Web Sitesi Hacklendi: Belirtiler ve Çözüm

01Site Hacklendiğini Nasıl Anlarım?

Bazı saldırılar kendini hemen belli eder: ana sayfada saldırganın mesajı belirir ya da site tamamen açılmaz. Ancak saldırıların çoğu sessizdir. Saldırgan siteyi bozmak yerine onu fark ettirmeden kullanmak ister; spam bağlantı yerleştirir, ziyaretçileri başka sitelere yönlendirir ya da sunucuyu e-posta göndermek için kullanır.

Bu yüzden belirtileri bilmek önemlidir. Aşağıdakilerden biri bile ciddi bir şüphe sebebidir; birkaçı bir aradaysa büyük olasılıkla bir sızma yaşanmıştır.

• Tarayıcıda ya da arama sonuçlarında güvenlik uyarısı görünmesi
• Ziyaretçilerin, özellikle mobilden ya da Google'dan gelince başka sitelere yönlendirilmesi
• Arama sonuçlarında sitenizin adıyla ilgisiz ürün, kumar ya da ilaç sayfalarının çıkması
• Yönetim panelinde tanımadığınız kullanıcılar ya da değişen şifreler
• Sunucuda adını bilmediğiniz yeni dosyalar ve son değişiklik tarihleri yeni olan eski dosyalar
• Barındırma firmasından gelen spam e-posta ya da kaynak kullanımı uyarısı
• Sitenin belirgin biçimde yavaşlaması ya da sık sık hata vermesi

02İlk Bir Saatte Yapılacaklar

Hacklendiğinizi fark ettiğiniz anda amaç, zararı sınırlamak ve inceleme için gereken izleri korumaktır. Aceleyle dosya silmek, saldırının nasıl gerçekleştiğini anlamayı zorlaştırır ve aynı açığın açık kalmasına neden olur.

1. Siteyi bakım moduna alın ya da geçici olarak ziyaretçiye kapatın
2. Sitenin mevcut halinin dosya ve veritabanı kopyasını alıp ayrı bir yerde saklayın
3. Barındırma firmanızı bilgilendirin; sunucu kayıtlarını (log) isteyin
4. Temiz bir cihazdan yönetim paneli, FTP/SFTP, veritabanı, barındırma ve alan adı hesaplarının şifrelerini değiştirin
5. Tanımadığınız yönetici hesaplarını devre dışı bırakın
6. Müşteri ya da kart verisi etkilenmiş olabilirse hukuk danışmanınızla bildirim yükümlülüklerini değerlendirin

03Saldırı Nereden Geldi?

Temizlik yapmadan önce giriş yolunu bulmak gerekir; aksi halde saldırgan aynı kapıdan birkaç gün içinde geri gelir. Sunucu erişim kayıtları, yönetim paneli giriş geçmişi ve dosyaların değişiklik tarihleri bu sorunun yanıtını verir.

En sık görülen giriş yolları şunlardır: güncellenmemiş yazılım ve bileşenlerdeki bilinen açıklar, zayıf ya da başka yerde sızmış yönetici şifreleri, güvenli olmayan dosya yükleme alanları, eski ve unutulmuş test sayfaları ve ele geçirilmiş bir bilgisayardan çalınan FTP bilgileri.

find /var/www/site -type f -name '*.php' -mtime -7 -ls

grep -rnE 'eval\(|base64_decode|gzinflate' /var/www/site --include='*.php'

04Zararlı Kod Temizleme

Zararlı kod temizleme için iki yol vardır: enfekte dosyaları tek tek ayıklamak ya da siteyi temiz bir kaynaktan yeniden kurmak. İkincisi neredeyse her zaman daha güvenlidir; çünkü saldırganlar genellikle birden fazla arka kapı bırakır ve bunların hepsini elle bulmak zordur.

Temiz Yedekten Geri Dönüş

Saldırı tarihinden önceye ait, temiz olduğundan emin olduğunuz bir yedek varsa en hızlı çözüm budur. Ancak yedek geri yüklendikten sonra giriş yolu kapatılmazsa site yeniden hacklenir; bu yüzden geri dönüş, güncelleme ve şifre değişimiyle birlikte yapılmalıdır. Düzenli ve test edilmiş yedek almanın yolunu yedekleme nasıl yapılır rehberimizde anlattık.

Yedek Yoksa Ne Olur?

Temiz yedek yoksa sitenin kodu güvenilir kaynaktan yeniden alınır, içerik ve görseller tek tek kontrol edilerek aktarılır. Veritabanında da saldırganın eklediği kullanıcılar, gizli bağlantılar ve sayfa içeriğine gömülü betikler aranmalıdır. Bu süreç zahmetlidir ama yarım bir temizlikten çok daha az maliyetlidir.

05Google Güvenlik Uyarısını Kaldırmak

Google, zararlı içerik tespit ettiği siteleri arama sonuçlarında ve tarayıcıda uyarıyla gösterebilir. Bu uyarı ziyaretçilerin büyük bölümünü siteye girmeden geri çevirir, bu yüzden temizlik tamamlandıktan sonra hızla kaldırılması gerekir.

Sitenizin durumunu Google'ın Güvenli Tarama durum sayfasından kontrol edebilirsiniz. Search Console'da sitenizin doğrulanmış olması bu süreci kolaylaştırır.

1. Search Console'da Güvenlik sorunları raporunu açın ve tespit edilen sorunları inceleyin
2. Raporda örnek gösterilen adreslerin temizlendiğini doğrulayın
3. Yaptığınız düzeltmeleri kısaca açıklayarak inceleme isteği gönderin
4. Sonucu bekleyin; inceleme süresi sorunun türüne göre değişir
5. Spam sayfalar oluşturulduysa bu adreslerin 404 ya da 410 döndürdüğünden emin olun

06SEO Hasarını Onarmak

Saldırganlar sıklıkla sitenize binlerce spam sayfa ekler ya da mevcut sayfalara gizli bağlantılar yerleştirir. Temizlikten sonra bu izler bir süre arama sonuçlarında görünmeye devam edebilir. Search Console'daki dizin raporlarını izlemek, istenmeyen adreslerin dizinden çıkışını takip etmenizi sağlar.

Site haritasını yeniden gönderin, önemli sayfaların doğru göründüğünü kontrol edin ve organik trafikteki değişimi birkaç hafta boyunca izleyin. Kalıcı bir düşüş görüyorsanız teknik yapının bir uzman tarafından incelenmesi faydalı olur; SEO ve analiz çalışmaları bu süreçte kaybedilen görünürlüğü geri kazanmaya odaklanır.

07Bir Daha Yaşamamak İçin

Temizlenen bir site, alışkanlıklar değişmezse yeniden hedef olur. Aşağıdaki önlemler, saldırganın işini belirgin şekilde zorlaştırır.

• Site yazılımı, sunucu ve tüm bileşenlerde düzenli güncelleme
• Yönetim panelinde benzersiz şifre ve iki adımlı doğrulama
• Her kullanıcıya kendi hesabı ve yalnız gereken yetki
• FTP yerine SFTP, kullanılmayan erişimlerin kapatılması
• Dosya yükleme alanlarında tür ve boyut kontrolü
• Günlük, sitenin dışında saklanan ve test edilen yedekler
• Dosya değişikliklerini ve çalışma süresini izleyen basit bir uyarı sistemi

Altyapıyı Değiştirmek Gerekir mi?

Saldırı, barındırma ortamının kendisindeki bir zayıflıktan kaynaklandıysa ya da sağlayıcı güncel güvenlik önlemlerini sunmuyorsa, siteyi daha sağlam bir altyapıya taşımak düşünülebilir. Kesintisiz geçiş için hosting taşıma rehberimize göz atabilirsiniz. Benzer önlemlerin dosyaları şifreleyen saldırılara karşı da işe yaradığını fidye yazılımı yazımızda anlattık.

08Ne Zaman Uzman Desteği Alınmalı?

Basit bir spam bağlantısını kaldırmak site sahibinin yapabileceği bir iş olabilir. Ancak müşteri ya da ödeme verisi işleyen bir sitede, birden fazla kez hacklenen bir sistemde ya da giriş yolunu bulamadığınız durumlarda uzman desteği almak zaman ve itibar kaybını azaltır.

Özellikle sipariş alan bir e-ticaret altyapısında güvenlik olayı doğrudan satış ve güven kaybı demektir. Firmaya özel yazılım çözümlerinde ise kodun tamamı bilindiği için inceleme ve kalıcı düzeltme daha hızlı yapılabilir. Yayındaki sitelerde güncelleme, yedek izleme ve performans takibi hız ve performans yönetimi kapsamında düzenli bir bakım rutinine bağlanabilir.