Взломали сайт. Что делать?

За 2024 год сервисы «Солара» для защиты сайтов зафиксировали 1,8 млрд ИБ-событий, что в 2,4 раза больше, чем в 2023 году. Одним из ключевых трендов стал резкий рост количества сканирований веб-ресурсов. К концу года они составили 77% от общего количества инцидентов ИБ. Это значит, что злоумышленники активно ищут уязвимости, которые затем используют для взлома сайтов. В их списке не только крупные компании — веб-ресурсы представителей малого и среднего бизнеса тоже в зоне риска. У небольших компаний чаще всего отсутствует даже базовая защита, поэтому атаковать их проще. В статье расскажем, как происходит взлом сайтов, кто и зачем это делает, а также, что предпринять для защиты.

Кто и зачем взламывает сайты

В большинстве случаев взлом сайтов — дело рук киберпреступников. Какие цели могут преследовать злоумышленники:

• Получить доступ к административной панели и управлению сайтом, чтобы использовать его в своих целях, например подменить контент.
• Завладеть персональными и платежными данными, которые пользователи указывают на сайте при регистрации и совершении покупок.
• Распространять вредоносное ПО через взломанный веб-ресурс. Если пользователь доверяет сайту, он без сомнений скачает предложенные файлы или перейдет по размещенным ссылкам.
• Получить бесплатный хостинг, который можно использовать для рассылки спама, проведения DDoS-атак на другие веб-ресурсы.
• Превратить взломанный сайт в инструмент для фишинговых атак. Мошенники часто создают клоны существующих веб-ресурсов для обмана пользователей, но поисковые системы с недоверием относятся к таким фейкам. Использование доверенных сайтов позволяет хакерам обойти защиту и сохранить анонимность.
• Потренировать свои навыки. Начинающие хакеры ищут незащищенные веб-ресурсы и оттачивают на них техники взлома.

Порой компании подозревают, что их сайт взломали по заказу конкурентов — и такие случаи не редкость. Это делается в том числе затем, чтобы заменить или удалить контент и тем самым выбить успешные веб-ресурсы с первых позиций в выдаче поисковых систем.

Как происходит взлом сайта

Понимание того, как взламываются сайты, полезно любому владельцу веб-ресурса. Это даст представление, какие слабые места обычно используют хакеры и как можно снизить риски. Приведем лишь несколько популярных механик и способов взлома сайта.

Использование уязвимостей в устаревшем ПО, плагинах, модулях. Кажется, только ленивый не писал о важности своевременных обновлений, но многие по-прежнему забывают об этом, чем регулярно пользуются киберпреступники. Поэтому ответ на вопрос «Как происходит взлом сайта?» часто лежит на поверхности — особенно, если речь идет о сайтах, созданных с помощью CMS.

Брутфорс-атаки. Автоматический перебор паролей может привести к взлому пользовательских аккаунтов и проникновению в «админку» сайта.

SQL-инъекции. В этом случае для взлома сайта и получения доступа к базам данных злоумышленники внедряют вредоносный SQL-код через уязвимые места в веб-приложении. Подделывая запросы, можно завладеть конфиденциальной информацией, модифицировать или уничтожить ее.

Наряду с реальными веб-ресурсами в сети множество фишинговых. Мошенники создают «зеркала» настоящих сайтов, чтобы выманить у пользователей платежную информацию или узнать их учетные данные — например, от личного кабинета на конкретном ресурсе. Получив доступ к нему, можно не только совершить действия от имени реального человека, но и использовать интерфейс ЛК для взлома сайта.

Злоумышленники могут обойтись и без прямых веб-атак, прибегая к социальной инженерии — отправке писем от якобы доверительных источников, от имени топ-менеджмента и т. д. В большинстве компаний есть сотрудники, которые переходят по вредоносным ссылкам, скачивают и открывают посторонние файлы, делятся логинами и паролями в мессенджерах. Можете представить, как легко в этом случае взламываются сайты и внутренние корпоративные системы.

Как понять, что веб-ресурс взломали

Заподозрить взлом сайта можно по множеству признаков, причем некоторые из них даже не требуют глубокого аудита или профильных знаний в ИТ. Вот на что стоит обратить внимание маркетологам и специалистам, которые публикуют контент на сайте:

• Возникают всплывающие окна, которых раньше не было.
• Появляется странный контент, который вы не выкладывали. Или, наоборот, какие-то материалы исчезают.
• Поступают жалобы на спам или редирект с вашего ресурса на подозрительные сайты.
• Начинаются проблемы с доступом к административной панели.
• Мелькает посторонняя реклама, которую не размещали администраторы.
• Сайт начинает работать медленнее, зависает, а сервер часто выдает ошибки без видимых причин.
• Снижаются позиции сайта в поисковой выдаче. В этом случае часто появляются предупреждения о проблемах с безопасностью в Google Search Console или Яндекс.Вебмастере.

Также свидетельством того, что сайт взломали, может служить резкий рост исходящего трафика, выявленные при аудите подозрительные файлы на сервере, скрипты или фрагменты в исходном коде веб-ресурса.

Что делать, если сайт взломали или пытаются взломать

При первых подозрениях на взлом сайта отключите его от интернета. Это поможет предотвратить возможное распространение вредоносной составляющей — кода, файла, ПО — и затруднит доступ злоумышленникам. Можно не отключать, а перевести в режим обслуживания со страницей-заглушкой, которую будут видеть пользователи и роботы поисковых систем. Разместите на ней информацию о временной недоступности сайта, ориентировочных сроках восстановления работы и контактах.

Для заглушки важно установить правильный HTTP-код. Обычно используют «503 Service Unavailable». Он «сообщает» поисковым системам и браузерам, что сайт временно недоступен и скоро будет восстановлен. Для поисковиков это доказательство, что сайт не удален и через некоторое время заработает, значит, его не нужно исключать из индекса.

После отключения сайта от сети или перевода его в режим обслуживания смените пароли ко всем системам, связанным с веб-ресурсом: административной панели CMS, хостинг-аккаунту, базе данных и т. д. Внедрите многофакторную аутентификацию для доступа к интерфейсу управления.

Изучите логи сервера. Это поможет обнаружить и заблокировать IP-адреса злоумышленников, а также выявить возможные механики, с помощью которых взломали сайт. Проверьте сервер и веб-ресурс на наличие вредоносных программ с помощью антивирусных сканеров или специализированных онлайн-сервисов.

Удалите весь посторонний контент и вернитесь к последней сохраненной версии своего ресурса. Для этого обязательно должен быть настроен процесс резервного копирования. Это одна из ключевых мер на случай, если сайт взломали, и при любых других проблемах с ним.

Сделайте бэкап текущего состояния сайта и базы данных и не удаляйте поврежденные или взломанные файлы. Так вы получите основу для анализа и расследования инцидента, чтобы в будущем предусмотреть способы защиты.

Вышеперечисленные меры стоит принять в первую очередь, как только сайт взломали. Однако есть еще несколько обязательных пунктов, которые важно выполнить, чтобы избежать последующих киберинцидентов:

1. Обновите все ПО, расширения, плагины, модули и в дальнейшем строго следите за этим.

2. Просканируйте ресурс и веб-сервер на наличие уязвимостей, чтобы понять, можно ли взломать сайт. Спойлер: скорее всего, окажется, что можно. Примерно у 80% сайтов в сети есть слабые места, поэтому важно проводить регулярный аудит и устранять хотя бы наиболее критичные.

Обнаружить уязвимости на сервере поможет Сканер веб-сервера от Solar Space, который пока в режиме тестирования доступен без оплаты всем пользователям, зарегистрированным в личном кабинете. Сервис сканирует IP-адрес сервера, оценивает его защищенность и выдает подробный отчет по всем найденным уязвимостям с рекомендациями по их устранению.

3. Изучить специализированные решения для защиты. Пусть вы знаете, что делать, если пытаются взломать ваш сайт, но лучше иметь запасные варианты. В идеале — протестировать заранее несколько сервисов защиты. Так вы сможете выбрать оптимальный для себя и будете готовы к подключению на случай, если предпринятых вами мер окажется недостаточно.

Если ваш сайт не относится к высоконагруженным системам, простой которых недопустим даже на 1–2 минуты, целесообразно использовать облачные сервисы защиты. Они дешевле решений, которые требуют установки специализированного ПО или оборудования, и сроки подключения у них меньше.

Один из примеров таких сервисов — Solar Space. Это облачная платформа с автоматизированными сервисами для базовой защиты сайта. Помогает минимизировать риски взлома и утечек данных, DDoS- и ботовых атак.

Как защититься от взлома сайта с сервисами Solar Space

Solar Space защищает сайт от наиболее распространенных веб-угроз. Основная аудитория платформы — представители малого и среднего бизнеса, которым нужны простые доступные сервисы для защиты от типовых атак, а не дорогие кастомизированные продукты со сложной длительной настройкой.

Чтобы минимизировать риски массовых угроз для веб-ресурсов, разумно подключить эшелонированную защиту от Solar Space. Это комплекс из трех решений:

• WEB AntiDDoS,
• WEB Antibot,
• WAF Lite.

На первом этапе сервис эффективно подавляет DDoS-атаки, затем распознает и блокирует ботовый трафик. На третьем шаге с помощью интеллектуального анализа выявляются и отсеиваются вредоносные запросы, которые и приводят к утечкам, взлому сайта или подмене контента. Благодаря трем уровням защиты до сайта доходит максимально качественный трафик.

При этом помимо комплексного решения возможны и другие варианты подключения в зависимости от ваших задач. Вы можете выбрать только защиту от DDoS-атак или комплекс WEB AntiDDoS+WEB Antibot.

Сервисная модель предоставления услуг — хороший вариант для компаний с ограниченным бюджетом на кибербезопасность и отсутствием специалиста по ИБ в штате. Вы пополняете баланс, с него ежемесячно списывается сумма, соответствующая выбранному тарифу. Получаете кибербезопасность по подписке с круглосуточной фильтрацией трафика и отчетами о работе сервиса в личном кабинете.

Ниже приведен пример графика, демонстрирующего общее количество запросов к сайту и те из них, которые не пропустил WAF Lite. На отдельной странице также доступен полный список заблокированных запросов для детального анализа.

Подключить облачную защиту Solar Space можно двумя способами:

1. Самостоятельное подключение онлайн. Для этого зарегистрируйтесь в личном кабинете, выберите тариф, пополните баланс и добавьте домен, который хотите поставить под защиту. После этого останется изменить две DNS-записи в настройках регистратора или хостинг-провайдера:

• TXT-запись — чтобы подтвердить, что это действительно ваш домен,

• А-запись — чтобы перенаправить весь ваш трафик через сервер защиты Solar Space.

  Как только это будет сделано, защита активируется. Для всех этапов есть инструкции в базе знаний Solar Space. При оплате тарифа сразу на три и более месяцев эксперты сервиса полностью настроят его работу, если вам понадобится их помощь.

2. Подключение через демотариф. Оставьте заявку на сайте и получите доступ к сервисам на 14 дней без взимания платы. После завершения этого периода наши эксперты проанализируют ваш трафик и предложат наиболее подходящий тариф.

Демотариф Solar Space — сервисы веб-защиты на 14 дней без взимания платы

Оставить заявку