10 สัญญาณเตือนว่าเว็บไซต์ Joomla อาจถูกแฮ็ก

เว็บไซต์ Joomla อาจถูกแฮ็กหากพบการเปลี่ยนแปลงที่ผู้ดูแลไม่ได้ทำ เช่น มีบัญชีผู้ดูแลใหม่ ไฟล์แปลกปลอม หรือเว็บไซต์เปลี่ยนเส้นทางเอง สัญญาณเหล่านี้ยังไม่ยืนยันการบุกรุกเสมอไป ควรตรวจ Log บัญชี และไฟล์ประกอบกัน

❶ สัญญาณที่เห็นบนหน้าเว็บไซต์

① หน้าเว็บถูกเปลี่ยนโดยไม่ได้แก้ไขเอง

หน้าแรกหรือบทความมีข้อความ รูปภาพ หรือลิงก์ที่ไม่คุ้นเคย อาจเกิดจากการแก้เนื้อหาโดยผู้ไม่ได้รับอนุญาตหรือส่วนเสริมที่มีปัญหา

② เว็บไซต์เปลี่ยนเส้นทางไปหน้าอื่น

ผู้เข้าชมถูกส่งไปเว็บไซต์แปลกปลอม หรือพบหน้าโฆษณาที่เจ้าของเว็บไม่ได้เพิ่ม ให้ตรวจทั้งเทมเพลต ส่วนเสริม และไฟล์ที่ถูกแก้ไข

③ มีโฆษณาหรือหน้าต่างป๊อปอัปแปลกปลอม

พบโฆษณาที่แสดงเฉพาะบางอุปกรณ์หรือบางหน้า ควรตรวจสคริปต์ เทมเพลต และโค้ดที่เพิ่มเข้ามาล่าสุด

❷ สัญญาณจากบัญชีและการเข้าสู่ระบบ

④ มีบัญชีผู้ดูแลที่ไม่รู้จัก

พบผู้ใช้ใหม่ในกลุ่ม Administrator หรือ Super Users ที่ไม่มีผู้รับผิดชอบ ให้ตรวจอีเมล กลุ่ม และวันที่สมัคร แล้วสอบถามผู้ดูแลคนอื่นก่อนระงับบัญชี

⑤ รหัสผ่านหรืออีเมลผู้ดูแลถูกเปลี่ยนเอง

หากเข้าแอดมินไม่ได้ หรือได้รับอีเมลแจ้งเปลี่ยนข้อมูลที่ไม่ได้ทำเอง ให้ตรวจบัญชีผู้ดูแลและข้อมูลการกู้คืนบัญชีจากอุปกรณ์ที่ปลอดภัย

⑥ มีการเข้าสู่ระบบหรือคำขอซ้ำที่ผิดปกติ

Log ของโฮสติ้งอาจแสดงการพยายามเข้าสู่ระบบหรือเรียก URL เดิมซ้ำจำนวนมาก ควรตรวจช่วงเวลาและเปรียบเทียบกับกิจกรรมปกติของเว็บไซต์

❸ สัญญาณจากไฟล์และการทำงานของเว็บไซต์

⑦ พบไฟล์ที่ไม่รู้จักหรือไฟล์ถูกแก้ไข

มีไฟล์เพิ่มในโฟลเดอร์ Joomla หรือไฟล์ระบบเปลี่ยนโดยไม่มีการอัปเดตหรือแก้ไขจากทีมงาน ให้บันทึกตำแหน่งและเวลาไว้ก่อนลบ

⑧ เว็บไซต์ช้าหรือใช้ทรัพยากรสูงผิดปกติ

เว็บตอบสนองช้า เซิร์ฟเวอร์ใช้ CPU หรือทรัพยากรสูงขึ้น หรือมีการรับส่งข้อมูลมากผิดปกติ อาจเกิดจากหลายสาเหตุ จึงควรตรวจ Log และสอบถามโฮสติ้ง

⑨ มีข้อผิดพลาดหรือการแจ้งเตือนจากโฮสติ้ง

ได้รับแจ้งไฟล์อันตราย เว็บไซต์ถูกจำกัดการเข้าถึง หรือมีข้อผิดพลาดที่เริ่มขึ้นโดยไม่มีการเปลี่ยนแปลงชัดเจน ให้เก็บข้อความแจ้งเตือนและเวลาที่พบ

❹ สัญญาณจากภายนอกและสิ่งที่ควรทำ

⑩ ผู้เข้าชมหรือเครื่องมือค้นหาเห็นเนื้อหาที่คุณไม่เห็น

มีผู้รายงานหน้าเว็บแปลกปลอม หรือผลค้นหาแสดงชื่อและข้อความที่ไม่เคยเผยแพร่ ลองตรวจจากอุปกรณ์อื่นและดูหน้าเว็บหลายหน้า เพราะบางการแทรกโค้ดอาจแสดงผลเฉพาะบางเงื่อนไข

ตรวจหลายสัญญาณก่อนสรุป

หนึ่งสัญญาณอาจเกิดจากการตั้งค่าผิด ส่วนเสริม หรือปัญหาโฮสติ้งได้ หากพบหลายข้อพร้อมกัน โดยเฉพาะบัญชีผู้ดูแลแปลกปลอมและไฟล์ที่เปลี่ยนโดยไม่ทราบสาเหตุ ให้เก็บ Log และขอให้โฮสติ้งช่วยตรวจสอบ

หากสงสัยว่าถูกแฮ็ก อย่าลบไฟล์หรือกู้คืนแบ็กอัปทันทีโดยไม่ตรวจวันที่และหลักฐาน เปลี่ยนรหัสผ่านจากอุปกรณ์ที่ปลอดภัย และตรวจบัญชีผู้ดูแล ส่วนเสริม และไฟล์ร่วมกัน

ComSiam แนะนำให้บันทึกช่วงเวลาที่พบสัญญาณและเก็บภาพหน้าจอหรือข้อความแจ้งเตือนไว้ก่อนแก้ไข หากยืนยันการบุกรุก ให้ตรวจหาช่องทางที่ใช้เข้าถึงด้วย ไม่เช่นนั้นผู้โจมตีอาจกลับมาได้

การตรวจเว็บไซต์เป็นประจำช่วยให้เปรียบเทียบความเปลี่ยนแปลงได้ง่ายขึ้น ComSiam แนะนำให้ทบทวนบัญชีผู้ดูแล อัปเดต Joomla และส่วนเสริม พร้อมตรวจ Log ตามรอบที่กำหนด