tệp và cơ sở dữ liệu hiện tại, cất riêng, để phân tích nguyên nhân sau này. Đừng ghi đè lên bản sao lưu sạch đang có. Xem sao lưu website theo quy tắc 3-2-1.
Bước 3: Đổi mọi mật khẩu và khóa truy cập
Đổi mật khẩu quản trị website, máy chủ, cơ sở dữ liệu, FTP/SSH, email gắn với tài khoản, và mọi nơi dùng chung mật khẩu. Xóa tài khoản quản trị lạ. Bật xác thực hai bước cho tài khoản quản trị. Làm việc này từ một thiết bị đáng tin cậy, không phải máy nghi nhiễm virus.
Bước 4: Xác định mức độ nhiễm
- Chạy quét mã độc bằng công cụ bảo mật đáng tin cậy hoặc dịch vụ của nhà cung cấp máy chủ.
- So sánh tệp hệ thống với bản gốc sạch của chính hệ thống và các plugin.
- Kiểm tra tệp mới tạo gần đây, tệp lạ trong thư mục tải lên, các tài khoản quản trị lạ, các tác vụ định kỳ lạ.
Bước 5: Làm sạch hoặc khôi phục
Có hai hướng:
- Khôi phục từ bản sao lưu sạch gần nhất (ngày trước thời điểm bị nhiễm), rồi cập nhật ngay mọi thứ. Nhanh và đáng tin nhất nếu bạn có bản sao lưu tốt.
- Làm sạch thủ công: thay lại toàn bộ hệ thống, giao diện, plugin bằng bản gốc mới tải từ nguồn chính thức, xóa mã lạ trong tệp tùy chỉnh và cơ sở dữ liệu. Việc này nên giao người có chuyên môn.
Không dùng giao diện, plugin bẻ khóa; đây là nguồn lây nhiễm phổ biến.
Bước 6: Vá lỗ hổng đã cho phép tấn công
Làm sạch mà không biết kẻ tấn công vào bằng cách nào thì thường bị nhiễm lại. Các nguyên nhân hay gặp là plugin hay giao diện lỗi thời, mật khẩu yếu hoặc bị lộ, tài khoản người dùng quá nhiều quyền, và máy chủ cấu hình kém. Cập nhật mọi thứ; xem cập nhật WordPress, plugin, giao diện mà không sập web. Gỡ plugin, giao diện không dùng.
Bước 7: Kiểm tra website đã sạch
Mở website trên nhiều thiết bị, kể cả từ kết quả tìm kiếm Google; xem có còn chuyển hướng lạ, nội dung lạ không. Kiểm tra trang chủ và một số địa chỉ từng bị nhiễm bằng công cụ kiểm tra địa chỉ trong Search Console, và bảo đảm Googlebot truy cập được, không bị chặn.
Bước 8: Yêu cầu Google xem xét lại (nếu bị cảnh báo)
Nếu Search Console báo vấn đề bảo mật, sau khi đã làm sạch hoàn toàn, vào mục Vấn đề bảo mật và chọn yêu cầu xem xét lại, giải thích bạn đã làm sạch từng loại nội dung bị hack như thế nào. Theo hướng dẫn của Google, thời gian xem xét khác nhau: với nội dung spam do bị hack có thể lên đến vài tuần, với mã độc thường vài ngày, với lừa đảo khoảng một ngày. Nếu được chấp thuận, cảnh báo thường biến mất trong vòng 72 giờ.
Việc cần làm sau sự cố
- Ghi lại diễn biến: khi nào phát hiện, đã làm gì, nguyên nhân.
- Thông báo cho khách nếu dữ liệu của họ có nguy cơ bị lộ (biểu mẫu, đơn hàng). Hỏi ý kiến người có chuyên môn pháp lý nếu website thu thập dữ liệu cá nhân.
- Thiết lập sao lưu tự động, theo dõi bảo mật và cập nhật định kỳ.
- Giới hạn quyền quản trị: mỗi người một tài khoản, chỉ cấp quyền cần thiết.
Phòng ngừa: năm thói quen đơn giản
- Cập nhật hệ thống, giao diện, plugin đều đặn.
- Dùng mật khẩu dài, riêng cho từng nơi, kèm xác thực hai bước.
- Chỉ cài plugin từ nguồn chính thức, gỡ cái không dùng.
- Sao lưu tự động, lưu bản sao ở nơi tách biệt và thử khôi phục.
- Có người chịu trách nhiệm theo dõi website hằng tháng. Xem checklist chăm sóc website hằng tháng.
Câu hỏi thường gặp
Website bị hack thì Google có phạt không?
Google có thể hiển thị cảnh báo hoặc loại trang bị ảnh hưởng khỏi kết quả cho đến khi bạn làm sạch và được xem xét lại. Làm sạch nhanh và đúng cách là cách duy nhất để hồi phục.
Tôi nên tự xử lý hay thuê người?
Nếu không rành kỹ thuật, nên nhờ người chuyên môn, đặc biệt khi website có dữ liệu khách hàng. Tự xử lý sai có thể làm nhiễm lại.
Làm sao biết đã sạch hoàn toàn?
Không có cách chắc chắn 100% bằng mắt thường. Cách tốt nhất là dựng lại từ nguồn chính thức, đổi mọi mật khẩu và theo dõi trong vài tuần.
Nguồn tham khảo
- Request a review, web.dev (thời gian xem xét và cách yêu cầu)
- Malware and unwanted software, Google Search Central (báo cáo Vấn đề bảo mật)
Với website do Bác Sĩ Web thiết kế, bảo trì kỹ thuật, cập nhật và bảo mật kỹ thuật nằm trong phí theo năm; xem bảng giá hoặc liên hệ.