Siteniz Hacklendiyse İlk 24 Saatte Yapılacaklar

Sitenizin ele geçirildiğini fark ettiğiniz an, yapılan ilk hamleler sonraki günleri belirliyor. Panikle her şeyi silmek de, 'belki kendiliğinden düzelir' diye beklemek de durumu kötüleştiriyor. Aşağıdaki plan, ilk saatten itibaren sırayla uygulanmak üzere hazırlandı.

Belirtiler: sitenizin ele geçirildiğini nasıl anlarsınız?

Bazen belirti apaçık: ana sayfada tanımadığınız bir mesaj, tamamen değişmiş bir görünüm. Ama birçok saldırı sessizdir, çünkü saldırgan sitenizi fark edilmeden kullanmak ister. Şu işaretlere dikkat edin.

Google'da sitenizi aradığınızda başlıklarda ya da açıklamalarda Japonca karakterler, ilaç, kumar veya bahis içerikli ifadeler görünüyor. Mobilden ya da Google'dan gelen ziyaretçiler başka bir siteye yönleniyor, ama siz doğrudan adresi yazdığınızda site normal açılıyor. Tarayıcı ya da Google bir güvenlik uyarısı gösteriyor. Search Console'a 'Güvenlik sorunları' bildirimi geldi. Hosting firmanız, hesabınızdan toplu spam e-posta gönderildiği için sizi uyardı. Yönetim panelinde tanımadığınız bir yönetici kullanıcı var.

Bunlardan biri bile, sitenin incelenmesi gerektiği anlamına gelir.

İlk 1 saat

İlk saatin amacı hasarı sınırlamak ve kanıtı korumak. Sırası önemli:

• Mevcut halin bir kopyasını alın. Ele geçirilmiş haliyle bile. Bu kopya, saldırganın ne yaptığını ve hangi yoldan girdiğini anlamak için gerekecek. Hosting panelinizden dosya ve veritabanı yedeği alabilirsiniz.
• Siteyi bakım moduna alın ya da hosting firmanızdan geçici olarak erişime kapatmasını isteyin. Ziyaretçilerinizi zararlı bir siteye yönlendirmeye devam etmek, hem onlara hem de Google'daki itibarınıza zarar verir.
• Hosting firmanızın destek ekibine haber verin. Sunucu düzeyinde ne gördüklerini sorun; çoğu zaman giriş kayıtlarına (log) erişimleri sizden fazladır.
• Şifreleri değiştirin: site yönetim paneli, hosting paneli, FTP/SFTP, veritabanı ve alan adı hesabı. Bu değişikliği, temiz olduğundan emin olduğunuz bir cihazdan yapın.
• Yönetici kullanıcı listesini kontrol edin ve tanımadığınız hesapları silin.
• Sitede müşteri verisi (form kayıtları, üyelik ya da sipariş bilgileri) tutuluyorsa, olay bir kişisel veri ihlali sayılabilir ve KVKK kapsamında bildirim yükümlülükleri doğabilir. Bunu vakit kaybetmeden bir hukukçuyla değerlendirin.

İki adımlı doğrulama kullanmıyorsanız, şifreleri değiştirirken bunu da açın.

Temizlik veya yedekten geri dönüş

Şimdi önünüzde iki yol var: siteyi temizlemek ya da temiz bir yedekten geri yüklemek.

Saldırının ne zaman başladığını biliyorsanız ve ondan önceye ait, temiz olduğundan emin olduğunuz bir yedeğiniz varsa, geri yükleme çoğu zaman en hızlı yoldur. Ama dikkat: yedeği geri yükleyip hiçbir şey değiştirmezseniz, saldırganın kullandığı açık hâlâ oradadır ve aynı şey kısa sürede tekrar yaşanabilir. Geri yüklemeden hemen sonra tüm yazılımı, temaları ve eklentileri güncellemeniz, şifreleri yeniden değiştirmeniz gerekir.

Temiz bir yedek yoksa ya da saldırı ne zaman başladığı bilinmeyecek kadar eskiyse, temizlik gerekir. Bu genellikle şunları içerir: hazır bir içerik yönetim sistemi kullanıyorsanız çekirdek dosyalarını resmi kaynaktan yenileriyle değiştirmek, tema ve eklentileri silip resmi kaynaktan yeniden kurmak, yükleme klasörlerinde olmaması gereken PHP dosyalarını aramak, veritabanında eklenmiş zararlı bağlantıları ve kullanıcıları temizlemek. Bu iş teknik bilgi ve dikkat gerektiriyor; tek bir dosyanın gözden kaçması, saldırganın geri dönmesi için yeterli olabilir. Bilmediğiniz bir alandaysanız profesyonel destek almanızı öneririz.

Yedeklerin neden test edilmesi gerektiğini ayrı bir yazıda anlattık. Bu durumda olan birçok işletme, yedeğinin olduğunu düşünüp olmadığını ya da eksik olduğunu bu anda öğreniyor.

Google güvenlik uyarısını kaldırmak

Google sitenizde zararlı içerik tespit ettiyse, arama sonuçlarında ve Chrome'da uyarı gösterebilir. Bu uyarı, siz temizlik yapınca otomatik olarak kalkmaz.

Search Console'da 'Güvenlik ve Manuel İşlemler' bölümüne girin ve 'Güvenlik sorunları' raporunu açın. Google hangi sorunları ve hangi örnek sayfaları tespit ettiğini burada gösterir. Bu sayfaların gerçekten temizlendiğini kontrol edin. Ardından aynı rapordan inceleme isteği gönderin; isteğe ne yaptığınızı kısa ve net şekilde yazın: hangi açığın kapatıldığı, hangi dosyaların temizlendiği, hangi önlemlerin alındığı.

İncelemenin sonuçlanması birkaç gün sürebilir. Temizlik eksikse istek reddedilir ve süreç uzar; bu yüzden göndermeden önce acele etmeyin.

Google aramalarında görünen spam sayfalar (sitenizin altında oluşturulmuş sahte sayfalar) temizlikten sonra bir süre daha arama sonuçlarında kalabilir. Bu sayfalar artık 404 ya da 410 hatası veriyorsa, Google zamanla onları dizinden çıkarır.

Tekrar yaşanmaması için

Temizlenen sitelerin tekrar ele geçirilmesi sık görülür, çünkü çoğu zaman giriş noktası kapatılmadan temizlik yapılıyor. Temizlikten sonra şunları yapın: tüm yazılımları düzenli güncel tutun, kullanılmayan eklenti ve temaları tamamen silin, yönetici hesaplarında güçlü şifre ve iki adımlı doğrulama kullanın, otomatik ve sitenin dışında saklanan yedekleme kurun, yönetim paneline giriş denemelerini sınırlayın.

Alınabilecek güvenlik önlemlerini ayrıntılı olarak ayrı bir yazıda topladık. Siteniz şu anda ele geçirilmişse ve nereden başlayacağınızı bilmiyorsanız, Kodyva'ya yazabilirsiniz; durumu birlikte değerlendirip hangi yolun uygun olduğunu konuşalım.