Web Sitem Hacklendi: İlk 24 Saatte Ne Yapmalıyım?

Bariz belirti, sayfanın değiştirilmiş ya da bir fidye mesajının görünmesidir. Ama sessiz belirtiler daha yaygındır. Arama sonuçlarında sitenizin başlığı sizin yazmadığınız yabancı bir içerikle görünüyorsa, ziyaretçileriniz telefonlarında başka bir siteye atılıyorsa ya da tarayıcı «bu site zararlı olabilir» uyarısı veriyorsa durum ciddidir.

Başka işaretler de vardır: yönetim panelinde tanımadığınız bir kullanıcı, kurmadığınız bir eklenti, hosting firmasından gelen kaynak aşımı ya da istenmeyen e-posta uyarısı, müşterilerinizin sizden gelmeyen e-postalar aldığını söylemesi. Tek bir belirti kesin kanıt değildir, ama birkaçı birlikte görünüyorsa varsayım ihtiyatlı olmalıdır.

• Arama sonuçlarında sizin yazmadığınız başlık ya da açıklamalar
• Ziyaretçilerin başka bir siteye yönlendirilmesi
• Tarayıcının ya da arama motorunun zararlı site uyarısı
• Yönetim panelinde tanımadığınız kullanıcı ya da eklenti
• Sunucunun beklenmedik biçimde yavaşlaması ya da hosting'den uyarı gelmesi

Amaç önce zararı durdurmak, sonra kanıtı korumak, sonra erişimi geri almaktır. Siteyi geçici olarak bakım sayfasına almak, ziyaretçinin zararlı koda maruz kalmasını önler. Sonra, değişiklik yapmadan, dosyaların ve veritabanının mevcut hâlinin bir kopyasını ayrı bir yere alın; sunucu erişim kayıtlarını da saklayın. Nasıl girildiğini bulmak bu kayıtlara bağlıdır.

Ardından şifreleri değiştirin, ama temiz bir cihazdan. Saldırı sizin bilgisayarınızdan başlamış olabilir; kendi cihazınızı da tarayın. Şifre üretirken tahmin edilemez, her hesap için ayrı değerler seçin; sitedeki şifre oluşturucu bu iş için kullanılabilir. Son olarak hosting firmasına yazın; sunucu tarafında başka hesapların da etkilenip etkilenmediğine onlar bakabilir.

• Siteyi geçici olarak bakım sayfasına almak
• Dosya ve veritabanının mevcut hâlinin kopyasını ve erişim kayıtlarını saklamak
• Hosting, yönetim paneli, veritabanı, FTP ve e-posta şifrelerini temiz cihazdan değiştirmek
• Tanımadığınız yönetici kullanıcıları ve eklentileri not edip devre dışı bırakmak
• Hosting firmasına haber vermek
• Kendi bilgisayarınızı zararlı yazılıma karşı taramak

Yedek, ancak hack tarihinden önceye aitse işe yarar. Zararlı kod aylar önce yerleşmişse yedeğin kendisi de bulaşıktır. Bu yüzden geri dönüşten önce, hangi yedeğin temiz olduğunu bilmek gerekir. Yedeğe dönmek tek başına yetmez: saldırganın girdiği açık kapanmadıysa aynı yoldan yeniden girer.

Doğru temizlik şu sırayla ilerler: temiz bir yedek ya da yazılımın temiz kurulumu üzerine içerik taşınır, yazılım, tema ve eklentiler güncellenir, kullanılmayanlar silinir, yönetici hesapları gözden geçirilir ve sonra ancak siteyi açarsınız. Belirsiz bir noktada kalıyorsanız, önce kopyayı bir yerde inceleyip sonra canlıya almak güvenlidir.

Site temizlendikten sonra uyarı kendiliğinden kalkmayabilir. Arama motorlarının yönetim araçları, sitede güvenlik sorunu tespit edildiğinde sizi bilgilendirir; sorun giderildiğinde de yeniden inceleme istemeniz gerekir. İstek, sorunun ne olduğunu ve nasıl giderdiğinizi kısaca anlatan bir açıklama ile yapılır. İnceleme süresi değişkendir; bunun için bir süre vaat edilemez.

Bu arada arama sonuçlarında kalan yabancı sayfaları da temizleyin: sizin oluşturmadığınız adresler silinmiş olmalı ve site haritası temiz olmalıdır. Zararlı içerik sayfaları kaldırıldıktan sonra, bunların aramada görünmeyi bırakması zaman alır.

İlk hata, kopya almadan her şeyi silmektir; saldırganın izini kaybedersiniz. İkincisi, yalnız ana sayfayı düzeltip arka kapıyı bırakmaktır: saldırgan bir hafta sonra geri döner. Üçüncüsü, şifreleri hack edilmiş olabilecek aynı bilgisayardan değiştirmektir.

Dördüncüsü, olayı saklamaktır. Müşteri verisi etkilenmiş olabilirse, bildirim yükümlülüğü doğabilir; bu hukuki bir konudur ve bir hukukçuya danışılmalıdır. Kişisel veri içeren bir sitede bunu ilk günden hesaba katın.

• Kopya almadan silmek
• Yalnız görünen belirtiyi düzeltip açığı kapatmamak
• Şifreleri ele geçirilmiş olabilecek cihazdan değiştirmek
• Müşteri verisi ihtimalini hukuki açıdan değerlendirmemek

Küçük, tek bir kurulumdan oluşan ve temiz bir yedeği olan bir sitede iş çoğu zaman yönetilebilir. Ama müşteri verisi, ödeme akışı ya da üyelik sistemi olan bir sitede, ya da zararlı kodun nerede olduğunu bulamıyorsanız, kendi başınıza uğraşmak riskli bir seçimdir. Yanlış temizlik, kalıntı bırakır ve aynı olay yeniden yaşanır.

Böyle durumlarda hosting firmasının güvenlik desteğine ya da siteyi yapan ekibe başvurun. Temizlik kadar, saldırganın hangi yolla girdiğinin bulunması da işin parçasıdır. O bulunmadan yapılan her onarım geçicidir.

Önlemler sıkıcıdır ama etkilidir. Yazılım, tema ve eklentileri güncel tutun; kullanmadıklarınızı silin. Yönetim hesaplarında güçlü ve benzersiz şifre ile iki adımlı doğrulama kullanın ve her kişiye yalnız ihtiyacı kadar yetki verin. Yedeği sunucunun dışında, ayrı bir yerde ve düzenli tutun.

Siteyi arada bir dışarıdan taramalarla yoklamak da yararlıdır. Güvenlik başlıkları ve bir güvenlik duvarı katmanı saldırı yüzeyini daraltır. Hiçbiri sıfır risk getirmez; amaç saldırıyı zorlaştırmak ve olduğunda hızlı toparlanabilmektir.

• Düzenli güncelleme, kullanılmayan eklentilerin silinmesi
• Güçlü, benzersiz şifreler ve iki adımlı doğrulama
• En az yetki ilkesi: herkese yalnız gereken erişim
• Sunucu dışında, düzenli ve denenmiş yedek
• Güvenlik duvarı ve güvenlik başlıkları