Если взломали сайт, порядок такой: сначала сохранить следы, затем вычистить заражение, затем закрыть вход. Мы удаляем вредоносный код и веб-шеллы, выясняем, как злоумышленник попал на сервер, меняем все доступы, проверяем бэкап реальным восстановлением и запрашиваем у Google снятие предупреждения. На руках у вас остаётся чистый сайт и письменный отчёт об инциденте.

Признаки того, что сайт взломан

Злоумышленник обычно прячет изменения, чтобы пользоваться сайтом как можно дольше. Поэтому о взломе часто узнают от третьих лиц: от Google, хостера или клиентов.

Типичные признаки:

  • в выдаче Google рядом с сайтом появилась пометка «Возможно, этот сайт взломан», браузер показывает красную страницу;
  • посетителей с телефона перебрасывает на чужие сайты, хотя с компьютера всё выглядит нормально;
  • в Search Console появились тысячи новых страниц на чужих языках;
  • в CMS есть администратор, которого никто не создавал;
  • хостер заблокировал аккаунт за рассылку спама или нагрузку на сервер;
  • письма компании начали попадать в спам, домен оказался в чёрных списках.

Первые часы: что оставить как есть и кому звонить

В первые часы главное — сохранить следы. Копия заражённого состояния остаётся единственным способом найти уязвимость, через которую зашли.

До нашего подключения файлы, база и журналы сервера остаются нетронутыми. Откат на старую копию поверх живого сайта или переустановка CMS уничтожают как раз те следы, которые нам нужны. Выкуп вымогателям платить не стоит. Пароли от панели хостинга и админки смените с устройства, которое не пострадало.

Кого известить: хостера; ответственного за персональные данные, если на сервере хранятся данные клиентов; страховую компанию, если в полисе есть киберриски; полицию; и нас.

Уведомления после взлома: сроки и адресаты

Нужно ли уведомлять регулятора, зависит от того, какие данные были на сервере и где живут ваши клиенты. Для компаний, работающих с клиентами из ЕС и Великобритании, действуют правила GDPR и UK GDPR.

Обязанность Срок Кого касается Источник
Уведомление надзорного органа ЕС без неоправданной задержки, по возможности 72 часа контролёр при утечке персональных данных, кроме случаев с маловероятным риском статья 33(1) GDPR
Внутренний учёт инцидента всегда любой контролёр, даже если уведомление не требуется статья 33(5) GDPR
Сообщение пострадавшим людям без неоправданной задержки при вероятном высоком риске для их прав и свобод статья 34(1) GDPR
Уведомление ICO (Великобритания) по возможности 72 часа организации с утечкой, если риск для людей вероятен ICO
Заявление в полицию как можно раньше пострадавшая компания ZAC (Германия), IC3 (США)

Уведомления подаёт ваша компания. Мы передаём для них хронологию из журналов сервера и список данных, к которым злоумышленник имел доступ.

Как мы восстанавливаем сайт после взлома

Мы возвращаем сайт в проверяемо чистое состояние и закрываем путь, которым воспользовался злоумышленник. Пока причина не устранена, тот же путь открыт для повторного взлома.

Работа идёт в таком порядке:

  1. Сохранить. Полная копия файлов, базы данных и журналов сервера до любых изменений.
  2. Ограничить ущерб. Режим обслуживания или блокировка вредоносных адресов, смотря что меньше мешает бизнесу.
  3. Сверить с оригиналами. Файлы ядра, плагинов и тем сравниваются с оригиналами разработчика; каждый изменённый или лишний файл попадает в список.
  4. Удалить вирус с сайта. Веб-шеллы, чужие учётные записи, задания по расписанию, внедрённый в базу код, спам-страницы и редиректы.
  5. Найти точку входа. Разбор журналов веб-сервера и входов, дат изменения файлов, устаревших компонентов и прав доступа.
  6. Сменить секреты. Пароли, API-ключи, соли и SSH-ключи, которые мог прочитать злоумышленник.
  7. Проверить восстановление. Чистая копия разворачивается на отдельной площадке, чтобы доказать, что она рабочая.

Взломали сайт на WordPress: частые причины

Частые причины взлома WordPress — устаревшие плагины и темы, повторно используемые пароли и открытая админка без двухфакторного входа. В OWASP Top 10:2025 эти причины относятся к категориям Software Supply Chain Failures, Authentication Failures и Security Misconfiguration.

После лечения сайта на WordPress мы удаляем заброшенные плагины, отключаем редактор файлов в панели управления, включаем двухфакторный вход для всех администраторов и выставляем права так, чтобы веб-сервер мог писать только в нужные папки. Подробнее об этой работе — на странице защита сайта на WordPress.

Предупреждение Google и запрос проверки

Предупреждение в выдаче и браузере остаётся, пока владелец не запросит проверку в Search Console и Google не признает сайт чистым. По данным Google, проверка занимает от нескольких дней до нескольких недель.

Google требует устранить проблему на всех страницах и описать в запросе проблему, принятые меры и результат. Слишком ранний запрос задерживает следующую проверку, а по словам Google, может привести к тому, что сайт отметят как повторного нарушителя. Поэтому мы отправляем запрос после своей финальной проверки и следим за ответом.

Что вы получаете

Работа заканчивается чистым сайтом и документом, который можно показать руководству, страховщику или регулятору.

  • Вычищенный рабочий сайт и сервер с закрытой точкой входа.
  • Новые пароли и ключи, переданные по согласованному каналу.
  • Резервная копия, проверенная восстановлением, с датой и составом.
  • Отчёт: как зашли, что затронуто, что сделано, что исправить дальше.
  • Запрос проверки в Google, если было предупреждение, и его результат.

Что нужно от вас

Нужны доступы и один человек, который принимает решения. Конкретно: доступ к хостингу или серверу, администратор в CMS, доступ к Search Console, имеющиеся резервные копии и подписанное письмо о рамках работ (scope letter), где перечислено, какие системы мы трогаем, а какие остаются вне работ.

Границы услуги

Мы чистим, расследуем и укрепляем. Уведомления регулятору, заявление в полицию и сообщения клиентам подаёт ваша компания. Юридическую оценку ответственности даёт ваш юрист. Мы не государственный орган и не следователи, и никто не может обещать, что сайт больше никогда не атакуют. Если сайт работает на конструкторе без доступа к серверу, работа ограничивается учётными записями, скриптами, интеграциями и DNS; это фиксируется в письме о рамках работ.

Чем рискованно лечить сайт плагином, по советам чат-бота или срочным подрядчиком

Быстрая чистка часто убирает видимый симптом и оставляет бэкдор. Обычные последствия: восстановленная копия уже содержала вирус, удалённые журналы скрыли точку входа, пароли меняли на заражённом компьютере.

Плагин-антивирус работает изнутри взломанной установки и плохо видит код вне CMS. Чат-бот не видит ваших журналов. Подрядчик без письменных рамок обычно не отвечает за то, что случится после его работы. Мы работаем по договору с фиксированным объёмом, каждую находку проверяет человек, в конце идёт повторная проверка.

Стоимость и сторона договора

Цену на восстановление фиксируем в письме о рамках работ после короткого разговора. Главные факторы — число сайтов, глубина заражения и состояние резервных копий.

Договоры на работы по безопасности заключает INNOVA CONSULT LTD., Оттава, Онтарио (Corporations Canada, номер корпорации 1522612). Отчёт принадлежит вам.

Связанные страницы

Источники (проверено 23.10.2026)

Максим Степаненко, основатель Marketing MIX. Последняя проверка: 23 октября 2026 года.