Feltörték a WordPress oldalam: mi az első 5 lépés?

Az első dolgod nem a takarítás, hanem a határok kijelölése. Kapcsold az oldalt karbantartó módba, vagy ha ehhez már nincs admin-hozzáférésed, kérd meg a tárhely ügyfélszolgálatát, hogy ideiglenesen tiltsa le a webhelyet. A legtöbb magyar tárhely-support ebben rutinos, és sokszor ők látják először, mely fájlok fertőzöttek.

Amíg az oldal élesben fut, a kártékony kód dolgozik: spamet küld a nevedben, átirányítja a látogatóidat, adatot gyűjt az űrlapjaidból. Minden élesben töltött óra mélyíti a bajt, mert a levelezőszervered feketelistára kerülhet, a Google pedig figyelmeztetést tehet a találatod mellé. Ne a látogatók szeme láttára takaríts.

A támadó valahogy bejutott, és amíg az összes kulcsot le nem cseréled, vissza is tud jönni. A jelszócsere ezért nem az admin fiókkal kezdődik, és nem is ott ér véget. Sorban haladva ezeket cseréld le:

• az összes WordPress-felhasználó jelszavát, nem csak a sajátodat,
• az FTP- és SFTP-hozzáféréseket,
• az adatbázis jelszavát (a wp-config.php-ban is átírva),
• a tárhely vezérlőpultjának belépőjét,
• és azt az e-mail-fiókot, amire az admin regisztrálva van.

Az utolsót sokan kihagyják, pedig egy megszerzett e-mail-fiókkal bármelyik jelszó visszaállítható. A wp-config.php-ban találsz titkosító kulcsokat (salt) is: ha ezeket újragenerálod, minden aktív munkamenet érvénytelenné válik, vagyis a támadó nyitva felejtett böngészőfüle is kirepül. Ha már itt tartasz, kapcsolj be kétfaktoros hitelesítést (2FA) legalább az admin fiókokra. Láttam már olyat, hogy az újrafertőzést nem hátsó ajtó okozta, hanem az, hogy a régi jelszó egy másik, kiszivárgott szolgáltatásban is ugyanaz volt.

Tudom, hogy a zsigeri reakció a törlés. Mégis, mielőtt bármit felülírsz, készíts teljes másolatot a fertőzött állapotról: a fájlokról, az adatbázisról, és ha eléred, a szerver hozzáférési naplóiról (access log) is. Ez nem gyűjtögetés, hanem nyomrögzítés.

A naplókból derül ki, melyik URL-en és melyik bővítményen keresztül jött a támadás, és mikor kezdődött. E nélkül a helyreállítás vakrepülés: visszaállítod az oldalt, de a rést nem zárod be, és pár hét múlva kezdheted elölről. Gyakran látom, hogy a második feltörés nem új támadás, hanem ugyanaz a nyitva hagyott ajtó.

Két út van, és a választás azon múlik, van-e igazoltan tiszta mentésed. Ha van a fertőzés előtti időből származó biztonsági mentésed, az a gyorsabb és biztosabb út: állítsd vissza, közvetlenül utána frissíts mindent (WordPress-alaprendszer, bővítmények, sablon), és töröld, amit nem használsz. Egy kikapcsolt, de fent hagyott bővítmény ugyanúgy támadható, mint egy aktív.

Ha nincs tiszta mentés, marad a fertőzésirtás, és ez már nehezebb terep. A kártékony kód ritkán egyetlen fájlban ül: hátsó ajtók (backdoor) bújnak meg a feltöltések mappájában, a sablonfájlokban, néha magában az adatbázisban. A biztonsági bővítmények sokat kiszűrnek, a kézzel elrejtett kódot viszont gyakran nem.

Ökölszabályom: ha a fertőzés másodszor is visszajön, ha webshopod van vásárlói adatokkal, vagy ha az oldal a fő bevételi csatornád, ne kísérletezz tovább egyedül. Ilyenkor írj nekem, és megnézzük, mi a leggyorsabb kiút; egy mélyreható technikai átvilágítás WordPress-oldalnál nettó 34 990 Ft, és pontosan megmutatja, hol a rés. És egy kevésbé kellemes teendő: ha a feltörés személyes adatokat érinthetett (webshopnál ez szinte borítékolható), a GDPR szerint 72 órán belül bejelentési kötelezettséged lehet a hatóság felé.

A kérdés ilyenkor jogos, és a legtöbb helyen nem kapsz rá választ, csak „egyedi árajánlatot”. Nálam a hibajavítás kisebb hibáknál 19 990 Ft-tól indul, fix áron, amit a felmérés után előre megmondok. Egy feltört oldal mentesítése ennél jellemzően nagyobb munka, mert a betörési pontot is meg kell találni, különben jövő héten kezdheted elölről: erre a felmérés után kapsz fix ajánlatot, meglepetés nélkül. Ha pedig a helyreállítás után karbantartásra bízod az oldalt, a következő feltörésig vezető utat zárjuk le: frissítések, mentések, monitoring, havi 10 000 Ft-tól.

A visszaállított oldal még nem lezárt ügy. Nézd át a Search Console-t: ha a Google biztonsági problémát jelzett, ott kérhetsz felülvizsgálatot, hogy a figyelmeztetés lekerüljön a találatod mellől. Ellenőrizd a domain állapotát a nagyobb feketelistákon, menj végig a WordPress-felhasználókon (az ismeretlen admin fiók a leggyakoribb hátrahagyott ajándék), és nézd meg az ütemezett feladatokat (cron) is, mert oda szívesen rejtenek időzített újrafertőzést.

Aztán jön a rész, amit a legtöbben kihagynak: a tanulság beépítése. A feltörések döntő többsége három dolog valamelyikén múlik. Elmaradt a frissítés, nem volt használható mentés, vagy senki nem figyelte az oldalt. Nálam pontosan ezt fedi le a havidíjas karbantartás: frissítések, tesztelt mentések és monitoring, moduláris felépítésben, nettó 10 000 Ft/hó-tól. A vállalt reakcióidő a választott szinttől függően 72 órától 8 óráig terjed (az utóbbi munkaidőben, 8 és 18 óra között értendő), hétvégi lefedettség pedig kiegészítőként kérhető.

Ha pedig most nem ég a ház, csak elbizonytalanodtál, hogy nálad mekkora lenne a baj, az ingyenes technikai átvilágítás pár perc alatt képet ad az oldalad állapotáról. Jobb ezt egy nyugodt kedd délelőttön megtudni, mint egy feltörés utáni éjszakán.

A feltörések nagy részét nem zseniális hackerek követik el, hanem botok, amelyek elavult bővítményt találtak. Aki rendszeresen frissít, tesztelt mentést tart és figyeli az oldalát, az a támadási hullámok többségét észre sem veszi.