האתר נפרץ? מה לעשות ב-24 השעות הראשונות, ומה אסור לעשות
נמרוד קדם · שחזור מערכות מאז 1990 · עודכן בנובמבר 2026
גיליתם שהאתר נפרץ. לפני שאתם נוגעים במשהו, שלושה דברים לא לעשות: לא לשחזר גיבוי, לא למחוק קבצים חשודים, ולא לסמוך על סריקה של תוסף אבטחה. ויש חמישה דברים שכן כדאי לעשות כבר היום.
הסדר הזה לא שרירותי. הצעדים הראשונים קובעים אם יהיה אפשר להבין איך התוקף נכנס. בלי התשובה הזאת, הפריצה בדרך כלל חוזרת.
איך יודעים שהאתר באמת נפרץ?
כשמופיע באתר, או בגוגל, משהו שלא אתם יצרתם. אלה הסימנים הנפוצים:
- בגוגל מופיעים דפים שלא כתבתם: קזינו, הימורים, תרופות או מוצרים זרים
- גולשים מנותבים לאתר אחר, לפעמים רק מהנייד או רק כשהם מגיעים מגוגל
- Google Search Console שלח התראה על בעיות אבטחה
- הדפדפן מציג אזהרה אדומה לפני הכניסה לאתר
- חברת האחסון השעתה את החשבון או שלחה התראה על קוד זדוני
- הופיע משתמש מנהל שלא אתם יצרתם
יש סימן אחד שקל לפספס. חלק מהפריצות מציגות את הספאם רק לרובוטים של גוגל. באחד המקרים שטיפלתי בהם, בעל האתר ראה אתר תקין לגמרי, ובגוגל הופיעו אלפי דפי קזינו. לכן אם החשד עלה מתוצאות החיפוש, אל תסתפקו בגלישה לאתר. חפשו בגוגל site: ואחריו הדומיין שלכם, ותראו מה גוגל רואה.
מה אסור לעשות בשעות הראשונות?
לא לשחזר גיבוי, לא למחוק קבצים, ולא להסתפק בסריקה אוטומטית. שלושתם נראים כמו פתרון מהיר, ושלושתם עלולים להשאיר את הפרצה פתוחה.
| במקום | עשו | למה |
|---|---|---|
| לשחזר גיבוי | לשמור עותק של המצב הנוכחי ולבקש לוגים | שחזור מוחק את הראיות ולא סוגר את הפרצה |
| למחוק קבצים חשודים | לרשום מה ראיתם, איפה ומתי | הקבצים מראים מתי התוקף פעל ומה עשה |
| להתקין תוסף אבטחה ולסמוך על הסריקה | לבדוק את רשימת המשתמשים | סורק מוצא קוד מוכר, לא כל מה שהושתל |
| למחוק מייד משתמש מנהל זר | לרשום את שמו ומתי נוצר, ואז לחסום | הפרטים עוזרים לבנות ציר זמן |
| להמשיך לעבוד כרגיל | להחליף סיסמאות | לתוקף עדיין יש גישה |
למה לא לשחזר גיבוי
שחזור מחזיר את הקבצים למצב קודם, אבל לא סוגר את הדרך שבה התוקף נכנס. אם הוא נכנס עם סיסמה גנובה, הסיסמה עדיין עובדת אחרי השחזור. בנוסף, לרוב לא יודעים מתי הפריצה התחילה, ולכן גם הגיבוי עלול להיות נגוע. והבעיה הגדולה ביותר: השחזור מוחק בדיוק את הקבצים והרישומים שמראים איך הכול קרה.
למה לא למחוק קבצים
קובץ זדוני הוא ראיה. תאריך השינוי שלו, המיקום שלו והקבצים שהשתנו באותה שנייה מספרים את סדר האירועים. מחקתם אותו, והמידע הזה הלך.
למה סריקה אוטומטית לא מספיקה
תוסף אבטחה מחפש קוד שהוא כבר מכיר. במקרה שתיארתי, התוקף השאיר מנהל קבצים מלא בתוך התבנית הפעילה. זו תוכנה לגיטימית, וסורקים לא מסמנים אותה. סריקה נקייה לא אומרת שהאתר נקי.
מה כן לעשות מייד?
חמש פעולות, לפי הסדר. אף אחת מהן לא מוחקת ראיות.
- להחליף סיסמאות: של WordPress (לכל המנהלים), של לוח הבקרה באחסון, של ה-FTP ושל מסד הנתונים.
- לבקש מחברת האחסון את לוגי הגישה לתקופה הארוכה ביותר שיש להם. יש חברות ששומרות אותם רק לשבועות ספורים, ואחרי זה הם נמחקים.
- לצלם מסך של מה שאתם רואים: תוצאות החיפוש, ההפניה, ההתראה מגוגל.
- לבדוק את משתמשי המנהל. משתמש שאתם לא מכירים: לרשום את פרטיו, ורק אז לחסום.
- לשקול הורדה זמנית של האתר, בעיקר אם הוא מפנה גולשים לאתר זדוני. גם ההנחיות של גוגל ממליצות על זה.
יש באתר פרטי לקוחות. האם חובה לדווח?
ייתכן שכן, ומהר. תקנות הגנת הפרטיות (אבטחת מידע) מחייבות בעלי מאגרי מידע ברמת אבטחה בינונית או גבוהה לדווח מייד לרשות להגנת הפרטיות על אירוע אבטחה חמור, ועל הצעדים שנקטו בעקבותיו.
מאז שנכנס לתוקף תיקון 13 לחוק, באוגוסט 2025, הרשות מטילה קנסות על דיווח מאוחר. היא גם קבעה שאין לחכות לסיום הבדיקות כדי לדווח. הדיווח נעשה דרך טופס מקוון באתר gov.il.
החובה היא של בעל האתר, כבעל המאגר, ולא של מי שמטפל בפריצה. אם יש באתר הזמנות, פניות מטפסים או חשבונות לקוחות, כדאי להתייעץ עם עורך דין כבר ביום הראשון. מה שכתוב כאן אינו ייעוץ משפטי.
למה ניקוי בלבד מחזיר את הפריצה?
כי נקודת החדירה נשארת פתוחה, וחלק מהקוד מוסתר במקומות שלא מחפשים בהם.
באחד המקרים שטיפלתי בהם, ניקוי ראשון מחק כ-6,500 פוסטי ספאם. כל הדלתות האחוריות נשארו. התוקף חזר בשני גלים נוספים: אחד יצר את דפי הספאם בזמן אמת ולא שמר אותם במסד הנתונים, והשני הוחבא מממשק הניהול. כשמצאתי בסוף את נקודת החדירה, התברר שזו לא פרצה בתוסף. זו הייתה סיסמה גנובה של אחד המנהלים. מה שסגר אותה לא היה עוד תוסף אבטחה, אלא אימות דו-שלבי לכל המנהלים.
מתי להביא מומחה, ומה לשאול אותו?
כשהסימנים חוזרים אחרי ניקוי, כשיש באתר פרטי לקוחות, או כשאתם לא יודעים איך התוקף נכנס. ובפועל, ברוב המקרים לא יודעים.
לפני שבוחרים מי יטפל, שאלו שלוש שאלות:
- תחפש את נקודת החדירה, או רק תנקה?
- תשמור עותק של המצב לפני שאתה נוגע במשהו?
- אקבל דוח כתוב שמסביר מה נמצא ומה נעשה?
אם התשובה לאחת מהן היא "לא צריך", חפשו מישהו אחר. כך אני עובד בחקירה וניקוי של אתר WordPress שנפרץ.
שאלות נפוצות
כמה זמן לוקח לחזור לגוגל אחרי פריצה?
אחרי שהאתר נקי וההתראות ב-Search Console טופלו, בדרך כלל שבועיים עד ארבעה. גוגל צריך לסרוק את האתר מחדש ולהוציא מהאינדקס את הדפים שהתוקף יצר. אפשר לזרז את זה, אבל לא לדלג על זה.
תוסף אבטחה כמו Wordfence לא מספיק?
הוא טוב למניעה ולזיהוי של קוד מוכר. הוא לא יזהה משתמש מנהל שנוצר בדרך רגילה, תוכנה לגיטימית שהותקנה למטרה זדונית, או קוד שהוסתר בקובץ שנראה תמים. לכן כדאי שיהיה, אבל הוא לא תחליף לחקירה.
איך מונעים פריצה חוזרת?
אימות דו-שלבי לכל משתמש מנהל, עדכונים שוטפים, מחיקת תוספים ותבניות שלא בשימוש, ומעט ככל האפשר משתמשים עם הרשאות מנהל. זה פחות מעניין מתוסף אבטחה חדש, וזה עובד יותר.
לסיכום
ב-24 השעות הראשונות, המטרה היא לא לנקות. המטרה היא לעצור את הנזק בלי למחוק את מה שיסביר מה קרה. אם האתר שלכם נפרץ ואתם רוצים שמישהו יבדוק, שלחו לי הודעה עם כתובת האתר ומה ראיתם.