Website tự chuyển sang trang quảng cáo, ứng dụng cá cược hoặc một tên miền không quen thuộc thường là dấu hiệu mã độc đã can thiệp vào mã nguồn, cơ sở dữ liệu hoặc cấu hình máy chủ. Hiện tượng có thể chỉ xuất hiện trên điện thoại, khi truy cập từ Google hoặc với khách chưa đăng nhập nên chủ website rất dễ bỏ sót.
1. Ghi lại thời điểm và điều kiện xảy ra
Chụp màn hình, sao chép đường dẫn đích và ghi rõ thiết bị, trình duyệt, mạng đang dùng. Nếu lỗi chỉ xảy ra khi vào từ kết quả tìm kiếm, hãy ghi lại từ khóa và trang đích. Những thông tin này giúp khoanh vùng quy tắc chuyển hướng nhanh hơn.
2. Tạm dừng quảng cáo dẫn vào website
Nếu đang chạy quảng cáo, nên tạm dừng chiến dịch để tránh đưa thêm khách vào trang không an toàn. Không cần vội xóa website hoặc cài lại WordPress vì thao tác đó có thể làm mất dấu vết cần kiểm tra.
3. Đổi mật khẩu từ một thiết bị sạch
Ưu tiên tài khoản quản trị hosting, WordPress, FTP/SFTP và cơ sở dữ liệu. Bật xác thực hai lớp nếu nhà cung cấp hỗ trợ. Không gửi mật khẩu hoặc mã OTP qua biểu mẫu công khai; nếu phải cấp quyền cho người hỗ trợ, hãy tạo tài khoản riêng và thu hồi sau khi hoàn tất.
4. Tạo một bản sao trước khi sửa
Sao lưu toàn bộ tệp và cơ sở dữ liệu ở trạng thái hiện tại. Bản sao nhiễm mã độc vẫn có giá trị để đối chiếu, tìm điểm xâm nhập và tránh mất dữ liệu khi quá trình làm sạch gặp sự cố.
5. Kiểm tra các điểm thường bị cài chuyển hướng
- Tệp
.htaccess, cấu hình máy chủ và tệp khởi động của WordPress. - Plugin, theme hoặc tài khoản quản trị mới xuất hiện.
- Mã JavaScript lạ trong header, footer, widget và cơ sở dữ liệu.
- Cron job, tệp PHP trong thư mục uploads và các tệp hệ thống bị sửa gần đây.
6. Làm sạch rồi vá nguyên nhân
Xóa đoạn mã độc mới chỉ xử lý biểu hiện. Cần cập nhật thành phần có lỗ hổng, xóa plugin không rõ nguồn gốc, thay khóa bảo mật và kiểm tra quyền ghi tệp. Sau đó quét lại bằng nhiều cách và thử truy cập từ thiết bị chưa đăng nhập.
7. Theo dõi sau khi khôi phục
Kiểm tra log truy cập, Search Console và các thay đổi tệp trong vài ngày tiếp theo. Nếu chuyển hướng quay lại, nhiều khả năng vẫn còn cửa hậu hoặc thông tin đăng nhập đã bị lộ. Khi cần hỗ trợ, chỉ gửi tên miền, mô tả và bằng chứng ban đầu; chưa cần gửi mật khẩu.
