האתר נפרץ — מה עושים עכשיו

פריצה היא מצב לחוץ, וסדר הפעולות חשוב יותר מהמהירות.

אל תשחזרו גיבוי מיד

זו האינטואיציה הראשונה וברוב המקרים היא מחמירה.

הסיבה: חדירה מתגלה בממוצע שבועות אחרי שקרתה. הגיבוי של אתמול — ושל שלשום — כבר מכיל אותה. שחזור מחזיר אתכם לאותו מצב, ותוך ימים זה קורה שוב.

וגרוע מזה: השחזור דורס את הראיות. לא תדעו איך נכנסו, ולכן לא תדעו מה לסגור.

סדר הפעולות

1. בידוד

העלו את האתר למצב תחזוקה. אתר נגוע מפיץ נוזקה למבקרים, ובתוך שעות גוגל מסמן אותו — והסימון נשאר גם אחרי הניקוי.

2. שנו את כל הסיסמאות

• משתמשי וורדפרס, בעיקר מנהלים
• FTP / SFTP
• מסד הנתונים
• האזור האישי

מסיסמאות ייחודיות. אם הפריצה הגיעה מסיסמה שדלפה במקום אחר, סיסמה דומה לא תעזור.

3. החליפו את מפתחות האבטחה

ב-wp-config.php, שורות ה-AUTH_KEY וחברותיהן. החלפתן מנתקת כל הפעלה קיימת — כולל של התוקף, שאולי עדיין מחובר עם עוגייה תקפה.

מפתחות חדשים: https://api.wordpress.org/secret-key/1.1/salt/

4. מצאו מתי זה קרה

זה השלב שקובע איזה גיבוי לשחזר.

חפשו קבצים ששונו לאחרונה:

find . -type f -name "*.php" -mtime -30 -ls

קובץ PHP בתיקיית ההעלאות הוא כמעט תמיד נוזקה — אין סיבה לגיטימית לאחד כזה.

בדקו את יומן הגישה לבקשות POST חריגות ולניסיונות התחברות מוצלחים בשעות מוזרות.

5. שחזרו לנקודה שלפני

עכשיו, כשידוע מתי — שחזרו גיבוי מלפני התאריך. אם אין כזה, נדרש ניקוי ידני.

לפני השחזור, גבו את המצב הנוכחי. אם השחזור לא פותר, תרצו לחזור ולחקור.

6. סגרו את הפרצה

שחזור בלי זה הוא דחייה של הפריצה הבאה. ב-85% מהמקרים זה תוסף לא מעודכן.

• עדכנו הכל: ליבה, תבנית, תוספים
• הסירו כל תוסף שלא עודכן מעל שנה
• הסירו — לא תשביתו — תוספים שאינם בשימוש

7. בקשו בדיקה חוזרת

אם גוגל סימנה את האתר, בקשו סקירה מ-Search Console אחרי הניקוי. זה לוקח ימים ספורים.

סימנים שמשהו לא בסדר

• התראות דחייה על מיילים שלא שלחתם
• תנועה מארצות שאין לכם בהן קהל
• site:example.co.il בגוגל מציג דפים שלא יצרתם
• צריכת מעבד גבוהה בלי גידול בתנועה
• קובץ ליבה עם תאריך שינוי חדש

מניעה

המאמר אבטחת אתרי WordPress מפרט את שתים-עשרה השכבות במלואן.

---

חושדים שנפרצתם? פתחו פנייה דחופה — נבדוק את היומנים מהצד שלנו.