האתר שלכם נפרץ?
קודם מבינים איך, אחר כך מנקים
רוב האתרים שמנוקים בלי לאתר את נקודת החדירה נדבקים שוב תוך ימים. אני מוצא איך התוקף נכנס, מסיר את כל מה שהשאיר מאחור, סוגר את הפרצה ומחזיר את האתר לגוגל.
סימנים שהאתר נפרץ
אחד או יותר מהסימנים האלה מספיק כדי לבדוק.
בגוגל מופיעים דפים שלא כתבתם: קזינו, הימורים, תרופות או מוצרים זרים
גולשים מנותבים לאתר אחר, לפעמים רק מהנייד או רק מחיפוש בגוגל
Google Search Console שלח התראת "בעיות אבטחה"
הדפדפן מציג אזהרה אדומה לפני הכניסה לאתר
חברת האחסון השעתה את החשבון או שלחה התראה על קוד זדוני
הופיע משתמש מנהל שלא אתם יצרתם
האתר איטי פתאום, או ששרת הדואר נחסם בגלל שליחת ספאם
מה לעשות עכשיו, לפני כל דבר אחר
הצעדים הראשונים קובעים אם יהיה אפשר להבין מה קרה.
- 01אל תשחזרו גיבוי. שחזור מוחק בדיוק את הראיות שמראות איך התוקף נכנס, והפרצה נשארת פתוחה.
- 02אל תמחקו קבצים חשודים. גם הם ראיות. רשמו מה ראיתם ומתי.
- 03החליפו סיסמאות של WordPress, של לוח הבקרה באחסון ושל ה-FTP.
- 04בקשו מחברת האחסון את לוגי הגישה לתקופה הארוכה ביותר שאפשר. חלק מהחברות שומרות אותם רק לשבועות ספורים.
- 05אם יש באתר פרטי לקוחות, ייתכן שחלה עליכם חובת דיווח לרשות להגנת הפרטיות. כדאי להתייעץ עם עורך דין כבר בשלב הזה.
למה ניקוי בלבד לא מספיק
תוספי אבטחה וסורקים אוטומטיים מוצאים את מה שבולט: הקוד שמייצר את דפי הספאם או את ההפניה. תוקף מקצועי משאיר כמעט תמיד יותר מזה: דלת אחורית בקובץ של תבנית לא פעילה, משתמש ניהול נוסף, או קובץ שהוחלף ונראה תמים.
כל עוד נקודת החדירה פתוחה וחלק מהקוד נשאר, האתר יידבק שוב.
איך אני עובד
צילום מצב לפני נגיעה
העתקת הקבצים, מסד הנתונים והלוגים, כדי שהראיות לא יימחקו.
השוואה מול מקור נקי
כל קובץ נבדק מול הגרסה הרשמית של WordPress, של התבנית ושל התוספים, ומול גיבוי מלפני הפריצה.
ציר זמן
הצלבת מועדי שינוי הקבצים מול לוגי השרת, כדי לזהות מתי ומאיפה התוקף פעל.
איתור נקודת החדירה
תוסף פגיע, סיסמה שדלפה, משתמש שנפרץ או נקודת קצה חשופה.
הסרה וסגירה
מחיקת כל הקוד הזדוני, סגירת הפרצה והחלפת כל הסיסמאות ומפתחות ההצפנה.
דוח כתוב
מה קרה, מתי, מה נמצא ומה הוסר. דוח שאפשר להעביר לחברת האחסון, לביטוח או לעורך הדין.
מה אפשר להזמין
כל רכיב בנפרד, בלי התחייבות לתקופה. המחירים לפני מע"מ.
אבחון מהיר
האם האתר נפרץ, מה ההיקף ומה דחוף. מתקזז ממחיר החקירה אם ממשיכים.
חקירה וניקוי
כל ששת השלבים, כולל דוח כתוב.
שיקום בגוגל
הסרת דפי ספאם מהאינדקס, טיפול בהתראות ב-Search Console ומעקב עד החזרה לתוצאות.
הקשחה
סגירת נקודות תורפה נפוצות, הרשאות וחומת אש אפליקטיבית.
ניטור חודשי
בדיקת שלמות קבצים, התראות, עדכונים ודוח חודשי.
מי אני
שמי נמרוד קדם. אני עוסק בזיהוי ושחזור של מה שנפגע במערכות מחשב מאז 1990. בשנות ה-90 פיתחתי תוכנות לשחזור נתונים בחברת צ'יף הצלת נתונים, ובהן חבילת השחזור PCRESC-U שנמכרה בארץ ובחו"ל.
היום אני מפתח מערכות WordPress ו-WooCommerce, מלווה אתרים ב-SEO, ומטפל באתרים שנפרצו: מאתרי תוכן שגוגל הציף בדפי קזינו ועד חנויות עם פרטי לקוחות.
אתר שנראה תקין, ואלפי דפי קזינו שרק גוגל ראה
מה ראו: אתר מסחר ישראלי ותיק על WordPress. לגולשים ובממשק הניהול הכול נראה רגיל. בגוגל, לעומת זאת, הופיעו אלפי דפים בשפות זרות שקידמו אתר הימורים.
מה מצאתי בחקירה:
- נקודת החדירה: חשבון מנהל לגיטימי שהסיסמה שלו נגנבה. לא פרצה בתוסף, אלא כניסה רגילה עם שם משתמש וסיסמה.
- ארבעה רכיבים זדוניים: שתי דלתות אחוריות, אחת מהן מוסתרת בשם קובץ שנראה כמו חלק מ-WordPress עצמו. מנהל קבצים מלא שהוסתר בתוך התבנית הפעילה, תוכנה לגיטימית שסורקי אבטחה לא מסמנים. וקוד בתבנית שהציג את הספאם רק לרובוטים של גוגל ובינג, והסתיר את הפוסטים מממשק הניהול.
- משתמש מנהל נוסף שהתוקף יצר, ושהמשיך להתחבר דרכו.
למה הניקוי הראשון לא הספיק: ניקוי ראשון מחק כ-6,500 פוסטי ספאם, אבל כל הדלתות האחוריות נשארו. התוקף חזר עם שני גלים נוספים. אחד מהם יצר את הדפים בזמן אמת, בלי לשמור אותם במסד הנתונים, והשני הוחבא מממשק הניהול.
מה נעשה: הסרת ארבעת הרכיבים אחרי שמירת ראיות, מחיקת המשתמש הזר ואלפיים פוסטים מוסתרים, החלפת כל הסיסמאות ומפתחות ההצפנה, אימות דו-שלבי לכל המנהלים, וחסימת נקודות קצה שסורקים אוטומטיים תוקפים.
התוצאה: מאז הטיפול לא הוגש אף דף ספאם, ואף כניסה זרה לא הצליחה. גוגל הסיר מהאינדקס כ-8,000 כתובות. בחודש שאחרי, אף אחד מכ-350 החיפושים שהביאו גולשים לאתר לא היה קשור להימורים.
שאלות נפוצות
כמה זמן לוקח לנקות אתר שנפרץ?
אבחון ראשוני תוך 24 שעות. חקירה וניקוי מלאים לוקחים בדרך כלל 2 עד 4 ימי עבודה לאתר תדמית, ו-3 עד 5 ימים לחנות WooCommerce. שיקום הדירוג בגוגל נמשך עוד 2 עד 4 שבועות, כי גוגל צריך לסרוק את האתר מחדש.
אפשר פשוט לשחזר גיבוי מלפני הפריצה?
שחזור מחזיר את הקבצים, אבל לא סוגר את הפרצה שדרכה התוקף נכנס. לא תמיד ידוע מתי הפריצה התחילה, ולכן גם הגיבוי עלול להיות נגוע. ושחזור לפני חקירה מוחק את הראיות.
תוסף אבטחה כמו Wordfence לא מספיק?
תוסף אבטחה הוא כלי טוב למניעה ולסריקה, אבל הוא מחפש חתימות מוכרות. קוד שהוסתר בקובץ לגיטימי, או משתמש ניהול שנוצר בדרך רגילה, לרוב לא יסומן. חקירה משווה כל קובץ למקור הנקי שלו ובודקת את הלוגים.
אתם מבטיחים שהאתר יהיה נקי לגמרי?
אף אחד לא יכול להבטיח זאת באופן מוחלט, ומי שמבטיח לא אומר את האמת. מה שאני מתחייב אליו: הסרה של כל מה שאותר, סגירת נקודת החדירה אם אותרה, ו-30 יום אחריות על הדבקה חוזרת מאותו מקור, בתנאי שבוצעה הקשחה.
האתר שלי נפרץ ויש בו פרטי לקוחות. מה זה אומר מבחינה חוקית?
ייתכן שחלה עליכם חובת דיווח מיידית לרשות להגנת הפרטיות. ההחלטה שלכם ושל עורך הדין. אם בחקירה תימצא ראיה לחשיפת מידע אישי, תקבלו הודעה באותו יום, יחד עם הממצאים הטכניים שתומכים בהחלטה.
כל יום שהפרצה פתוחה, התוקף ממשיך לפעול
שלחו לי בוואטסאפ את כתובת האתר ומה ראיתם. תקבלו תשובה ראשונית עוד היום.