Взлом сайта — это не только техническая авария, но и удар по репутации и доходам: заражённый ресурс попадает под фильтры поисковиков, рассылает спам от имени вашей компании, крадёт данные клиентов и может быть отключён хостингом в любой момент. Проблема в том, что большинство взломов обнаруживают не владельцы, а поисковые системы или сами пользователи — через недели после атаки. Чем быстрее реакция, тем меньше ущерб: при наличии свежих бэкапов сайт можно вернуть в строй за 2–4 часа, без них — за дни и недели. В этой статье — пошаговый план действий на случай инцидента и чек-лист подготовки, который стоит внедрить уже сегодня.
Шаг 1. Изолируйте сайт, чтобы остановить угрозу
Как только взлом подтверждён, действуйте, не откладывая. Первая задача — прекратить распространение вредоносного кода: заражённый сайт продолжает воровать данные пользователей, рассылать спам и заражать устройства посетителей. Переведите ресурс в режим техобслуживания, а при серьёзной компрометации — временно приостановите аккаунт хостинга. Ничего не удаляйте и не переустанавливайте сразу — файлы и логи понадобятся для расследования. Сразу уведомите техподдержку хостинга: заражение часто затрагивает не только ваш сайт, и специалисты провайдера помогут локализовать проблему на своей стороне.Шаг 2. Зафиксируйте доказательства
Прежде чем чистить сайт, сохраните всё, что поможет понять, что произошло. Сделайте полную копию файлов и дамп базы данных, выгрузите логи доступа и ошибок, снимите скриншоты подозрительных страниц, редиректов и внедрённого кода. Эти данные помогут определить вектор атаки, оценить масштаб ущерба и убедиться, что уязвимость действительно закрыта. Типичная ошибка владельцев — сразу снести всё и развернуть заново: причина взлома остаётся неустановленной, и сайт взламывают повторно через неделю.Шаг 3. Найдите вектор атаки и оцените ущерб
Понимание того, как взломали сайт, — ключ к тому, чтобы это не повторилось. Чаще всего виноваты устаревшие версии CMS, плагинов и тем, слабые пароли либо украденные учётные данные сотрудников. Изучите логи на аномальные запросы, проверьте список пользователей в админке на незнакомые аккаунты, поищите в коде внедрённые скрипты и подозрительные cron-задачи. Параллельно оцените, какие данные могли быть скомпрометированы: персональные данные клиентов, переписка, платёжная информация, доступы к CRM и корпоративной почте — от этого зависит следующий шаг с уведомлениями.Шаг 4. Восстановите сайт из чистого бэкапа
Если резервные копии ведутся регулярно, восстановление — самый быстрый путь к рабочему сайту. Действуйте по порядку:- Найдите копию, созданную до заражения — дату атаки подскажут логи и изменённые файлы.
- Проверьте сам бэкап сканером: если взлом случился давно, копия тоже может быть заражена.
- Разверните сайт на чистом окружении — переустановленной среде или новом сервере.
- Обновите CMS, плагины и библиотеки до актуальных версий до открытия доступа.
- Прогоните сайт через VirusTotal или Sucuri SiteCheck и только затем запускайте.
Шаг 5. Смените все доступы и закройте бэкдоры
Даже после восстановления из копии у злоумышленника могут остаться пути входа. Меняйте не только пароль от админки — всё, что могло быть скомпрометировано:- пароли администраторов CMS, панели хостинга, FTP/SFTP и базы данных;
- API-ключи и токены: платёжные шлюзы, почтовые сервисы, CRM, Telegram-боты;
- SSH-ключи и активные сессии — отзовите старые, выпустите новые, принудительно завершите сеансы пользователей;
- список учётных записей и ролей — удалите аккаунты, созданные злоумышленником;
- cron-задачи и планировщики — атакующие часто оставляют там задачи для повторного заражения.
Шаг 6. Уведомите клиентов и регулятора
Если на сайте хранились персональные данные клиентов, по 152-ФЗ оператор обязан уведомить Роскомнадзор об утечке в течение 24 часов, а в течение 72 часов — направить результаты внутреннего расследования. Клиентов, чьи данные могли утечь, предупредите напрямую: короткое честное сообщение о произошедшем, рисках и рекомендациях (сменить пароль, не доверять письмам «от имени компании») сохраняет доверие лучше, чем молчание, которое вскроется позже. Также отправьте запрос на пересмотр в Google Search Console и Яндекс.Вебмастер — это ускорит снятие пометки «сайт может быть опасен» и восстановление позиций в поиске.Как подготовиться заранее
План реагирования работает, только когда инфраструктура к нему готова. Минимальный набор мер:- автоматические ежедневные бэкапы с хранением вне сервера — по правилу 3-2-1: три копии, два носителя, одна копия в другом месте;
- регулярные обновления CMS и плагинов — например, в рамках договора техподдержки со студией;
- двухфакторная аутентификация для всех панелей и минимально необходимые права доступа у каждого сотрудника;
- WAF (файрвол веб-приложений) и мониторинг целостности файлов с уведомлениями об изменениях;
- письменный план реагирования на инцидент: кто отвечает, что делает и в каком порядке, с контактами хостинга и подрядчика.
Взлом сайта — неприятное, но управляемое событие, если действовать по плану: изолировать, зафиксировать доказательства, найти причину, восстановиться из чистого бэкапа, сменить все доступы и честно сообщить заинтересованным сторонам. Главный фактор скорости — подготовка, сделанная заранее: свежие бэкапы и понятный регламент сокращают восстановление с недель до нескольких часов. Если в компании нет выделенного ИТ-специалиста, передайте эти задачи на аутсорс — аудит безопасности, настройку резервного копирования и мониторинга мы берём на себя в рамках техподдержки. Напишите нам — проведём проверку вашего сайта.