Google sonuçlarında sitenizin altında bir uyarı çıkıyorsa, tanımadığınız sayfalar belirdiyse ya da ziyaretçiler başka bir siteye yönleniyorsa siteniz saldırıya uğramış olabilir. Böyle bir anda aceleyle dosya silmek ya da siteyi rastgele bir yedekle geri getirmek, sorunun kaynağını gizleyip aynı saldırının tekrarlanmasına yol açabilir.
Bu yazıda site hacklendiğinde hangi sırayla ilerlemeniz gerektiğini Google'ın saldırıya uğrayan siteler için hazırladığı rehbere ve WordPress belgelerine dayanarak anlatıyoruz. Teknik adımları sitenizi yöneten kişiyle birlikte uygulayın.
Siteniz hacklendi mi? Belirtiler
| Belirti | Ne anlama gelebilir? | İlk bakılacak yer |
|---|---|---|
| Google sonucunda "Bu site saldırıya uğramış olabilir" uyarısı | Google, sitenize izniniz olmadan içerik eklendiğini düşünüyor | Search Console, Güvenlik sorunları raporu |
| Tarayıcı siteye girerken uyarı ekranı gösteriyor | Zararlı yazılım ya da kimlik avı tespit edilmiş olabilir | Search Console, Güvenlik sorunları raporu |
| Google'dan tıklayınca başka bir siteye gidiyor | Siteye yönlendirme kodu eklenmiş olabilir | Site dosyaları ve hosting |
| Tanımadığınız sayfalar ya da yabancı dilde metinler | Spam sayfalar eklenmiş olabilir | Google'da site:alanadiniz.com araması |
| Yönetim panelinde tanımadığınız kullanıcılar | Hesaplarınıza erişilmiş olabilir | Kullanıcı listesi |
| Hosting firması siteyi askıya aldı | Sunucuda zararlı dosya bulunmuş olabilir | Hosting firmasının bildirimi |
Bu belirtilerden biri tek başına kesin kanıt değildir, ama birini gördüğünüzde aşağıdaki adımlara geçin.
İlk saatlerde yapılacaklar
- Not alın. WordPress belgesi, ilk iş olarak ne gördüğünüzü, sorunu ne zaman fark ettiğinizi ve son yapılan değişiklikleri yazmayı öneriyor. Yeni bir eklenti mi kuruldu, tema mı değişti? Ekran görüntüleri alın. Bu notlar destek aldığınız kişinin işini hızlandırır.
- Hosting firmanıza haber verin. Google, hosting firmasının durumdan haberdar edilmesini öneriyor. Paylaşımlı hostingde saldırı yalnızca sizin sitenizi etkilemiyor olabilir.
- Siteyi geçici olarak kapatın. Google, ziyaretçileri korumak için siteyi yayından kaldırmayı öneriyor. Aynı rehbere göre sadece hata kodu döndürmek ya da robots.txt ile engellemek yeterli değildir, çünkü zararlı içerik ziyaretçiye ulaşmaya devam edebilir. Hosting firmanızdan sitenin geçici olarak başka bir bakım sayfası göstermesini isteyin.
- Mevcut hâlin kopyasını alın. WordPress belgesi, temizliğe başlamadan önce site zararlı içerik taşısa bile bir kopyasının alınmasını öneriyor. Bir sorun çıkarsa bu kopyaya bakarak ne olduğunu anlamak mümkün olur.
- Kendi bilgisayarınızı tarayın. Google'ın rehberi, yöneticinin bilgisayarına bulaşan bir virüsün şifreleri kaydedebileceğini belirtiyor. Şifreleri değiştirmeden önce siteye giriş yaptığınız bilgisayarları güncel bir güvenlik yazılımıyla tarayın.
- Şifreleri değiştirin. Google FTP erişimi, veritabanı, sistem yöneticisi ve içerik yönetim sistemi hesaplarını sayıyor. WordPress belgesi bunlara hosting panelini de ekliyor, siteye erişimi olan tüm kullanıcıların şifrelerinin yenilenmesini ve mümkünse iki adımlı doğrulama kullanılmasını öneriyor.
- Search Console'a bakın. Sitenizin mülkü doğrulanmışsa Güvenlik sorunları raporunda Google'ın tespit ettiği sorunları ve örnek adresleri görebilirsiniz.
Temizlik ve kurtarma
Açığı bulun
Temizlikten önce saldırganın içeri nasıl girdiğini anlamak gerekir. Google'ın rehberinde sayılan yaygın yollar arasında virüslü yönetici bilgisayarları, zayıf ya da farklı yerlerde tekrar kullanılan şifreler ve güncellenmemiş yazılımlar var. Rehber, aynı sitede birbirinden bağımsız birden fazla açık bulunabileceği için bir açık bulunduktan sonra da aramaya devam edilmesini öneriyor. Açık kapatılmadan yapılan temizlik, siteyi aynı saldırıya yeniden açık bırakır.
Temiz bir yedekten geri yükleyin
Google, saldırıdan önce alınmış bir yedeğin geri yüklenmesini öneriyor. Burada yedeğin tarihi önemlidir: Saldırı ilk fark ettiğiniz günden önce başlamış olabilir. Hosting firmanızla ya da sitenizi yöneten kişiyle hangi yedeğin temiz olduğunu birlikte değerlendirin. Yedeğin nasıl alındığını ve nerede saklanması gerektiğini WordPress yedekleme ve güncelleme yazımızda anlattık.
Dosyalar elle temizlenecekse WordPress belgesi, WordPress'in kendi dosyalarının resmi kaynaktan aynı sürümle yeniden yüklenmesini ve saldırılarda sık değiştirilen .htaccess gibi dosyalara ayrıca bakılmasını öneriyor.
Güncelleyin ve gereksizleri kaldırın
Geri yüklemeden sonra içerik yönetim sistemini, e-ticaret altyapısını, eklentileri ve temaları güncelleyin. Google, artık kullanılmayan eklenti ve uygulamaların sunucudan kaldırılmasını da öneriyor. Yönetim panelindeki kullanıcı listesini gözden geçirip tanımadığınız hesapları kapatın.
Şifreleri yeniden değiştirin
Google ve WordPress belgeleri, site temizlendikten sonra tüm şifrelerin bir kez daha değiştirilmesini öneriyor. İlk değişiklik saldırı sürerken yapıldıysa yeni şifreler de ele geçirilmiş olabilir.
Google'dan inceleme isteyin
Google'ın rehberine göre inceleme istemeden önce şu şartlar sağlanmış olmalı: site Search Console'da doğrulanmış, saldırganın eklediği içerik temizlenmiş, açık kapatılmış ve temiz site yeniden yayına alınmış olmalı. Sayfaların Googlebot tarafından taranabilmesi, yani noindex etiketi ya da robots.txt ile engellenmemesi de gerekir.
Sonra Güvenlik sorunları raporundan inceleme isteyin ve neyi nasıl düzelttiğinizi kısaca yazın. Google'ın rehberine göre spam eklenen sitelerde inceleme birkaç haftaya kadar, zararlı yazılım bulunan sitelerde birkaç gün, kimlik avı sorunlarında yaklaşık bir gün sürebilir. İnceleme olumlu sonuçlanırsa tarayıcı ve arama sonuçlarındaki uyarıların 72 saat içinde kaldırıldığı belirtiliyor.
Müşteri verileri etkilendiyse
Sitenizde müşteri adı, telefonu, adresi ya da sipariş bilgisi tutuluyorsa saldırı bir kişisel veri ihlali olabilir. Kişisel Verileri Koruma Kurulunun kararına göre veri sorumlusu, ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirmelidir. Etkilenen kişilerin belirlenmesinden sonra bu kişilere de makul olan en kısa sürede bildirim yapılması gerekir. Bildirim 72 saat içinde yapılamazsa gecikmenin nedenleri de açıklanmalıdır.
E-postanız da etkilenebilir
WordPress belgesi, spam göndermek için kullanılan sitelerin sunucu IP adreslerinin e-posta kara listelerine girebildiğini ve bu adreslerin çoğu zaman aynı sunucudaki e-postayla ilişkili olduğunu belirtiyor. Siteniz ve e-postanız aynı hosting hesabındaysa, temizlikten sonra e-postalarınızın karşı tarafa ulaşıp ulaşmadığını da kontrol edin. E-postayı ayrı bir hizmete taşımayı düşünüyorsanız kurumsal e-posta nasıl alınır yazımıza bakabilirsiniz.
Tekrar yaşamamak için
- Düzenli ve otomatik yedek alın, yedeğin bir kopyasını sunucu dışında tutun.
- İçerik yönetim sistemini, temaları ve eklentileri güncel tutun.
- Her hizmette farklı, güçlü şifreler kullanın ve iki adımlı doğrulamayı açın.
- Kullanmadığınız eklentileri ve ayrılan kişilerin hesaplarını kaldırın.
- Search Console'daki Güvenlik sorunları raporuna düzenli bakın.
Bu kontrollerin ayrıntılı listesini web sitesi bakımı neden gerekli yazımızda bulabilirsiniz.
Sık sorulan sorular
Sitemin hacklendiğini nasıl anlarım?
Google sonuçlarında "Bu site saldırıya uğramış olabilir" uyarısı, tarayıcıda uyarı ekranı, tanımadığınız sayfalar, başka sitelere yönlenme ve yönetim panelinde bilmediğiniz kullanıcılar başlıca işaretlerdir. Search Console'daki Güvenlik sorunları raporu, Google'ın tespit ettiği sorunları örnek adreslerle gösterir. Hosting firmanızdan gelen uyarı e-postalarını da atlamayın.
"Bu site saldırıya uğramış olabilir" uyarısı ne zaman kalkar?
Uyarı, site temizlenip Search Console üzerinden inceleme istenmeden kendiliğinden kalkmaz. Google'ın rehberine göre inceleme, sorunun türüne göre yaklaşık bir gün ile birkaç hafta arasında sürebilir. Olumlu sonuçlanan incelemeden sonra uyarıların 72 saat içinde kaldırıldığı belirtiliyor.
Yedekten geri yüklemek yeterli mi?
Tek başına yeterli değildir. Yedek, saldırganın kullandığı açığı da geri getirir. Geri yüklemeden sonra yazılımları güncellemek, kullanılmayan eklentileri kaldırmak, tanımadığınız kullanıcıları silmek ve tüm şifreleri yeniden değiştirmek gerekir.
Hacklenen siteyi kendim temizleyebilir miyim?
Google'ın rehberine göre siteyi kendiniz temizlemek için kod okuyabilmek, sunucu komut araçlarını kullanabilmek ve gerektiğinde sunucu ayarlarını değiştirebilmek gerekir. Bu bilgi yoksa deneyimli birinden destek almak daha güvenlidir. Google Arama Merkezi'nin topluluk forumunda saldırıya uğrayan sitelere ayrılmış bir bölüm de bulunuyor.
Kısacası
Site hacklendiğinde sıra önemlidir: önce not alın, hostinge haber verin ve siteyi kapatın, sonra bilgisayarınızı tarayıp şifreleri değiştirin. Açığı bulmadan yapılan temizlik kalıcı olmaz; temiz yedek, güncelleme ve ikinci şifre değişikliğinden sonra Google'dan inceleme isteyin. Müşteri verileri etkilendiyse süreleri kaçırmamak için hukukçunuzla hemen görüşün. Yedek, güncelleme ve güvenlik kontrollerini düzenli bir plana bağlamak isterseniz web sitesi bakım ve destek hizmetimize göz atabilirsiniz.