Site WordPress spart: cum îți dai seama și ce faci primul

Un site WordPress spart înseamnă că cineva a obținut acces neautorizat și a modificat fișiere, baza de date sau conturi, de obicei ca să trimită vizitatorii spre spam sau malware. Vestea bună: dacă păstrezi o copie a stării actuale și schimbi toate accesele înainte să cureți, ai șanse mult mai mari să recuperezi site-ul fără să pierzi conținutul.

Mai jos ai semnele după care îți dai seama, ordinea pașilor din primele ore, curățarea pe scurt (după documentația oficială WordPress), cererea de revizuire la Google, obligațiile GDPR și ce faci ca să nu se repete.

Cum îți dai seama că ai un site WordPress spart?

Documentația WordPress numește aceste semne „indicatori de compromitere”. Printre cei pe care îi enumeră: site-ul apare pe listele negre ale Google sau Bing, firma de hosting a dezactivat site-ul, site-ul e semnalat pentru distribuire de malware, vizitatorii se plâng că antivirusul lor blochează pagina, cineva te anunță că site-ul tău atacă alte site-uri, apar acțiuni pe care nu le-ai autorizat (de exemplu utilizatori noi) sau vezi pur și simplu modificări când deschizi site-ul.

Un lucru de știut: Google afișează avertismentele în funcție de context, așa că s-ar putea să nu le vezi tu, deși le văd alții. Google recomandă să te bazezi pe raportul „Probleme de securitate” din Search Console, nu pe ce vezi în browserul tău.

Ce faci în primele ore, în ordine?

Reflexul obișnuit este să ștergi tot ce pare suspect sau să reinstalezi totul. Nu începe așa: poți pierde atât conținutul bun, cât și urmele care arată pe unde a intrat atacatorul. Documentația WordPress recomandă să rămâi calm, să documentezi și abia apoi să cureți. Ordinea pe care ți-o propunem:

1. Notează ce vezi. Ce te-a făcut să crezi că site-ul e spart, când ai observat (cu ora), ce s-a schimbat recent: un plugin nou, o temă modificată, un cont nou. Fă capturi de ecran. Asta devine raportul de incident, util și pentru cine te ajută, și pentru GDPR.
2. Fă o copie a stării actuale (fișiere și bază de date), chiar dacă e infectată, și păstreaz-o separat de server. WordPress recomandă această copie înainte de curățare: dacă ceva iese prost, ai de unde reveni și ai la ce să te uiți. Verifică și ce backup-uri vechi are firma de hosting.
3. Anunță firma de hosting. Pe un hosting partajat atacul poate afecta mai mult decât site-ul tău, iar firma de hosting îți poate confirma dacă e un atac sau doar o problemă de serviciu.
4. Scanează calculatorul de pe care lucrezi. WordPress avertizează că, în multe cazuri, atacul pornește de pe calculatorul proprietarului, unde un troian fură parolele de FTP sau de wp-admin. Fă o scanare antivirus completă, dacă se poate și cu un al doilea antivirus. Dacă schimbi parolele de pe un calculator infectat, atacatorul le poate afla din nou.
5. Schimbă toate parolele, de pe un dispozitiv despre care știi că e curat, nu doar pe cea de WordPress: FTP/SFTP, panoul de hosting, baza de date (MySQL) și contul de e-mail legat de site. Folosește parole lungi, complexe și unice, generate cu un manager de parole. Dacă schimbi parola bazei de date, o actualizezi imediat și în wp-config.php, altfel site-ul nu se mai poate conecta la bază.
6. Verifică utilizatorii. Uită-te în WordPress → Utilizatori după conturi pe care nu le recunoști, mai ales administratori. Notează-le (nume, e-mail, data) înainte să le ștergi. WordPress recomandă și resetarea parolei pentru toți utilizatorii, în special administratorii.
7. Deconectează pe toată lumea. Documentația WordPress explică faptul că înlocuirea cheilor secrete din wp-config.php cu un set nou (generat cu generatorul oficial WordPress) îi scoate din cont pe toți cei logați în acel moment.
8. Oprește temporar accesul vizitatorilor, dacă site-ul îi redirecționează spre spam sau malware: o pagină de mentenanță sau dezactivarea temporară din panoul de hosting îi protejează cât timp cureți.

Copia de la pasul 2 e plasa ta de siguranță pentru tot ce urmează: nu modifica wp-config.php și nu înlocui fișiere înainte s-o ai, păstrată în afara serverului.

Cum se curăță un site WordPress spart?

Curățarea e partea cea mai grea și depinde de tipul de atac. Google spune direct că repararea unei infecții cu malware cere capacitatea de a citi și înțelege cod și, uneori, configurația serverului. Dacă nu te simți confortabil cu asta, e momentul să ceri ajutor. Pe scurt, pașii din documentația oficială WordPress:

1. Scanează site-ul atât cu un plugin de securitate (scanare la nivel de aplicație), cât și cu un scaner extern. WordPress spune că nicio metodă nu e suficientă singură, dar împreună cresc șansele să găsești tot.
2. Înlocuiește nucleul WordPress. Directoarele /wp-admin și /wp-includes se pot înlocui cu aceeași versiune de WordPress descărcată de pe wordpress.org, prin SFTP, nu prin butonul de reinstalare din panou (acesta suprascrie adesea doar fișierele existente, iar atacurile adaugă des fișiere noi). Folosește exact versiunea pe care o rulează site-ul; altă versiune îl poate strica.
3. Verifică atent wp-content: tema și pluginurile. Reinstalează-le din surse oficiale, nu din arhive găsite pe internet.
4. Verifică fișierele modificate des de atacatori: .htaccess (poate exista în mai multe directoare), index.php și fișierele temei, precum header.php și footer.php, care se încarcă pe fiecare pagină.
5. Actualizează tot la ultima versiune după ce site-ul e curat. WordPress notează că versiunile vechi sunt mai expuse.
6. Schimbă parolele încă o dată, după curățare, inclusiv, dacă se poate, utilizatorul și parola bazei de date (le actualizezi apoi în wp-config.php).
7. Află pe unde a intrat atacatorul (pluginul vulnerabil, parola furată, contul FTP). Google avertizează că, dacă nu repari problema care a permis atacul, site-ul va fi probabil infectat din nou.

Dacă ai un backup curat, din înainte de atac, restaurarea lui poate fi calea mai scurtă. Atenție doar la două lucruri: restaurezi și golul de securitate care a permis atacul (deci actualizezi imediat și schimbi parolele), iar conținutul adăugat între data backup-ului și azi se pierde.

Cum scoți avertismentul Google după curățare?

Avertismentul „This site may be hacked” nu dispare singur. Google spune că îl elimină abia după ce proprietarul ia măsuri și cere o revizuire. Pașii, după paginile de ajutor Google:

1. Înregistrează și verifică site-ul în Google Search Console, dacă nu ai făcut-o deja.
2. Deschide raportul „Probleme de securitate” (Security issues). Acolo vezi tipul problemei (conținut spart, malware și software nedorit sau inginerie socială), data la care a fost detectată și exemple de pagini afectate. Lista de exemple nu e neapărat completă.
3. Repară problema pe tot site-ul, nu doar pe paginile din exemple. Google spune explicit că o reparație parțială nu aduce o revenire parțială în rezultate. Dacă raportul arată mai multe probleme, le repari pe toate.
4. Când totul e reparat și testat, apasă „Request Review” (solicitarea revizuirii) în același raport și descrie: ce problemă a fost, ce ai făcut ca s-o repari și ce rezultat ai obținut.
5. Aștepți răspunsul pe e-mail. Pentru problemele din acest raport, Google indică o durată de la câteva zile la câteva săptămâni. Nu retrimite cererea până nu primești o decizie: o cerere trimisă înainte ca problema să fie rezolvată poate lungi următoarea revizuire.

Trebuie să anunți ANSPDCP dacă site-ul a fost spart?

Depinde dacă au fost afectate date personale. Un site de prezentare fără formulare și fără conturi poate să nu stocheze date personale; un magazin online cu conturi de clienți, comenzi și adrese aproape sigur stochează. Dacă atacatorul a avut acces la astfel de date, vorbim de o încălcare a securității datelor cu caracter personal.

Regulamentul (UE) 2016/679 (GDPR), art. 33, spune că operatorul notifică autoritatea de supraveghere „fără întârzieri nejustificate și, dacă este posibil, în termen de cel mult 72 de ore” de la momentul în care a aflat de încălcare. Excepția: cazul în care este puțin probabil ca încălcarea să genereze un risc pentru drepturile și libertățile persoanelor. Dacă notificarea vine după 72 de ore, trebuie însoțită de o explicație motivată pentru întârziere. În România, autoritatea este ANSPDCP, care are un formular tipizat de notificare și permite depunerea online.

Alte două obligații din același regulament:

• Documentezi orice incident, chiar și pe cele pe care nu trebuie să le notifici: ce s-a întâmplat, efectele și ce ai făcut ca să remediezi (art. 33 alin. (5)). Notițele de la pasul 1 de mai sus sunt un început bun.
• Anunți persoanele afectate fără întârzieri nejustificate, dacă încălcarea poate genera un risc ridicat pentru ele (art. 34), cu excepțiile prevăzute acolo (de exemplu, datele erau criptate).

Evaluarea riscului ține de situația concretă. Dacă nu ești sigur, discută cu responsabilul cu protecția datelor sau cu un consultant GDPR, iar termenul de 72 de ore curge cât timp evaluezi.

Cum previi un nou atac?

Recomandările din ghidul oficial WordPress de securizare („Hardening WordPress”) se rezumă la câteva obiceiuri:

• Actualizări la zi pentru WordPress, teme și pluginuri. WordPress precizează că versiunile vechi de WordPress nu mai primesc actualizări de securitate.
• Pluginurile nefolosite se șterg, nu doar se dezactivează. La fel are sens și pentru temele pe care nu le folosești.
• Parole puternice și autentificare în doi pași pentru toți cei care au acces, plus SFTP în loc de FTP.
• Acces minim necesar. Fiecare utilizator primește doar rolul de care are nevoie (un redactor nu are nevoie de cont de administrator), iar conturile foștilor colaboratori se închid.
• Editorul de fișiere din panou dezactivat. WordPress spune că e adesea primul instrument folosit de un atacator care a reușit să se logheze; se dezactivează cu define( 'DISALLOW_FILE_EDIT', true ); în wp-config.php.
• Backup-uri regulate, păstrate într-un loc de încredere, separat de server. Documentația WordPress dă exemplul unui site compromis pe 1 mai și descoperit pe 12 mai: cu copii periodice ai și o versiune dinainte de atac. Verifică din când în când că backup-ul chiar se poate restaura.
• Monitorizare, ca să afli de problemă de la un sistem de alertă, nu de la un client.

Pe toate acestea le detaliem în ghidul despre ce include mentenanța unui site.

Cum te putem ajuta?

Prin mentenanța website ne ocupăm de update-uri de platformă și module, backup zilnic, monitorizare 24/7 și rezolvarea bug-urilor. Mentenanța flexibilă costă 80 €/oră și plătești doar cât folosești; pachetele preplătite scad prețul pe oră: Mentenanță 10 (10 ore, 750 €, valabil o lună) și Mentenanță 150 (150 de ore, 9.900 €). Prețurile nu includ TVA. La pachetele preplătite urgențele se tratează în aceeași zi, iar numărul pentru urgențe e pe pagina de mentenanță.

Curățarea unui site deja spart nu are un preț fix: o stabilim în ofertă, după ce vedem ce s-a întâmplat. Dacă vrei să știi unde stă site-ul acum, auditul tehnic e gratuit și verifică versiunile, vulnerabilitățile, backup-ul și viteza. Iar dacă te gândești să muți site-ul, pachetele noastre de găzduire web au firewall și antimalware, backup zilnic și monitorizare 24/7; mentenanța site-ului rămâne un serviciu separat.