WordPress Sitem Hacklendi: İlk 24 Saatte Ne Yapmalıyım?

Gerçekten hacklendi mi?

Arama sonuçlarında tanımadığınız başlıklar, ziyaretçilerin başka sitelere yönlendirilmesi, tarayıcının “aldatıcı site” uyarısı, hosting’in hesabı askıya alması veya panelde tanımadığınız bir yönetici — bunlar güçlü işaretlerdir. Belirtilerin ayrıntılı listesi WordPress sitesine virüs bulaştığı nasıl anlaşılır rehberinde. Şüphe güçlüyse aşağıdaki sırayı izleyin.

İlk saat: durumu kontrol altına alın

1. 1

   Mevcut hâlin kopyasını alın

   Dosyaların ve veritabanının şimdiki hâlini — bulaşmış hâliyle — ayrı bir yere indirin. Bu kopya geri yükleme için DEĞİL, saldırganın nereden girdiğini ve neyi değiştirdiğini sonradan inceleyebilmek içindir. Temizlik bu izleri siler.

2. 2

   Gözlemlerinizi not edin

   Neyi ne zaman fark ettiğinizi, ekran görüntülerini, tuhaf yönlendirmelerin adreslerini ve arama sonuçlarında görünen spam başlıkları kaydedin. Hosting firması, temizliği yapacak kişi ve gerekirse hukuki süreç için gerekir.

3. 3

   Temiz bir cihaz kullanın

   Parolalar bilgisayarınızdaki bir kötü amaçlı yazılımla çalınmış olabilir. Değişiklikleri güvendiğiniz, güncel bir cihazdan yapın.

4. 4

   Gerekirse siteyi ziyaretçiye kapatın

   Site ziyaretçileri zararlı sayfalara yönlendiriyor veya kötü amaçlı dosya dağıtıyorsa, temizlik bitene kadar erişimi geçici olarak kısıtlamak (hosting panelinden veya sunucu düzeyinde) ziyaretçileri korur.

Parolalar ve oturumlar: hepsini değiştirin

Saldırganın hangi kapıdan girdiğini henüz bilmiyorsunuz; bu yüzden sitenin çevresindeki tüm erişimler değiştirilir:

Ardından wp-config.php içindeki güvenlik anahtarlarını (AUTH_KEY, SECURE_AUTH_KEY ve diğer salt değerleri) yenileyin. Yeni anahtarlar tüm oturum çerezlerini geçersiz kılar: saldırganın açık oturumu dahil herkes yeniden giriş yapmak zorunda kalır. Yeni değerleri WordPress.org’un anahtar üreticisinden alabilirsiniz.

https://api.wordpress.org/secret-key/1.1/salt/

Yetkisiz hesap ve değişiklikleri bulun

• Kullanıcılar sayfasını rol’e göre süzün; tanımadığınız her yönetici hesabı saldırganındır. Silmeden önce kullanıcı adını ve e-postasını not edin.
• Yakın zamanda yüklenmiş eklentilere, özellikle adını tanımadığınız veya eklenti listesinde görünmeyen dosyalara bakın.
• SSH erişiminiz varsa WP-CLI çekirdek dosyalarını wordpress.org’daki orijinalleriyle karşılaştırabilir: wp core verify-checksums. wordpress.org’daki eklentiler için wp plugin verify-checksums --all kullanılabilir.
• wp-content içindeki uploads klasöründe PHP dosyası bulunmamalıdır; bulunuyorsa şüphelidir.

Hosting firmasını ve Google’ı kontrol edin

• Hosting firmanıza durumu bildirin. Sunucu kayıtlarına (erişim günlükleri) onlar erişir ve saldırının zamanını ve yolunu bulmada yardımcı olabilir. Hesap askıya alındıysa temizlik planını onlarla paylaşın.
• Google Search Console’da Güvenlik sorunları raporunu kontrol edin. Google siteyi işaretlediyse raporda nedeni yazar; temizlikten sonra buradan inceleme istenir.
• Google Güvenli Tarama durumunu transparencyreport.google.com üzerinden sorgulayabilirsiniz.

Giriş noktası: en önemli adım

Hacklenen sitelerin tekrar hacklenmesinin en yaygın nedeni, zararlı kod temizlenip saldırganın girdiği kapının açık bırakılmasıdır. Temizlik kadar önemli olan soru şudur: nereden girildi?

Temizlik: yedeğe dönmek mi, temizlemek mi?

Bulaşmadan önceye ait olduğundan emin olduğunuz temiz bir yedek varsa geri yüklemek en hızlı yoldur; ama yedek zararlı kodu içeriyor olabilir, çünkü bulaşmalar haftalarca fark edilmeden sürebilir. Hangi yolu seçerseniz seçin giriş noktası kapatılmalı ve tüm eklenti/temalar güncellenmelidir. Yedek yoksa veya güvenilir değilse dosyaların ve veritabanının elle temizlenmesi gerekir; bu, uzmanlık isteyen bir iştir. Yedekleme rehberimiz bundan sonrası için temiz bir düzen kurmanıza yardım eder.

Kişisel veri sızdıysa: KVKK

Sitede üyelik, sipariş veya form verisi gibi kişisel veriler varsa ve bunların yetkisiz kişilerce elde edildiğinden şüpheleniyorsanız, 6698 sayılı Kanun kapsamında Kişisel Verileri Koruma Kurulu’na bildirim yükümlülüğü doğabilir. Kurul kararına göre bildirim, ihlalin öğrenildiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde yapılmalıdır; etkilenen kişilerin de bilgilendirilmesi gerekir. Bu bir hukuki değerlendirme gerektirir; bir hukukçuya danışın.

Temizlikten sonra

1. 1

   Her şeyi güncelleyin

   WordPress çekirdeği, tüm eklenti ve temalar; kullanılmayanları silin.

2. 2

   Google’dan inceleme isteyin

   Search Console Güvenlik sorunları raporundan, yapılan temizliği açıklayarak inceleme talep edin.

3. 3

   Güvenlik önlemlerini kurun

   İki adımlı doğrulama, dosya düzenleyicinin kapatılması, düzenli güncelleme ve bağımsız yedek düzeni.

4. 4

   Birkaç hafta izleyin

   Arama sonuçlarını, kullanıcı listesini ve değişen dosyaları izleyin; yeniden bulaşma genellikle ilk günlerde görülür.

Uzun vadeli önlemlerin öncelik sırası için WordPress güvenlik rehberine bakın.