Сайт взломан или упал: первые шаги для руководителя

Кратко

Белый экран, ошибка 500, редирект на чужой сайт или предупреждение «опасный ресурс» в браузере — типичные симптомы, с которыми к нам обращаются руководители и маркетологи. В первые часы важно не «чинить наугад», а зафиксировать симптомы, сохранить доказательства и не уничтожить следы взлома. Ниже — пошаговый чеклист для нетехнического руководителя и объяснение, что делает IT-команда после подключения.

Когда статья пригодится

• сайт не открывается или отдаёт HTTP 500/502/503;
• поисковики или браузер помечают домен как заражённый;
• клиенты жалуются на спам редиректы или странные всплывающие окна;
• в админке WordPress/Bitrix появились неизвестные пользователи или файлы;
• хостинг прислал уведомление о превышении нагрузки или блокировке.

Мы регулярно восстанавливаем WordPress, 1С Битрикс, OpenCart, самописные PHP-приложения и интернет-магазины. В 90% случаев работаем удалённо, по договору с юрлицами и ИП.

Не паникуйте — но действуйте быстро

Простой сайта — это не только IT-проблема. Пока ресурс недоступен, не работают заявки, рекламные кампании ведут на ошибку, SEO-рейтинг может просесть, а репутация — пострадать. При этом поспешные действия («удалил все подозрительные файлы», «откатил базу наугад») часто усложняют расследование и восстановление.

Задача первых часов — стабилизировать ситуацию, сохранить доказательства и понять масштаб: это сбой после обновления, DDoS, переполненный диск или взлом с бэкдором.

Первые 30 минут: чеклист для руководителя

1. Зафиксируйте симптомы. Скриншот ошибки, точное время начала (с часовым поясом), URL, с которого воспроизводится проблема. Запишите, что менялось за последние 48 часов: обновления CMS, новые плагины, смена паролей, доступ подрядчика.
2. Не удаляйте «подозрительные» файлы сами. Вредоносные скрипты часто встроены в легитимные файлы. Самовольная чистка мешает найти точку входа и доказать страховому случаю или подрядчику ответственность.
3. Проверьте бэкапы. Есть ли копия файлов и базы за последние 24–72 часа? Где хранится (хостинг, S3, локально)? Когда последний раз проверяли восстановление, а не только «бэкап создаётся»?
4. Ограничьте доступ. Смените пароли админки CMS, FTP/SFTP, SSH, панели хостинга, почты домена — если есть подозрение на утечку. Отзовите доступы уволившихся и подрядчиков «на всякий случай».
5. Оповестите ключевых людей. Маркетинг (остановить рекламу на битый лендинг), продажи (альтернативный канал заявок), поддержку (шаблон ответа клиентам).

Что НЕ стоит делать

• Массово переустанавливать CMS без бэкапа и без анализа — можно потерять заказы и контент.
• Игнорировать предупреждение Google Search Console / Яндекс.Вебмастер — пометка «опасный сайт» не исчезнет сама после «починки главной».
• Платить «хакерам» или мошенникам, которые уже нашли уязвимость и шантажируют — сначала оценка с профессионалами.
• Запускать сомнительные «сканеры одной кнопкой» в боевой контур без понимания, что они меняют.

Как понять: взлом или обычный сбой

Точный ответ даёт анализ логов веб сервера, access/error log, журнал CMS и сравнение checksum файлов с чистым бэкапом.

Типовые сценарии по CMS

WordPress

Частые точки входа: устаревшие плагины (Elementor, WooCommerce, contact forms), слабый пароль wp-admin, темы с eval/base64, xmlrpc.php для брутфорса. После взлома — pharma-хак (редирект на «виагру»), создание скрытых admin, отправка спама через wp-mail.

1С Битрикс

Уязвимости старых модулей, слабые права на /bitrix/admin/, отключённое обновление ядра. Симптомы: лишние пользователи, изменения в robots.txt, вставки в шаблоны.

Интернет магазины и самопис

SQL-инйестион в фильтрах, загрузка shell через форму без валидации, .env или config.php в публичной директории.

Что мы делаем после подключения

1. Экспресс диагностика (1–4 часа). Доступность, логи, целостность ядра CMS, список недавно изменённых файлов, проверка DNS и SSL.
2. Изоляция. Временное ограничение доступа к админке по IP, отключение compromised плагинов, смена всех секретов (БД, API keys, salt).
3. Восстановление. Либо чистка с удалением бэкдоров, либо откат на последний проверенный бэкап + накат транзакций из логов заказов, если нужно.
4. Закрытие уязвимости. Обновления, права 644/755, отключение лишних интерфейсов, WAF (Cloudflare, nginx rules), мониторинг целостности файлов.
5. Отчёт для руководителя. Что случилось простым языком, что сделано, что рекомендуем в т следующие 30 дней, оценка риска повторения.

Экспресс диагностика — от 5 000 ₽, восстановление после взлома — от 15 000 ₽ в зависимости от CMS и масштаба. Точная смета — после первичного осмотра.

Как не попасть в эту ситуацию снова

• автоматические бэкапы файлов + БД вне площадки, тест восстановления раз в квартал;
• обновления CMS и плагинов по регламенту (сначала тестовый контур);
• 2FA на админку, уникальные пароли, минимум прав у подрядчиков;
• мониторинг доступность и алерт в Telegram/MAX — узнавать о падении раньше клиентов;
• WAF и ограничение попыток входа в админку.

FAQ

Нужно ли обращаться в полицию? При крупном ущербе или краже данных клиентов — по решению юристов. Мы фиксируем технические доказательства (логи, хеши файлов) для возможного расследования.

Сколько длится восстановление? Простой сбой — 2–8 часов. Сложный взлом с большим магазином — 1–3 рабочих дня.

Можно ли не отключать сайт на время работ? Часто ставим заглушку «технические работы» или переводим на статическую версию, чтобы не терять SEO совсем.

Если нет штатного администратора — лучше сразу передать задачу специалистам. Опишите проблему в заявке или на странице экстренной помощи — ответим в течение 30 минут в рабочее время.