إعادة توجيه نحو مواقع مشبوهة، تحذير أحمر في المتصفح، رسالة من الاستضافة تعلن تعليق الحساب: عندما يتعرّض موقع WordPress للاختراق، فإن كل ساعة لها ثمنها. لكن التصرّف بسرعة لا يعني التصرّف بتسرّع. فحذف الملفات عشوائيًا أو استرجاع نسخة احتياطية قديمة دون فهم مصدر الهجوم كثيرًا ما يؤدي إلى إصابة جديدة بعد بضعة أيام. إليك، بالترتيب، ما أقوم به وما أنصح بفعله في الساعات الأولى.
علامات تدلّ على أن موقع WordPress مخترق
- زوّار، غالبًا على الهاتف أو قادمون من Google، تتم إعادة توجيههم إلى صفحات كازينو أو صيدليات أو جوائز وهمية.
- صفحات مجهولة في نتائج البحث: اكتب
site:votredomaine.comفي Google وابحث عن عناوين باليابانية أو عن منتجات لا تبيعها. - تحذير «موقع مخادع» في متصفح Chrome، أو رسالة في قسم «مشاكل الأمان» في Google Search Console.
- حسابات مدير لم ينشئها أحد، إضافات مجهولة، ملفات PHP داخل المجلد
wp-content/uploads/. - تعليق الحساب أو تحذير من الاستضافة بسبب إرسال رسائل مزعجة أو استهلاك غير طبيعي للموارد.
تكفي علامة واحدة من هذه العلامات للتعامل مع الوضع على أنه اختراق مؤكَّد.
الخطوة 1: عزل الموقع دون إتلاف الأدلة
الهدف الأول هو حماية زوّارك. ضع الموقع في وضع الصيانة على مستوى الخادم (قاعدة في ملف .htaccess لا تسمح إلا بعنوان IP الخاص بك، أو الخيار الذي توفّره استضافتك) بدلًا من إضافة WordPress: فإذا كان الموقع مخترقًا، فقد تكون الإضافة مخترقة أيضًا. ولا تحذف أي شيء في الوقت الحالي، فالملفات المعدَّلة وسجلات الخادم هي الأدلة الوحيدة التي تسمح بفهم الطريقة التي دخل بها المهاجم.
الخطوة 2: حفظ نسخة من الموقع المصاب
قد يبدو الأمر غريبًا، لكن أنشئ نسخة كاملة من الموقع كما هو: الملفات، وقاعدة البيانات، وإن أمكن سجلات الوصول والأخطاء في الخادم. احفظها خارج الخادم وضع عليها علامة واضحة بأنها مصابة. فهي تُستعمل في التحليل، وفي التراجع إذا حذف التنظيف ملفًا سليمًا عن طريق الخطأ. وراجع أيضًا نسخك الاحتياطية السليمة: فالنسخة السابقة للإصابة ثمينة، بشرط أن تعرف متى حدث الاختراق.
الخطوة 3: التنظيف الشامل
التنظيف الجادّ لا يعني تشغيل أداة فحص وحذف ما تشير إليه. الطريقة الموثوقة هي إعادة البناء انطلاقًا من مصادر سليمة:
- إعادة تثبيت نواة WordPress من الأرشيف الرسمي، مع استبدال المجلدين
wp-admin/وwp-includes/بالكامل. - إعادة تثبيت كل إضافة وكل قالب من مصدره الرسمي، وحذف ما لم يعد مستعملًا أو ما تم تنزيله من مواقع توزّع النسخ المدفوعة مجانًا (النسخ المقرصنة أو «nulled»): وهي السبب الأول للإصابة الذي أصادفه.
- فحص الملفات المتبقية:
wp-config.php، والمجلدuploads(الذي يجب ألا يحتوي على أي ملف PHP)، وملفات.htaccess، والمهام المجدولة في الخادم. - مراقبة قاعدة البيانات: حسابات المستخدمين، والخياران
siteurlوhome، والسكربتات المحقونة في المحتوى أو في الودجات. - تحديد منفذ الدخول (إضافة بها ثغرة، كلمة مرور مسروقة، حساب FTP مخترق) وإغلاقه، وإلا فإن الإصابة من جديد شبه مؤكدة.
الخطوة 4: تغيير جميع بيانات الدخول
افترض أن المهاجم يعرف كل كلمات المرور المرتبطة بالموقع. غيّرها جميعًا، من حاسوب متأكد من سلامته:
- حسابات مديري WordPress، مع حذف الحسابات غير الضرورية؛
- حسابات FTP وSFTP وSSH؛
- حسابك لدى الاستضافة وحسابك لدى مسجّل اسم النطاق؛
- كلمة مرور قاعدة البيانات، مع تحديثها في
wp-config.php؛ - مفاتيح الأمان (salts) في
wp-config.php، مع إعادة توليدها لإغلاق كل الجلسات المفتوحة؛ - مفاتيح API المحتملة: الدفع، والبريد الإلكتروني للمعاملات، والخدمات الخارجية.
واغتنم الفرصة لتفعيل المصادقة الثنائية على كل حسابات المدير.
الخطوة 5: إبلاغ الجهات المعنية
أبلغ استضافتك، فهي قادرة على تزويدك بالسجلات ورفع التعليق إن وُجد. وبعد تنظيف الموقع، اطلب مراجعة في Google Search Console لإزالة التحذير الذي يظهر للزوّار. وإذا كان من المحتمل أن بيانات شخصية قد تم الاطلاع عليها أو سرقتها (حسابات العملاء، النماذج، الطلبات)، فإن المسألة تصبح تنظيمية أيضًا: في فرنسا، يفرض النظام الأوروبي لحماية البيانات (RGPD) في بعض الحالات إبلاغ هيئة CNIL بسرعة، وأحيانًا إبلاغ الأشخاص المعنيين؛ وفي الجزائر، استعلم لدى السلطة الوطنية المكلّفة بحماية المعطيات ذات الطابع الشخصي. وفي حال الشك، تواصل مع الجهة المختصة أو مع مستشار قانوني.
بعد حالة الطوارئ: تجنّب تكرار الاختراق
الموقع الذي تم تنظيفه لكنه ما زال مكشوفًا بالقدر نفسه سيتعرّض للاختراق مجددًا. حدّث النواة والإضافات وإصدار PHP، واحذف كل ما لا تستعمله، وفعّل نسخًا احتياطية خارجية، وراقب الموقع عن قرب خلال الأسابيع التالية: ملفات جديدة، حسابات جديدة، صفحات جديدة مفهرسة.
تعرّض موقعك للاختراق وتفضّل أن تُسند المهمة إلى مختص؟ خدمة تنظيف موقع WordPress مخترق بسعر 390 € خارج الرسوم (40 000 دج في الجزائر): إزالة الشيفرات الخبيثة والأبواب الخلفية، تقوية الحماية، إعادة الموقع إلى العمل وضمان لمدة 30 يومًا ضد الإصابة من جديد، مع تدخّل خلال 48 ساعة، أو 24 ساعة في الحالات المستعجلة. صِف وضعك عبر طلب عرض السعر.