WordPress hacket: slik rydder du opp og sikrer nettsiden

Slik oppdager du at WordPress er hacket

Et hacket nettsted betyr at noen har fått adgang til å endre noe på nettstedet eller nettbutikken din. Det skjer typisk gjennom et sikkerhetshull i en plugin eller et tema, og bare i sjeldne tilfeller gjennom sikkerhetshull hos webhotellet. Selve WordPress er sjelden inngangsdøren, men plattformen er et åpenbart mål fordi den driver en svært stor del av nettsidene på internett.

Signalene er ofte stillere enn du skulle tro. Du kan få en advarsel i Google om at nettstedet er usikkert, en sikkerhetsplugin kan melde om endringer i databasen, eller du ser en ny administratorbruker du ikke har opprettet. Andre tegn er tekst og lenker du er helt sikker på at ingen på huset har laget, omdirigeringer til sider du ikke kjenner, eller e-postvarsler om påloggingsforsøk du ikke står bak.

Det lønner seg å forstå hvorfor. De fleste angrep er ikke personrettet: automatiserte verktøy skanner tusenvis av nettsteder samtidig og ser etter foreldede plugins, svake passord og kjente sårbarheter. En hacker som ødelegger nettstedet ditt, mister tilgangen med det samme. En som holder seg skjult, kan bruke nettstedet i måneder, blant annet til å sende spam fra e-postadressene som er knyttet til domenet. Har du en blogg på nettstedet, er det verdt å vite hvordan du driver den trygt, se slik bruker du WordPress til blogg.

Har du aldri hatt en oversikt over nettsiden din, er det lurt å starte med grunnmuren. I guiden til nettside for bedrift finner du rekkefølgen for ansvar, domene, webhotell og drift.

De første timene: begrens skaden

Første handling er å sette nettstedet i vedlikeholdsmodus eller ta det midlertidig ned. Det handler ikke om å skjule problemet, men om å beskytte besøkende mot å bli infisert og om å beskytte plasseringen din i Google. Nettstedet er allerede skadet. Nå gjelder det å hindre at skaden sprer seg til kundene dine.

Bytt alle passord, ikke bare WordPress-passordet. Det gjelder alle brukerkontoer i WordPress, tilgangen til webhotellet og filoverføringen, databasen og e-postkontoene som hører til domenet. Sjekk også hvilken e-postadresse som er satt som administrator. Har hackeren byttet den, kan du være låst ute selv om du har nytt passord.

Ta en sikkerhetskopi av det kompromitterte innholdet før du begynner å slette. Den er bevis hvis du senere skal dokumentere hendelsen overfor kunder, leverandører eller forsikring. Behold logger fra webhotellet, og ta kontakt med webhotellet for å varsle om hendelsen. De kan se trafikk og innlogginger som du ikke har tilgang til selv.

Rydd opp i riktig rekkefølge

Start med en malware-skanning og fjern det som blir funnet: ondsinnede filer og brukere du ikke kjenner. Slett aldri filer på måfå for å «se om det hjelper». Uten en fullstendig oversikt risikerer du å fjerne deler av infeksjonen og la resten bli liggende.

Reinstaller deretter kjernefilene i WordPress fra en ren kilde, og installer plugins og temaer på nytt. Slett alt du ikke faktisk bruker, og oppdater det du beholder. Bytt også sikkerhetsnøklene i konfigurasjonsfilen, slik at innloggede økter blir ugyldige. Sjekk databasen for ekstra administratorbrukere, og se over filer som styrer omdirigeringer og serveroppsett. Er du usikker på oppsettet rundt WordPress, er installasjon av WordPress og webhotell for WordPress greie steder å begynne.

Når oppryddingen er gjort, tar du en ny sikkerhetskopi og overvåker nettstedet tett den neste perioden. Se etter nye brukere, endrede filer og uventet trafikk. Kommer infeksjonen tilbake, betyr det at du ikke har funnet inngangsveien, ikke at du har vært uheldig.

Forebygging som faktisk virker

Oppdateringer er det viktigste enkeltiltaket. Ifølge en norsk gjennomgang stammer over 91 prosent av sikkerhetshullene i WordPress-installasjoner fra plugins og temaer, ikke fra WordPress selv. Det betyr at hver plugin du har liggende, er en dør du må holde lukket. Sett oppdateringer til å kjøre automatisk der det er forsvarlig, og følg med på de som ikke tåler automatikk.

Færre plugins er bedre enn mange. Fjern alt du ikke bruker, også de som er deaktivert men fortsatt installert. Et sikkerhetsplugin gir verdi, blant annet gjennom beskyttelse mot brute force-angrep, men det erstatter ikke oppdateringer, sterke passord og to-faktor-pålogging på administratorbrukere.

Sikkerhetskopier må ligge utenfor nettstedet, og de må testes. En kopi du aldri har gjenopprettet, er en antakelse, ikke en sikkerhet. Velg også et webhotell som tar sikkerhet på alvor, og som varsler deg hvis de ser noe unormalt.

Et hack rammer også synligheten. En Google-advarsel kan fjerne deg fra søkeresultatene i den perioden nettstedet er flagget, og det tar tid å bygge tilliten tilbake. Derfor hører sikkerhet og søk sammen. SEO for WordPress bør ses på som en del av driften, ikke som noe du gjør én gang.

Når du bør overlate jobben til fagfolk

Noen situasjoner bør du ikke prøve å løse selv. Er du låst helt ute fordi alle passord og administratoradressen er byttet, er databasen infisert, eller er dette andre gangen på kort tid, trenger du noen som kan gå gjennom hele installasjonen. Har du nettbutikk med kundeopplysninger, er terskelen lavere, fordi hendelsen også handler om personopplysninger og om å kunne dokumentere hva som har skjedd.

Gjør det enklere for den som skal hjelpe deg. Skriv ned når du oppdaget problemet, hva du har endret, og hvilke brukere som er opprettet. Ha tilgang til WordPress, webhotellet og domenet klart. En ryddejobb går raskere når ingen må gjette seg til hva som er gjort før.

For mange små bedrifter er den mest praktiske løsningen å flytte ansvaret for oppdateringer, sikkerhetskopier og overvåking til noen som gjør det fast. Nettsaga bygger og drifter nettsider for små bedrifter, og kan ta den løpende sikkerheten sammen med resten av nettsiden. Vil du se hvordan det fungerer, kan du book en demo.

Vanlige spørsmål

Hvordan vet jeg om WordPress-nettsiden min er hacket?

Se etter en Google-advarsel, ukjente administratorbrukere, tekst og lenker du ikke har laget, omdirigeringer til ukjente sider, eller varsler fra et sikkerhetsplugin. E-post om påloggingsforsøk du ikke kjenner, er også et tegn.

Hva bør jeg gjøre først?

Sett nettstedet i vedlikeholdsmodus, bytt alle passord til WordPress, webhotell, database og e-post, og ta sikkerhetskopi av det kompromitterte innholdet før du sletter noe. Varsle deretter webhotellet.

Kan jeg bli hacket selv om jeg oppdaterer?

Ja, men risikoen blir lavere. De fleste hull ligger i plugins og temaer, så det avgjørende er at alt oppdateres, at du fjerner det du ikke bruker, og at administratorbrukere har sterke passord og to-faktor-pålogging.

Må jeg slette hele nettsiden og starte på nytt?

Som regel ikke. En vanlig opprydding er malware-skanning, fjerning av ondsinnede filer og brukere, og reinstallasjon av kjernefilene i WordPress fra en ren kilde, kombinert med nyinstallerte og oppdaterte plugins og temaer.

Kan hackeren komme tilbake?

Hvis infeksjonen dukker opp igjen, er årsaken nesten alltid at inngangsveien ikke er tettet. Da må du gå gjennom brukere, plugins, temaer og tilganger på nytt i stedet for bare å fjerne filene som dukker opp.