Site WordPress infectat: ce faci în primele ore

Descoperirea că un site a fost infectat vine, de obicei, într-un moment prost: un client îți spune că a fost redirecționat către o pagină ciudată, Google afișează un avertisment roșu în dreptul adresei tale sau hostingul îți scrie că ți-a suspendat contul. Prima reacție este panica, iar a doua este dorința de a șterge „tot ce pare suspect". Ambele reacții fac, de regulă, situația mai grea.

Un incident de securitate se gestionează cel mai bine ca o procedură: oprești răspândirea, aduni dovezi, găsești cauza, cureți, închizi poarta pe unde s-a intrat și abia apoi redeschizi. Mai jos ai pașii în ordine, cu explicații pe înțelesul oricui și cu exemple de ce trebuie verificat în fiecare etapă.

Semne că site-ul ar putea fi infectat

Nu orice problemă înseamnă infectare, dar mai multe dintre semnele următoare, apărute împreună, ar trebui luate în serios.

Semne vizibile pentru vizitatori

• Redirecționări către site-uri necunoscute, uneori doar de pe telefon sau doar pentru vizitatorii veniți din Google.
• Ferestre pop-up, reclame sau bannere pe care nu le-ai pus tu.
• Avertismente ale browserului sau ale motorului de căutare că site-ul „poate fi nesigur".
• Pagini noi pe site, cu texte despre produse sau servicii fără legătură cu activitatea ta, adesea în altă limbă.
• Titluri sau descrieri din Google care nu se potrivesc cu conținutul tău.

Semne vizibile doar administratorului

• Utilizatori noi de tip administrator pe care nu i-ai creat.
• Extensii sau teme instalate fără știrea ta.
• Fișiere modificate recent în foldere unde nu ar trebui să existe modificări, cum ar fi wp-includes sau wp-admin.
• Fișiere cu nume ciudate sau de aspect aleatoriu, mai ales în folderul de încărcări (uploads) sau în rădăcina site-ului.
• Încărcare neobișnuită a serverului sau trafic care crește fără o campanie.
• Emailuri trimise de site fără ca tu să fi trimis ceva (sau notificări de la hosting că trimiți spam).
• Imposibilitatea de a te autentifica, pentru că parola a fost schimbată.

Ce NU este neapărat semn de infectare

O pagină lentă, o eroare după o actualizare sau o redirecționare configurată de tine în urmă cu luni pot arăta ca o infectare. Verifică înainte să tragi concluzii: ultimele modificări făcute, jurnalul activității și mesajele de la hosting.

Primele ore: pașii în ordine

Pasul 1: respiră și notează ce vezi

Înainte să schimbi ceva, fă capturi de ecran și notează: ce ai observat, când, de unde ai aflat. Aceste informații te ajută mai târziu să descoperi cauza și, dacă e cazul, să le explici hostingului sau unui specialist.

Pasul 2: ia site-ul offline sau pune-l în mod de mentenanță

Dacă site-ul trimite vizitatorii către pagini periculoase sau distribuie cod rău intenționat, fiecare minut în care rămâne public poate afecta oameni și reputația ta. Poți activa o pagină de mentenanță, poți cere hostingului să suspende temporar accesul public sau poți restricționa accesul doar la adresa ta IP. Mesajul pentru vizitatori poate fi scurt și onest: „Facem lucrări de mentenanță, revenim în curând".

Pasul 3: fă o copie a stării actuale

Pare ciudat să salvezi un site infectat, dar ai nevoie de această copie ca dovadă și ca sursă pentru analiză. Păstrează-o separat, nu o restaura pe nimic și nu o încărca pe alt site. Ea nu înlocuiește un backup curat din trecut, pe care îl cauți în pasul următor.

Pasul 4: caută cel mai recent backup curat

Dacă ai backup-uri, identifică ultima versiune care a precedat primele semne. Dacă infecția este veche, copiile recente pot conține deja codul malițios. Ghidul despre planul de backup și recuperare după un atac detaliază cum alegi punctul de restaurare și cum verifici că este curat.

Pasul 5: schimbă toate accesurile

Schimbă parolele pentru: administratorii WordPress, contul de hosting, FTP/SFTP, baza de date, emailul asociat domeniului și contul de la registrar. Modifică și cheile de securitate din wp-config.php (există un generator oficial de chei la WordPress.org). Dacă folosești aceeași parolă în alte locuri, schimb-o și acolo. Un atacator care a intrat o dată poate avea deja parole, iar fără această schimbare va reveni.

Pasul 6: verifică utilizatorii și accesurile

În Utilizatori, caută conturi pe care nu le recunoști și roluri acordate neașteptat. Verifică și cheile de acces SSH sau conturile FTP din panoul de hosting, deoarece uneori atacatorii își lasă acolo o ușă lăturalnică.

Curățarea: cum procedezi cu cap

Există două drumuri: restaurarea dintr-un backup curat sau curățarea manuală a fișierelor. Cele mai sigure rezultate vin din combinarea lor.

Varianta A: restaurarea dintr-un backup curat

1. Restaurează fișierele și baza de date la versiunea curată.
2. Actualizează imediat WordPress, temele și extensiile la ultimele versiuni, deoarece vulnerabilitatea prin care s-a intrat probabil există încă în versiunea veche.
3. Schimbă parolele (dacă nu ai făcut-o deja) și verifică din nou utilizatorii.
4. Scanează site-ul pentru a te asigura că nu a rămas nimic.

Dezavantajul: pierzi conținutul adăugat după data backup-ului (comenzi, comentarii, articole). Poți încerca să-l recuperezi separat din baza de date infectată, cu mare grijă.

Varianta B: curățare manuală

Aceasta cere atenție și o oarecare experiență. Pașii generali:

1. Reinstalează nucleul WordPress. Descarcă o arhivă oficială și înlocuiește fișierele din wp-admin și wp-includes, păstrând wp-content și wp-config.php.
2. Reinstalează temele și extensiile din surse oficiale. Șterge integral fișierele vechi, nu doar suprascrie peste ele, pentru că fișierele adăugate de atacator ar rămâne.
3. Caută fișiere necunoscute în wp-content/uploads (acolo nu ar trebui să fie fișiere de tip PHP), în rădăcina site-ului și în foldere cu nume neobișnuite.
4. Verifică fișierele .htaccess și wp-config.php pentru reguli de redirecționare sau linii adăugate pe care nu le recunoști.
5. Inspectează baza de date: utilizatori suspecți, opțiuni care conțin cod, articole cu linkuri ascunse.
6. Verifică sarcinile programate (cron) și extensiile „must-use" din wp-content/mu-plugins, unde codul malițios se ascunde uneori.

Fă backup înainte de fiecare modificare majoră. Nu șterge ce nu înțelegi: un fișier legitim șters greșit poate bloca site-ul, iar un cod malițios șters parțial poate reapărea.

Când ceri ajutor specializat

Dacă site-ul este esențial pentru afacerea ta, dacă nu înțelegi ce ai găsit, dacă infecția revine după curățare sau dacă sunt implicate date ale clienților, apelează la un specialist sau la echipa de suport a hostingului. Unele instrumente de securitate pot oferi asistență la curățare, dar curățarea nu poate fi promisă ca automată și garantată; fiecare infecție este diferită.

După curățare: verificări înainte de redeschidere

• Rulează o scanare completă și compară fișierele nucleului cu versiunile oficiale.
• Testează site-ul din mai multe dispozitive și browsere, inclusiv de pe telefon, fără să fii autentificat.
• Verifică dacă încă există redirecționări sau pagini suplimentare, inclusiv cele care apar doar pentru vizitatorii din Google.
• Caută în Google adresa site-ului împreună cu cuvinte pe care nu le-ai scris tu, pentru a vedea dacă mai există pagini indexate de atacator.
• Dacă ai primit avertismente de la motoarele de căutare, folosește instrumentele oficiale ale acestora (de exemplu Google Search Console) pentru a solicita o reevaluare, după ce ai curățat. Termenele de răspuns variază și nu pot fi garantate.
• Urmărește jurnalul de acces și alertele în zilele următoare, pentru a observa încercări de reintrare.

Comunicarea cu cei afectați

Dacă site-ul a colectat date personale (formulare, conturi, comenzi) și există indicii că ele au fost expuse, pot exista obligații legale de notificare. Nu oferim sfaturi juridice, așa că discută cu responsabilul pentru protecția datelor din firma ta sau cu un consultant specializat și verifică ghidurile autorității naționale de supraveghere. În toate cazurile, o comunicare scurtă, onestă și fără panică, către clienți și parteneri, este mai bine primită decât tăcerea. Spune ce s-a întâmplat, ce ai făcut și ce ar trebui să facă ei (de exemplu să-și schimbe parola dacă au cont pe site).

Prevenire: ce schimbi ca să nu se repete

Un incident este și o lecție. După ce lucrurile s-au liniștit, parcurge:

1. Cauza: cum au intrat? O extensie veche, o parolă slabă, un cont de hosting compromis?
2. Actualizările: automatizează-le acolo unde se poate și notează o verificare săptămânală.
3. Accesurile: 2FA, parole unice, conturi cu drepturi minime.
4. Straturile de protecție: firewall de aplicație (cum funcționează), limitarea încercărilor de login, scanare regulată, monitorizarea fișierelor.
5. Backup-urile: programate, externe și testate.
6. Alertele: notificări pe email la modificări de fișiere și autentificări suspecte.

Greșeli frecvente

• Ștergerea fișierelor la întâmplare. Poți strica site-ul fără să elimini cauza.
• Curățarea fără a schimba parolele. Atacatorul poate reveni cu aceleași date.
• Restaurarea unui backup deja infectat. Verifică data și scanează înainte de a pune site-ul online.
• Actualizarea tuturor componentelor fără o copie de siguranță. Dacă ceva se strică în timpul actualizării, nu mai ai ce restaura.
• Ignorarea vulnerabilității de origine. Dacă doar cureți efectele, același drum rămâne deschis.
• Neanunțarea hostingului. Furnizorul poate avea jurnale utile și poate filtra traficul rău intenționat.
• Considerarea problemei rezolvate după prima curățare. Monitorizează site-ul cel puțin câteva săptămâni.

Întrebări frecvente

Cum știu sigur că site-ul meu e infectat?

Cel mai sigur este să combini mai multe surse: o scanare a fișierelor, verificarea conturilor de utilizator, jurnalele serverului și mesajele de la motoarele de căutare sau de la hosting. Un singur semn, luat izolat, poate avea o cauză nevinovată.

Pot curăța singur un site infectat?

Uneori da, mai ales când ai un backup curat și știi cauza. Când infecția este întinsă, revine sau implică date personale, este mai prudent să ceri ajutorul unui specialist.

Cât durează să dispară avertismentul din Google?

Nu există un termen garantat. După curățare, ceri reevaluarea prin instrumentele oficiale, iar răspunsul depinde de motorul de căutare. Până atunci, verifică din nou că nu au rămas pagini sau coduri suspecte.

Ce fac dacă infecția reapare după curățare?

Cel mai probabil a rămas o ușă lăturalnică (un fișier ascuns, un cont de utilizator, o sarcină programată) sau vulnerabilitatea de origine nu a fost închisă. Reia verificarea fișierelor, a utilizatorilor și a accesurilor și actualizează tot ce este vechi.

Cum te ajută Leono Security

Leono Security este conceput să detecteze și să alerteze: scanarea de malware și monitorizarea integrității fișierelor semnalează modificările suspecte, iar alertele pe email te anunță devreme, nu după ce au apărut consecințele. Curățarea rămâne asistată, nu automată și garantată. Vezi mai multe despre scanarea de malware pentru WordPress și despre produsul în ansamblu.

Concluzie

Un site infectat nu este sfârșitul lumii, dar cere un răspuns metodic. Oprești răspândirea, păstrezi dovezile, schimbi accesurile, restaurezi sau cureți cu grijă, închizi vulnerabilitatea de origine și monitorizezi după aceea. Cu un backup curat, conturi protejate prin 2FA și alerte care te anunță devreme, cele mai multe incidente se rezolvă în ore, nu în zile. Păstrează acest ghid la îndemână sau tipărește-l: în ziua în care vei avea nevoie de el, vei fi bucuros că nu trebuie să improvizezi.