Feltört WordPress oldal: tünetek és első lépések

2025-ben 11 334 új WordPress-sebezhetőséget jegyeztek fel, 42%-kal többet, mint egy évvel korábban. 91%-uk bővítményekben, 9%-uk sablonokban volt, a WordPress alaprendszerében mindössze 6.¹ 46%-ukra a nyilvánosságra hozatalkor még nem volt javítás.¹ A másik gyakori út a lopott jelszó: a Wordfence 2024-es jelentése szerint a feltört tárhelyfiókok belépési adatai gyakori belépési pontot jelentettek.² Egy elfelejtett, régóta nem frissített bővítmény vagy egy újrahasznosított jelszó tehát elég.

1. Piros figyelmeztetés a Chrome-ban. A Chrome „Veszélyes webhely” oldalt mutat, mielőtt betöltené az Önét.³
2. Figyelmeztetés a Google találati listájában. A Google akkor jelzi, hogy egy oldalt feltörhettek, ha úgy látja, hogy valaki megváltoztatta a meglévő oldalakat vagy spamoldalakat adott hozzá. A jelzés addig marad, amíg az oldal tiszta nem lesz, és felülvizsgálatot nem kér a Search Console-ban.⁴
3. Átirányítás, amelyet Ön nem lát. Sok kártevő csak mobilon irányít át, vagy csak azokat a látogatókat, akik a Google-ből vagy a Facebookról érkeznek.⁵⁶ Ezért előfordul, hogy az ügyfele látja a hibát, Ön pedig nem.
4. Idegen oldalak a Google-ben. Írja be a Google-be: site:azonoldala.hu. Ha japán szöveget, gyógyszer- vagy márkás termékhirdetést lát, az a „japán kulcsszavas” feltörés jele. Ilyenkor gyakran egy ismeretlen személy is tulajdonosként szerepel a Search Console-ban.⁷
5. Ismeretlen adminfelhasználó. Egyes kártevők hamis adminfiókot hoznak létre, néha az oldal saját domainjével, hogy ne tűnjön fel.⁶
6. Furcsa fizetési űrlap vagy „Connect Wallet” ablak. 2024-ben a Sucuri 18 622 oldalon talált kártyaadat-lopó kódot, és 23 372 esetben Web3 kriptotárca-ürítőt.⁸
7. Felfüggesztett tárhely vagy hirdetés. A tárhelyszolgáltató kártevő, spam vagy szokatlan terhelés miatt felfüggesztheti az oldalt.

A WordPress.org hivatalos útmutatója alapján, ebben a sorrendben:⁹

1. Maradjon nyugodt, és írja fel, mit látott, mikor (időzónával), és mit változtatott az utóbbi időben.
2. Készítsen mentést a fertőzött állapotról is, mielőtt bármit törölne. Ez segít később megtalálni, mi változott.
3. Vizsgálja át a saját számítógépét is, mert a fertőzés onnan is indulhat.
4. Szóljon a tárhelyszolgáltatónak, főleg osztott tárhelyen.
5. Változtasson meg minden jelszót: a WordPress adminét, az FTP/SFTP-ét, a tárhely vezérlőpultjáét és az adatbázisét. Kapcsolja be a kétlépcsős azonosítást.
6. Kényszerítse ki az összes felhasználó jelszócseréjét, és cserélje le a wp-config.php titkos kulcsait, hogy mindenki kijelentkezzen.
7. Nézze meg a Google Search Console „Biztonsági problémák” jelentését.

1. Törlés mentés előtt. Eltűnik a nyom, amelyből kiderül, hogyan jutottak be.
2. Csak a fájlok tisztítása. A támadók egyre gyakrabban az adatbázisban tárolják a kódot, így a csak fájlokat ellenőrző tisztítás nem találja meg.⁶ Az egyik általunk tisztított oldalon a kártevő a törlés után perceken belül újraírta magát az adatbázisból.
3. Egy régi mentés visszatöltése, és ennyi. A mentés visszahozza a sebezhető bővítményt is. A rés nyitva marad.
4. Korai Google-felülvizsgálat. A Google csak akkor veszi le a figyelmeztetést, ha az egész oldal tiszta; a részleges javítás nem hoz részleges visszatérést. Ha a kérés függőben van, ne küldje be újra.¹⁰
5. Ha a 404-es oldalt bizonyítéknak veszi. A támadók néha úgy állítják be az oldalt, mintha a spamoldal eltűnt volna.⁷

Ha személyes adat kerülhetett illetéktelen kézbe, például egy webshop kártyaűrlapján keresztül, a GDPR 33. cikke szerint az adatkezelőnek a tudomásszerzéstől számított 72 órán belül be kell jelentenie az incidenst a felügyeleti hatóságnak (Magyarországon a NAIH-nak), kivéve, ha az valószínűleg nem jár kockázattal az érintettekre.¹¹ Ez nem jogi tanács; kétség esetén kérdezze meg a jogászát.

Ha a kártevő visszajön, ha az oldal webshop, ha a Google figyelmeztetést mutat, vagy ha nem tudja, hogyan jutottak be. Ezekben az esetekben a rejtett hátsó ajtó a legnagyobb kockázat.