تفتح موقع شركتك من الجوال فيحولك إلى صفحة مراهنات. أو يكتب لك عميل أن المتصفح ظهر له تحذير أحمر قبل الدخول. في هذه اللحظة يتصرف معظم الناس بسرعة وفي الاتجاه الخطأ: يحذفون ملفات عشوائياً، أو يعيدون تشغيل الموقع كما هو.
هذا الترتيب الذي نعمل به حين يصلنا موقع مخترق، ويمكنك اتباعه مع فريقك.
ماذا تفعل في الساعة الأولى؟
اعزل الموقع أولاً. ضع صفحة صيانة، أو اطلب من مزود الاستضافة إيقافه مؤقتاً، حتى لا يصاب زوارك ولا ينتشر الضرر. ثم خذ نسخة من الوضع الحالي كما هو، بملفاته وقاعدة بياناته. ستحتاجها لتعرف كيف دخل المخترق، فلا تبدأ بالحذف.
بعدها غيّر كل كلمات المرور المرتبطة بالموقع: لوحة cPanel، وحسابات FTP، وقاعدة البيانات، ولوحة إدارة الموقع، وبريد المدير. افعل ذلك من جهاز نظيف، لأن بعض الاختراقات تبدأ من جهاز موظف سُرقت منه كلمة المرور.
- عزلصفحة صيانة أو إيقاف مؤقت
- توثيقنسخة من الوضع المصاب قبل أي حذف
- كلمات المرورتغييرها كلها من جهاز نظيف
- استرجاعمن نسخة سليمة أقدم من الاختراق
- سد الثغرةتحديث، حذف ما لا يلزم، مراجعة الصلاحيات
- المراجعةطلب رفع التحذير من Search Console
لماذا الاسترجاع أفضل من التنظيف اليدوي؟
من يدخل موقعاً يترك غالباً أكثر من أثر: ملف PHP صغير بين ملفات القالب، أو مستخدم مدير جديد في قاعدة البيانات، أو مهمة مجدولة تعيد الملفات الضارة كل ليلة. التنظيف اليدوي يفوّت بعضها، ثم يعود الاختراق بعد أسبوع.
لذلك نبحث عن آخر نسخة احتياطية سليمة، أي أقدم من تاريخ الاختراق، ونسترجعها كاملة. ثم ننقل إليها يدوياً ما تغير بعدها، مثل الطلبات الجديدة أو المقالات، بعد فحصه. هنا تظهر قيمة النسخ الاحتياطي اليومي المحفوظ خارج الخادم، وهذا من الأسئلة التي ننصح بطرحها في مقال اختيار الاستضافة.
ماذا تفعل إذا لم تكن لديك نسخة احتياطية سليمة؟
تنظّف الموقع يدوياً، بحذر وبترتيب. ابدأ بتنزيل نسخة نظيفة من النظام نفسه ومن كل إضافة وقالب من مصادرها الرسمية، واستبدل بها ملفاتك كلها، ثم انقل فقط المحتوى الذي رفعته أنت، مثل الصور، بعد فحصه.
بعدها افتح قاعدة البيانات وابحث عن مستخدمين مدراء لا تعرفهم، وعن سكربتات مدسوسة في المقالات والإعدادات. وراجع المهام المجدولة في لوحة الاستضافة، وملفات مثل .htaccess التي تُستغل للتحويل. أدوات الفحص التي توفرها بعض الاستضافات، أو إضافات الحماية المعروفة، تساعد في إيجاد الملفات المشبوهة، لكنها لا تجد كل شيء.
هذا العمل أطول وأقل ضماناً من الاسترجاع. ولذلك أول ما نفعله بعد إنقاذ موقع بلا نسخ هو ضبط نسخ احتياطي يومي خارج الخادم، كما في مقال النسخ الاحتياطي لموقعك وبريدك.
كيف دخل المخترق؟
في المواقع المبنية على ووردبريس، أغلب الحالات التي نراها سببها إضافة أو قالب قديم لم يُحدَّث، أو إضافة منسوخة من مصدر غير رسمي. وفي غيرها: كلمة مرور ضعيفة أو مكررة، أو نموذج رفع ملفات لا يتحقق من نوع الملف، أو إصدار PHP قديم.
سجلات الخادم (access logs) تكشف كثيراً: طلبات متكررة إلى ملف بعينه، أو دخول ناجح إلى لوحة الإدارة من بلد لا تعمل فيه. لا تعتبر المشكلة منتهية قبل أن تعرف الثغرة، لأن الاسترجاع وحده يعيدك إلى الموقع نفسه بالثغرة نفسها.
كيف ترفع تحذير جوجل؟
افتح Search Console ثم قسم Security issues. ستجد نوع المشكلة وأمثلة من الصفحات المصابة. بعد الإصلاح الكامل، اضغط Request review واكتب بإيجاز ما فعلته: ما الذي وجدته، وكيف أزلته، وكيف سددت الثغرة. افحص قبل الطلب أن الصفحات المذكورة لم تعد موجودة أو صارت سليمة.
وإذا كان المخترق قد أنشأ آلاف الصفحات المزعجة، فاجعلها ترجع رمز 410 أو 404، ولا تحولها إلى الصفحة الرئيسية.
هل تخبر العملاء إذا اختُرق الموقع؟
إذا كان في الموقع بيانات عملاء، مثل حسابات أو طلبات أو نماذج تواصل، فافترض أنها ربما اطلعت عليها جهة أخرى حتى يثبت العكس. وقد تفرض قوانين حماية البيانات في بلدك إبلاغ جهة رسمية أو الأشخاص المتأثرين خلال مدة محددة.
هذه القواعد تختلف بين الأردن والسعودية وغيرهما، وتختلف حسب نوع البيانات، فاسأل مستشاراً قانونياً في الأيام الأولى. وعملياً، رسالة قصيرة وصادقة للعملاء تطلب منهم تغيير كلمات المرور، وتنبههم إلى رسائل احتيال قد تصلهم باسمك، أفضل من أن يكتشفوا الأمر من غيرك.
كيف تمنع تكرار الاختراق؟
أقل الإجراءات كلفة هي الأكثر أثراً. حدّث النظام والإضافات أسبوعياً، واحذف كل إضافة لا تستخدمها. فعّل التحقق بخطوتين للوحة الإدارة. أعط كل موظف حساباً باسمه وصلاحيات بقدر عمله. واجعل النسخ الاحتياطي يومياً، مع نسخة خارج الخادم.
بعض الشركات تحتاج موقعاً تعريفياً فقط، ولا تعدّل محتواه إلا مرات قليلة في السنة. لهؤلاء نقترح أحياناً موقعاً ثابتاً بلا لوحة إدارة ولا قاعدة بيانات، فتصبح مساحة الهجوم صغيرة جداً. هكذا بنينا موقعنا هذا.
إذا كان موقعك مخترقاً الآن، تواصل معنا أو راسلنا على واتساب، ونبدأ بعزله وتقييم الضرر. ونتولى بعد ذلك الحماية والتحديثات والنسخ الاحتياطي ضمن خدمة الاستضافة والخوادم. ولموقع جديد أصعب على المخترقين، اقرأ عن خدمة تصميم وتطوير المواقع.
أسئلة يطرحها شركاؤنا
كيف أعرف أن موقعي مخترق؟
العلامات الشائعة: تحويل الزوار إلى مواقع أخرى، صفحات أو روابط لم تضفها تظهر في نتائج البحث، تحذير من المتصفح أو من Search Console، بطء مفاجئ، أو رسالة من مزود الاستضافة عن ملفات ضارة أو إرسال بريد مزعج من حسابك.
هل يكفي حذف الملفات المصابة؟
نادراً. المخترق يترك عادة باباً خلفياً في ملف آخر أو مستخدماً إضافياً في قاعدة البيانات. الأضمن هو الاسترجاع من نسخة سليمة سابقة للاختراق، ثم سد الثغرة التي دخل منها.
كم يستغرق رفع تحذير جوجل؟
بعد الإصلاح وطلب المراجعة من Search Console، تختلف المدة من حالة لأخرى، وقد تكون أياماً. المهم أن يكون الإصلاح كاملاً قبل الطلب، لأن رفض المراجعة يؤخر الأمر أكثر.
كتبه فريق Visual Innovate، الفريق الذي يبني الأنظمة والمواقع والتطبيقات ويستضيفها ويتابعها لعملائنا في الأردن والسعودية وعُمان ومصر.
