WordPress ถูกแฮ็กควรทำอย่างไร?

เมื่อสงสัยว่าเว็บไซต์ WordPress ถูกแฮ็ก ให้รีบลดความเสียหาย เก็บข้อมูลที่จำเป็น และหาสาเหตุที่ผู้โจมตีเข้ามา อย่าเพิ่งลบไฟล์หรือกู้คืนข้อมูลทันที เพราะอาจทำให้หลักฐานหาย หรือทำให้เว็บไซต์กลับมาติดปัญหาเดิมอีก

❶ สังเกตสัญญาณและประเมินความเสียหาย

สัญญาณที่ควรตรวจสอบ ได้แก่ หน้าเว็บถูกเปลี่ยน เนื้อหาหรือโฆษณาแปลกปลอมปรากฏ มีผู้ดูแลระบบที่ไม่รู้จัก เว็บไซต์เปลี่ยนเส้นทางไปเว็บอื่น หรือมีไฟล์และปลั๊กอินที่ไม่ได้ติดตั้งเอง

บางครั้งอาการเว็บล่มหรือเข้าแดชบอร์ดไม่ได้อาจเกิดจากปัญหาโฮสติ้งหรือการอัปเดตที่ผิดพลาด จึงควรตรวจสอบข้อความแจ้งเตือนและสอบถามผู้ให้บริการโฮสติ้งก่อนสรุปว่าเป็นการแฮ็ก

❷ จำกัดความเสียหายและเก็บข้อมูลก่อนแก้ไข

① ติดต่อผู้ให้บริการโฮสติ้ง

แจ้งโฮสติ้งว่าเว็บไซต์มีพฤติกรรมน่าสงสัย ขอให้ช่วยตรวจสอบบันทึกการใช้งาน ไฟล์ที่เปลี่ยนแปลง และการเข้าถึงบัญชี หากเว็บไซต์กำลังส่งสแปมหรือเปลี่ยนเส้นทางผู้เข้าชม ให้สอบถามวิธีจำกัดการเข้าถึงชั่วคราวโดยไม่ทำให้ข้อมูลหลักฐานสูญหาย

② บันทึกสิ่งที่พบ

จดเวลา อาการ หน้าเว็บที่ได้รับผลกระทบ ข้อความแจ้งเตือน และการเปลี่ยนแปลงที่สังเกตเห็น ถ่ายภาพหน้าจอไว้ และเก็บสำเนาไฟล์หรือฐานข้อมูลปัจจุบันตามคำแนะนำของโฮสติ้ง สำเนานี้อาจมีไฟล์อันตราย จึงควรเก็บแยกไว้เพื่อใช้ตรวจสอบ ไม่ควรนำกลับไปเผยแพร่บนเว็บไซต์

❸ เปลี่ยนรหัสผ่านและปิดช่องทางเข้าถึง

ตรวจสอบบัญชี WordPress และบัญชีอื่นที่ใช้จัดการเว็บไซต์ เช่น อีเมล โฮสติ้ง แผงควบคุม และ SFTP ลบบัญชีผู้ดูแลที่ไม่รู้จัก และระงับบัญชีที่สงสัยว่าถูกยึด

หลังจากตรวจสอบและกำจัดช่องทางที่ผู้โจมตีใช้แล้ว ให้เปลี่ยนรหัสผ่านทุกบัญชีที่เกี่ยวข้องเป็นรหัสผ่านใหม่ที่ไม่ซ้ำกัน หากเปลี่ยนรหัสผ่านก่อนแก้ช่องโหว่ ผู้โจมตีอาจกลับเข้ามาได้อีก ควรเปิดการยืนยันตัวตนสองขั้นตอนให้บัญชีผู้ดูแลเมื่อระบบรองรับ

❹ เลือกวิธีกู้คืนเว็บไซต์

① กู้คืนจากไฟล์สำรองที่มั่นใจว่าสะอาด

หากมีไฟล์สำรองจากช่วงก่อนเกิดเหตุ ให้ตรวจสอบวันที่และยืนยันกับโฮสติ้งว่าไม่มีสัญญาณติดมัลแวร์ ก่อนกู้คืนควรหาสาเหตุที่ทำให้เว็บไซต์ถูกเจาะ เช่น ปลั๊กอินเก่าหรือบัญชีที่ถูกยึด หากไม่ปิดช่องทางเดิม เว็บไซต์อาจถูกโจมตีซ้ำ

② ให้ผู้เชี่ยวชาญตรวจและทำความสะอาด

หากไม่มีไฟล์สำรองที่เชื่อถือได้ เว็บไซต์มีข้อมูลสำคัญ หรือพบไฟล์แปลกปลอมหลายตำแหน่ง ควรให้ผู้ดูแลระบบหรือผู้เชี่ยวชาญด้านความปลอดภัยตรวจสอบ การลบไฟล์ที่มองเห็นเพียงจุดเดียวอาจไม่พอ เพราะโค้ดอันตรายอาจซ่อนอยู่ในไฟล์หรือฐานข้อมูลส่วนอื่น

❺ ตรวจสอบและอัปเดตหลังทำความสะอาด

เมื่อเว็บไซต์ได้รับการกู้คืนแล้ว ให้อัปเดต WordPress ธีม และปลั๊กอินเป็นรุ่นที่ยังได้รับการดูแล ลบส่วนเสริมที่ไม่จำเป็นและไฟล์ที่ไม่รู้จัก ตรวจสอบบัญชีผู้ใช้ การตั้งค่าการเปลี่ยนเส้นทาง และหน้าเว็บสำคัญ เช่น หน้าแรก แบบฟอร์ม และหน้าชำระเงิน

ComSiam แนะนำให้ทดสอบเว็บไซต์ทั้งบนมือถือและคอมพิวเตอร์ รวมถึงตรวจว่าผู้เข้าชมไม่ถูกเปลี่ยนเส้นทางไปหน้าอื่น และหลังบ้านทำงานได้ตามปกติ

❻ เฝ้าระวังไม่ให้เกิดซ้ำ

หลังแก้ไขแล้ว ให้ตรวจสอบบันทึกการเข้าสู่ระบบและการเปลี่ยนแปลงไฟล์อย่างต่อเนื่อง เปิดใช้การสำรองข้อมูลตามรอบ และเก็บสำเนาไว้ในพื้นที่แยกจากโฮสติ้ง หากพบสัญญาณเดิมอีก ให้แจ้งผู้ให้บริการทันทีและบันทึกเวลาเกิดเหตุ

หากข้อมูลลูกค้าหรือข้อมูลส่วนบุคคลอาจได้รับผลกระทบ ให้ตรวจสอบขอบเขตความเสียหายกับผู้ให้บริการและผู้รับผิดชอบด้านข้อมูลของเว็บไซต์ เพื่อดำเนินการตามหน้าที่ที่เกี่ยวข้อง

❼ เช็กลิสต์เมื่อ WordPress ถูกแฮ็ก

• ติดต่อโฮสติ้งและจำกัดความเสียหาย
• บันทึกอาการ เวลา และหน้าที่ได้รับผลกระทบ
• เก็บสำเนาเว็บไซต์ปัจจุบันไว้ตรวจสอบอย่างปลอดภัย
• ตรวจบัญชีผู้ใช้และปิดบัญชีที่ไม่รู้จัก
• กำจัดช่องทางที่ผู้โจมตีใช้ก่อนเปลี่ยนรหัสผ่านทั้งหมด
• กู้คืนจากไฟล์สำรองที่ตรวจสอบแล้ว หรือให้ผู้เชี่ยวชาญทำความสะอาด
• อัปเดต WordPress ธีม และปลั๊กอิน
• ตรวจเว็บไซต์และเฝ้าระวังหลังกลับมาใช้งาน

การรับมืออย่างเป็นขั้นตอนช่วยลดโอกาสที่เว็บไซต์จะเสียหายเพิ่ม และช่วยให้ทราบว่าควรแก้จุดใดเพื่อป้องกันการโจมตีซ้ำ สำหรับเว็บไซต์ของ ComSiam ควรเก็บข้อมูลเหตุการณ์และผลการกู้คืนไว้เป็นบันทึก เพื่อให้ตรวจสอบย้อนหลังได้