Hackad WordPress: så gör ni

En hackad WordPress-sida är stressande. Besökare kan skickas vidare till spam, Google kan varna för sajten och webbhotellet kan stänga av den. Det viktiga är att göra saker i rätt ordning, så att intrånget verkligen tas bort och inte kommer tillbaka veckan efter.

Här är tecknen på att WordPress har blivit hackad, stegen ni tar nu och hur ni skyddar sajten framöver.

Varför hackas WordPress-sidor?

De flesta intrång är inte riktade mot just er. Angripare letar automatiskt efter sajter med kända säkerhetshål, oftast i tillägg eller teman som inte har uppdaterats, och provar vanliga lösenord mot inloggningen. Målet är sällan sajten i sig. Den används för att skicka spam, lägga upp länkar och sidor som ska påverka sökresultat eller skicka besökare vidare till bedrägerier. Därför drabbas små företag lika ofta som stora.

Tecken på att er hemsida är hackad

• Besökare skickas vidare till andra sajter, ofta bara från Google eller bara i mobilen
• Google visar sidor på främmande språk eller med spam när ni söker på site:er-doman.se
• Okända användare med administratörsbehörighet har dykt upp
• Webbläsaren eller Google varnar för att sajten är farlig
• Webbhotellet meddelar att sajten skickar spam eller innehåller skadlig kod (malware)
• Sajten har blivit långsam eller visar sidor och länkar ni inte har lagt dit

Ett tecken räcker för att ta det på allvar. Intrång syns ibland inte för den som är inloggad, eftersom koden döljer sig för administratörer.

Steg för steg: så gör ni när WordPress är hackad

1. Dokumentera och kontakta webbhotellet

Ta skärmdumpar av det ni ser och notera när det började. Kontakta webbhotellet: de kan ofta se vilka filer som har ändrats och kan ha egna verktyg för att hitta skadlig kod. Har ni en byrå som sköter sajten, kontakta den direkt.

2. Byt alla lösenord

Byt lösenord för alla administratörer i WordPress, för kontot hos webbhotellet, för SFTP eller FTP och för databasen. Logga ut alla inloggade användare. Byt också säkerhetsnycklarna (salts) i wp-config.php, så att gamla inloggningar slutar gälla.

3. Rensa bland användarna

Gå igenom alla användare i WordPress. Ta bort konton ni inte känner igen och sänk behörigheten för konton som inte behöver vara administratörer.

4. Återställ från en ren säkerhetskopia

Det säkraste är ofta att återställa sajten från en säkerhetskopia från tiden före intrånget. Kontrollera att kopian verkligen är ren och att den innehåller både filer och databas. Allt som har ändrats efter kopian, till exempel nya ordrar eller inlägg, måste föras in igen.

5. Rensa manuellt om det inte finns en ren kopia

Saknas en ren säkerhetskopia behöver sajten rensas för hand:

• Ersätt WordPress kärnfiler med nya från wordpress.org
• Installera om tillägg och teman från ursprunglig källa och ta bort dem ni inte använder
• Leta efter PHP-filer i mappen för uppladdningar, där de inte ska finnas
• Kontrollera wp-config.php, .htaccess och mappen mu-plugins efter kod som inte hör hemma där
• Sök i databasen efter okända skript och länkar

Skanna sajten med ett säkerhetstillägg, till exempel Wordfence, och be webbhotellet skanna servern. Skadlig kod gömmer sig ofta på flera ställen, och missar ni ett kommer intrånget tillbaka.

6. Uppdatera allt och täpp till hålet

Uppdatera WordPress, alla tillägg och temat. Försök hitta hur angriparen kom in: ett gammalt tillägg, ett svagt lösenord eller ett tema från en okänd källa. Stäng den vägen, annars upprepas intrånget.

7. Be Google granska sajten igen

Logga in i Google Search Console och öppna rapporten om säkerhetsproblem. När sajten är ren begär ni en ny granskning. Varningen i sökresultatet och i webbläsaren försvinner först när Google har godkänt sajten. Ta också bort spamsidor som Google har hunnit indexera, så att de inte ligger kvar i sökresultaten.

8. Tänk på personuppgifterna

Har angriparen kunnat komma åt personuppgifter, till exempel kunder i en webbutik eller förfrågningar från ett formulär, kan det vara en personuppgiftsincident enligt GDPR. Den ska då anmälas till Integritetsskyddsmyndigheten (IMY) utan onödigt dröjsmål och om möjligt inom 72 timmar från att ni upptäckte den, om det inte är osannolikt att den medför risk för de berörda.

Så skyddar ni WordPress mot intrång

De flesta intrång går att förebygga med rutiner, inte med dyra verktyg.

• Uppdatera regelbundet. WordPress, tillägg och teman. Gamla tillägg är den vanligaste vägen in.
• Färre tillägg. Ta bort det ni inte använder och installera bara från kända källor. Piratkopierade teman och tillägg innehåller ofta skadlig kod.
• Starka lösenord och tvåstegsinloggning för alla som kan logga in.
• Säkerhetskopior utanför servern. En kopia som ligger på samma server kan försvinna eller smittas vid ett intrång.
• Brandvägg och skydd mot inloggningsförsök, både i WordPress och på servern.
• Övervakning. Någon ska märka när sajten går ner eller ändras, helst innan besökarna gör det.

Låt någon annan hålla koll

Det är lätt att skjuta upp uppdateringar när allt fungerar. Därför har många ett serviceavtal. I Empires serviceavtal uppdaterar vi WordPress, teman och tillägg, säkerhetskopierar hela sajten automatiskt och övervakar att den är uppe. Vi ansvarar för säkerhetskopiorna och för återställningen, även efter ett intrång. Sajten skyddas med Wordfence i WordPress, och med Imunify360 på servern när den ligger på vårt webbhotell.

Serviceavtalet kostar från 1 500 kr/mån exkl. moms. Läs mer om underhåll och support för WordPress, eller kontakta oss om sajten är hackad nu.