Website bị hack không phải lúc nào cũng hiện một trang đen hay thông báo đòi tiền chuộc. Nhiều sự cố chỉ xuất hiện với người dùng từ Google, trên thiết bị di động, vào một khung giờ nhất định hoặc dưới dạng tài khoản quản trị lạ. Vì vậy, việc đầu tiên không phải là xóa ngay tệp đáng ngờ mà là xác minh dấu hiệu và ghi lại bằng chứng.
Một triệu chứng chưa đủ để kết luận nguyên nhân. Hãy ghi lại URL, thời điểm, thiết bị, tài khoản và thao tác gây ra hiện tượng trước khi thay đổi hệ thống.
Dấu hiệu nào đáng xem là chỉ báo xâm nhập?
Các chỉ báo rõ nhất gồm website tự chuyển sang tên miền lạ, xuất hiện nội dung không do đội ngũ đăng, tài khoản quản trị mới, cảnh báo mã độc từ trình duyệt hoặc Search Console, email gửi đi bất thường và hosting khóa website vì phát tán mã độc. Một số dấu hiệu kín hơn là tệp PHP mới trong thư mục tải lên, cron không rõ nguồn gốc, plugin lạ hoặc mã JavaScript bị chèn cuối trang.
- Kiểm tra cùng một URL khi đăng nhập và đăng xuất, trên desktop và điện thoại.
- Mở kết quả từ Google thay vì chỉ gõ URL trực tiếp để phát hiện chuyển hướng có điều kiện.
- Rà danh sách Administrator, plugin, theme và tác vụ đã lên lịch.
- Đối chiếu thời gian sửa tệp với nhật ký truy cập và lịch thay đổi gần nhất.
- Kiểm tra thông báo Security issues, Manual actions và Pages trong Search Console.
Phân biệt lỗi kỹ thuật với website bị xâm nhập
Lỗi 500 sau cập nhật, SSL hết hạn hoặc cấu hình cache sai có thể làm website hoạt động bất thường nhưng chưa chứng minh có kẻ xâm nhập. Ngược lại, tài khoản mới không được ủy quyền, tệp thực thi trong uploads, nội dung spam được tạo hàng loạt hoặc chuyển hướng chỉ dành cho bot là bằng chứng mạnh hơn. WebAnToan thường dựng một bảng thời gian gồm “điều gì xảy ra”, “lúc nào”, “ai vừa thay đổi gì” để tránh suy đoán.
Kiểm tra từ bên ngoài trước
Hãy chụp màn hình lỗi, lưu HTML phản hồi và thử nhiều mạng, trình duyệt. Kiểm tra website có còn phục vụ HTTPS đúng tên miền, mã trạng thái có thay đổi và trang bị chuyển hướng qua bao nhiêu bước. Nếu Google hiển thị tiêu đề hoặc trang lạ, lưu lại truy vấn và URL đích; đừng bấm tiếp vào tệp tải xuống đáng ngờ.
Kiểm tra bên trong WordPress và hosting
Trong WordPress, rà người dùng quản trị, plugin đang hoạt động, theme, bài viết nháp và cài đặt URL. Ở hosting, lấy danh sách tệp mới sửa, access log, error log, cron và phiên đăng nhập nếu nhà cung cấp có lưu. Dữ liệu này giúp xác định phạm vi: một trang, một website hay cả tài khoản hosting.
Xóa tệp ngay có thể làm mất dấu vết và khiến website sập mà vẫn chưa đóng đường vào. Trước tiên hãy tạo snapshot của tệp, database và log; sau đó mới khoanh vùng và làm sạch.
Khi nào cần chuyển sang quy trình ứng cứu?
Nếu phát hiện thay đổi không được phép, chuyển hướng có điều kiện, mã thực thi lạ, tài khoản quản trị lạ hoặc cảnh báo phát tán mã độc, hãy coi đây là một sự cố. Tiếp theo là cô lập hợp lý, đổi thông tin truy cập theo thứ tự, bảo toàn bằng chứng và xác định đường xâm nhập.
Nguồn tham khảo chính thức
Quy trình trên dựa trên tài liệu FAQ My site was hacked của WordPress.org, hướng dẫn Hardening WordPress và chính sách về nội dung bị chèn do website bị hack của Google.
Khách hàng thường nhìn thấy dấu hiệu trước dashboard
Redirect trên điện thoại, email lạ, kết quả Google bất thường hoặc trang chậm theo giờ có thể là tín hiệu đầu tiên. Đừng bỏ qua phản ánh chỉ vì máy kỹ thuật không tái hiện; hãy thu URL, thời gian, thiết bị, mạng và ảnh chụp.
Tách triệu chứng khỏi kết luận
CPU cao có thể do bot, lỗi plugin hoặc mã độc. Admin mới có thể là thay đổi hợp lệ hoặc chiếm quyền. Ghi sự kiện quan sát được trước, rồi đối chiếu file, log, user, cron và hạ tầng để tránh điều tra theo định kiến.
Tín hiệu cần nâng cấp thành sự cố
- Nội dung/redirect trái phép ảnh hưởng người dùng.
- File thực thi, user đặc quyền hoặc token xuất hiện ngoài kế hoạch.
- Email, đơn hàng, outbound traffic tăng bất thường.
- Google/browser cảnh báo nguy hiểm.
Phát hiện sớm có giá trị khi có người nhận, thời hạn xác minh và quyền khoanh vùng — không chỉ là email nằm trong hộp thư.
Tiếp tục theo quy trình ứng cứu
Các bài trong cụm này đi từ nhận biết đến xử lý và phòng tái nhiễm.
Câu hỏi thường gặp
Website chậm bất thường có chắc là bị hack không?
Không. Website chậm có thể do hosting, plugin hoặc lưu lượng. Cần thêm chỉ báo như thay đổi trái phép, tài khoản lạ, mã chèn hoặc chuyển hướng.
Máy quét báo sạch có nghĩa website an toàn không?
Không tuyệt đối. Nên kết hợp quét từ xa, quét phía máy chủ, đối chiếu tệp, database, tài khoản và log.
Có nên xóa ngay tệp bị nghi ngờ?
Nên lưu snapshot và xác định ngữ cảnh trước để không mất bằng chứng hoặc làm website lỗi trong khi đường xâm nhập vẫn còn.
Cần kiểm tra website theo hiện trạng thực tế?
WebAnToan có thể rà dấu hiệu, khoanh vùng phạm vi và đề xuất thứ tự xử lý phù hợp với website của bạn.
Kết nối access log, tệp, database, cron và tài khoản thành một timeline có thể kiểm chứng.
