Bảo mật website quyết định website còn đứng vững hay không. Website bị chèn mã độc không chỉ mất mặt: Google có thể cảnh báo khách trước khi vào trang, đẩy website xuống thứ hạng thấp, thậm chí gỡ khỏi kết quả tìm kiếm; khách hàng mất niềm tin và dữ liệu có thể bị lộ. Với website WordPress, vấn đề này đặc biệt phổ biến vì nền tảng này rất thông dụng nên thường bị kẻ xấu nhắm tới. DSIC phân tích tình trạng, làm sạch, vá lỗ hổng và dựng lớp bảo vệ để mã độc không quay lại.
Dấu hiệu website có thể đã bị chèn mã độc
- Trình duyệt hoặc Google hiện cảnh báo website nguy hiểm hoặc có thể bị tấn công.
- Khách bấm vào website nhưng bị chuyển sang trang lạ (cờ bạc, thuốc, quảng cáo).
- Kết quả tìm kiếm của website hiện tiêu đề hoặc nội dung lạ không do mình viết, thường bằng ngôn ngữ khác.
- Xuất hiện tài khoản quản trị anh/chị không tạo, hoặc quản trị viên bị đổi mật khẩu.
- Website bỗng chậm bất thường, hosting báo dùng tài nguyên cao hoặc bị khoá.
- Có tệp lạ trên hosting, hoặc tệp hệ thống bị sửa ngày giờ.
- Email của website bị đánh dấu thư rác hàng loạt.
Chỉ cần gặp một dấu hiệu là nên kiểm tra sớm, dù chưa chắc đã bị nhiễm. Để càng lâu, website càng khó làm sạch và thiệt hại về thứ hạng càng nặng.
Mã độc vào website bằng đường nào
- Plugin, giao diện hoặc phần mềm lõi lỗi thời. Lỗ hổng đã được công bố mà chưa cập nhật bản vá.
- Plugin, giao diện lậu. Bản bẻ khoá thường đi kèm mã độc ngay từ đầu.
- Mật khẩu yếu hoặc bị lộ. Tài khoản quản trị, FTP, hosting hoặc cơ sở dữ liệu bị dò mật khẩu.
- Hosting cấu hình lỏng. Nhiều website dùng chung một tài khoản, phân quyền tệp quá rộng, nên một website nhiễm kéo theo các website còn lại.
- Máy tính của người quản trị bị nhiễm và lộ thông tin đăng nhập.
DSIC xử lý như thế nào
- Phân tích và báo giá. DSIC xem website và đánh giá mức độ nhiễm, rồi báo giá cụ thể cho từng trường hợp.
- Sao lưu hiện trạng. Lưu lại toàn bộ website trước khi can thiệp để không mất dữ liệu và có căn cứ so sánh.
- Quét và xác định mã độc. Rà tệp mã nguồn, cơ sở dữ liệu, tệp lạ, tài khoản lạ và các đoạn mã chèn vào trang.
- Làm sạch. Xoá mã độc và cửa hậu (đường để kẻ xấu quay lại), khôi phục tệp gốc từ bản chuẩn.
- Tìm và bịt nguyên nhân gốc. Nếu chỉ xoá mã độc mà không vá lỗ hổng, website thường bị nhiễm lại. DSIC xác định đường xâm nhập rồi xử lý.
- Đổi toàn bộ khoá truy cập. Mật khẩu quản trị, hosting, cơ sở dữ liệu và các khoá bí mật của website.
- Xử lý cảnh báo của Google. Nếu website bị đánh dấu nguy hiểm, gửi yêu cầu xét lại qua Google Search Console sau khi đã làm sạch, và dọn các trang lạ trên chỉ mục.
- Theo dõi sau xử lý. Quét lại sau một thời gian để chắc chắn mã độc không quay trở lại.
Chuẩn hoá WordPress theo mức bảo mật cao
Với website WordPress, DSIC xử lý mã nguồn và cấu hình theo hướng hạn chế tối đa bề mặt bị tấn công:
- Cập nhật lõi WordPress, giao diện và plugin; gỡ hẳn những thứ không dùng và những plugin không còn được duy trì.
- Không dùng plugin, giao diện bẻ khoá; thay bằng bản chính hãng hoặc giải pháp tương đương.
- Tắt khả năng sửa mã trực tiếp trong trang quản trị, để kẻ chiếm được tài khoản không dễ chèn mã.
- Phân quyền tệp và thư mục chặt, chặn chạy mã trong thư mục tải lên.
- Giới hạn số lần đăng nhập sai, bật xác thực hai lớp cho tài khoản quản trị, bỏ tài khoản mặc định dễ đoán.
- Tắt các cổng không dùng đến (ví dụ XML-RPC nếu website không cần).
- Dùng phiên bản PHP còn được hỗ trợ, cấu hình hosting tách biệt giữa các website.
- Sao lưu định kỳ và lưu bản sao ở nơi khác hosting, để khôi phục được khi có sự cố.
Bảo vệ để mã độc không quay lại
Làm sạch xong mới là một nửa việc. Phần còn lại là duy trì:
- Cập nhật bản vá đều đặn và kịp thời khi có lỗ hổng mới được công bố.
- Quét mã độc định kỳ và cảnh báo khi có tệp bị thay đổi bất thường.
- Tường lửa ứng dụng web (WAF) lọc lượt truy cập xấu trước khi tới website.
- Chứng chỉ SSL còn hạn và cấu hình đúng, xem chứng chỉ SSL.
- Theo dõi cảnh báo bảo mật trong Google Search Console.
Các việc này thuộc dịch vụ chăm sóc website và dịch vụ quản trị website của DSIC; anh/chị có thể thuê xử lý một lần hoặc duy trì thường xuyên.
Lưu ý để website an toàn hơn ngay từ hôm nay
- Dùng mật khẩu dài, khác nhau cho từng tài khoản và không chia sẻ qua tin nhắn.
- Chỉ cấp quyền quản trị cho người thật sự cần, thu hồi khi nhân sự nghỉ việc.
- Không cài plugin hoặc giao diện không rõ nguồn gốc.
- Giữ bản sao lưu gần nhất ở nơi tách khỏi hosting.
- Gặp cảnh báo "Không an toàn" của trình duyệt, xem bài Website báo "Không an toàn"; cảnh báo này có thể do SSL, không nhất thiết do mã độc.
Website mới tránh được nhiều rủi ro hơn
Website xây bằng Next.js do DSIC thiết kế không dùng plugin bên thứ ba như WordPress nên có ít cửa ngõ tấn công hơn, nhưng vẫn cần cập nhật thư viện và cấu hình đúng. Nếu website của anh/chị cũ, nhiều lỗ hổng và khó giữ an toàn, có thể cân nhắc chuyển nền tảng giữ thứ hạng.
Chi phí và cách bắt đầu
Chi phí phụ thuộc mức độ nhiễm, quy mô website và việc anh/chị chọn xử lý một lần hay duy trì. DSIC phân tích trước rồi báo giá cụ thể. Để được tư vấn, gọi 0985 995 012, gửi yêu cầu qua trang Liên hệ hoặc email info@dsic.vn, kèm địa chỉ website và mô tả dấu hiệu đang gặp. Nếu website đang bị Google cảnh báo, nên liên hệ sớm.
Câu hỏi thường gặp
Làm sao biết website bị nhiễm mã độc?
Dấu hiệu thường gặp là cảnh báo của Google hoặc trình duyệt, khách bị chuyển hướng sang trang lạ, kết quả tìm kiếm hiện nội dung lạ, tài khoản quản trị lạ. Cách chắc chắn nhất là quét và kiểm tra mã nguồn.
Tự xoá mã độc có được không?
Đôi khi xoá được phần nhìn thấy, nhưng cửa hậu ẩn trong tệp khác khiến website bị nhiễm lại. Cần tìm cả nguyên nhân gốc, nên nhờ người có kinh nghiệm xử lý.
Website bị Google cảnh báo thì bao lâu hết cảnh báo?
Sau khi làm sạch hoàn toàn, DSIC gửi yêu cầu xét lại qua Search Console. Thời gian Google xét lại do Google quyết định, nên cần xử lý sớm.
Bị nhiễm mã độc có mất thứ hạng không?
Có thể. Google có thể hạ thứ hạng hoặc gỡ trang bị nhiễm khỏi kết quả tìm kiếm. Làm sạch sớm và dọn các trang lạ giúp hạn chế thiệt hại.
Sau khi làm sạch, website có bị nhiễm lại không?
Nguy cơ giảm mạnh nếu nguyên nhân gốc được bịt và website được cập nhật, sao lưu, theo dõi thường xuyên. Không có hệ thống nào an toàn tuyệt đối, nên cần duy trì chứ không chỉ làm một lần.