מה לתעד לפני שנוגעים באתר
רשמו את כתובת העמוד המקורי, מועד האירוע ואזור הזמן, המכשיר והדפדפן, והאם הגעתם מחיפוש או מקישור ישיר. שמרו צילום של ההודעה או הכתובת בלי להמשיך לאתר החשוד ובלי להזין בו פרטים. אם רק לקוח ראה את ההפניה, בקשו את הנתונים האלה ולא סיסמה או צילום המכיל פרטי תשלום.
תעדו גם עדכון, התקנת תוסף, מעבר אחסון או שינוי DNS שקדמו לתופעה. סמיכות בזמן היא כיוון לבדיקה ולא הוכחה לסיבה. הנחיות WordPress לטיפול בפריצה מדגישות תיעוד ושמירת תמונת מצב לפני ניקוי.
מה דפוס ההפניה יכול ללמד
הטבלה היא כלי אבחון ראשוני, לא קביעה שהאתר נפרץ. מסרו את הממצאים לאחראי האחסון או האתר כדי שיוכל לבדוק תגובות שרת וקוד בלי לחשוף לקוחות לתוכן החשוד. היעדר הפניה בבדיקה יחידה אינו שולל התנהגות שתלויה במכשיר, בכניסה קודמת או במקור התנועה.
| הסימן | מה כדאי לבדוק | מה לא להסיק |
|---|---|---|
| כל הכתובות עוברות לדומיין שהיה בבעלותכם | כללי הפניה, כתובת האתר ושינויי אחסון | שזו בהכרח נוזקה |
| הפניה רק מחיפוש או רק בנייד | תנאי הפעלה, סקריפטים ורישומי בקשות | שהאתר תקין כי במחשב המנהל אין הפניה |
| הכתובת משתנה אחרי טעינת העמוד | קוד צד לקוח ותוכן חיצוני | שמספיק להחליף DNS |
| ההפניה חוזרת אחרי הסרת קובץ | גישה מתמשכת, משימות אוטומטיות ומקור ההדבקה | שהקובץ שנמחק היה הסיבה היחידה |
איך מצמצמים פגיעה בלי למחוק ראיות
אם מבקרים נשלחים ליעד חשוד, בקשו מאחראי האתר להגביל זמנית גישה או להציג עמוד תחזוקה נקי. שמרו עותק מוגן של הקבצים, מסד הנתונים והלוגים עם מועד האיסוף. סמנו אותו כחשוד כדי שלא יהפוך בטעות לגיבוי שממנו מחזירים את האתר.
אין להדביק קוד תיקון מפורום לקובצי המערכת או להריץ פקודות מחיקה גורפות. שינוי כזה עלול לשבור הפניות תקינות או להעלים את הראיה היחידה. אם אין לכם גיבוי נגיש, בעלות על האחסון או יכולת להחזיר שינוי, עצרו אחרי התיעוד ופנו לסיוע.
מה בודקים בתהליך תיקון מקצועי
הבדיקה צריכה להפריד בין שכבות: הגדרות דומיין ושרת, כללי הפניה, קובצי היישום, תוכן במסד הנתונים ורכיבים חיצוניים. לא כל שינוי בקובץ הוא זדוני, וקוד תקין אינו בהכרח זהה למקור אם קיימות התאמות מתועדות.
בדיקת שלמות של ליבת WordPress מול המקור יכולה לזהות הבדלים בתחום שהיא מכסה. היא אינה בדיקת מסד נתונים או אישור שכל התוספים נקיים. אם זוהתה פגיעה, יש לבדוק גם את דרך הכניסה והגישות שנותרו, לצד החזרת קוד אמין.
מתי אפשר לחזור לפעילות
הכינו בדיקת קבלה לפי הדפוס המקורי: אותם עמודים, כניסה ישירה ומחיפוש, נייד ומחשב. בצעו אותה רק אחרי שהטיפול הושלם, ללא עקיפת אזהרות דפדפן. בדקו גם טפסים וזרימות עסקיות שהושפעו מהשינוי.
תעדו מה תוקן, מה נבדק ומה עדיין אינו ידוע. ניקוי מטמון יכול להסיר עותק ישן של עמוד, אך אינו סוגר חולשה או גישה לא מורשית. אם קיימת גם אזהרת Google, יש לטפל בה בנפרד לפי דוח בעיות האבטחה.
