چطور بفهمیم سایت ما هک شده است؟ نشانه‌های مهم هک شدن سایت
در این راهنمای جامع، از نشانه‌های قطعی تا آلارم‌های ظریف، و از چک‌لیست ۶۰ ثانیه‌ای تا پروتکل واکنش سریع را قدم‌به‌قدم مرور می‌کنیم.
به گزارش بازرگانی خبرگزاری مهر، امنیت وب‌سایت مثل ترمز در خودروست؛ وقتی کار می‌کند، اصلاً به چشم نمی‌آید—اما وقتی از کار بیفتد، همه‌چیز در خطر است.
اگر مدیر سایت هستید، دانستن نشانه‌های هک و اقدامات فوری می‌تواند تفاوت بین یک اختلال کوچک و یک بحران پرهزینه باشد.
در این راهنمای جامع، از نشانه‌های قطعی تا آلارم‌های ظریف، و از چک‌لیست ۶۰ ثانیه‌ای تا پروتکل واکنش سریع را قدم‌به‌قدم مرور می‌کنیم.
نکته: بسیاری از حملات تلاش می‌کنند پنهان بمانند تا مدت بیشتری از منابع / داده‌های شما سوءاستفاده کنند.
پس به علائم کوچک هم جدی نگاه کنید.
فهرست مطالب
نشانه‌های قطعی و رایج هک شدن سایت
نشانه‌های ظریف اما خطرناک
چگونه «یقین» پیدا کنیم؟
(راستی‌آزمایی نشانه‌ها)
چک‌لیست طلایی ۶۰ ثانیه‌ای
اقدامات فوری پس از اطمینان از هک
پیشگیری هوشمندانه (Best Practices)
سوالات پرتکرار
درباره لاجیک سرور و خدمات امنیتی
نشانه‌های قطعی و رایج هک شدن سایت
۱) تغییرات مشکوک در ترافیک یا سرچ (سقوط یا الگوی غیرعادی)
افت ناگهانی بازدید، ایندکس‌های عجیب یا متادیتای غلط در نتایج گوگل (Title/Meta تغییر کرده ولی در تنظیمات شما درست است) از زنگ خطرهای رایج‌اند.
این موارد معمولاً از تزریق کد مخرب و ریدایرکت‌های مخفی می‌آید.
۲) اضافه شدن لینک‌ها / صفحات هرزنامه
لینک‌های اسپم—به‌ویژه در فوتر یا نوشته‌های جدید—یا صفحه‌های جدید با عناوین عجیب، از نشانه‌های تزریق محتوا و وجود بک‌دور است.
حذف دستی لینک‌ها کافی نیست؛ باید درب پشتی بسته شود.
۳) دیفیس شدن صفحه اصلی (Deface)
نمایش پیام «سایت شما هک شد» یا تغییر کامل لندینگ‌پیج واضح‌ترین سیگنال است؛ اما یادتان باشد خیلی از مهاجمان ترجیح می‌دهند بی‌سر و صدا بمانند.
۴) قفل شدن از مدیریت یا ساخت اکانت مدیر جعلی
ناتوانی در ورود با رمز صحیح، غیرفعال شدن بازیابی گذرواژه، یا دیدن کاربرانی با نقش مدیر که شما نساختید، نشانه‌ی تسلط مهاجم بر پنل است.
۵) فایل‌ها / اسکریپت‌های ناشناخته روی سرور
پیدا کردن فایل‌هایی که شِمای نام‌گذاری WordPress را تقلید می‌کنند یا اسکریپت‌هایی که تازه ظاهر شده‌اند (به‌خصوص در wp-content) از علائم حضور بدافزار و بک‌دور است.
۶) کندی غیرعادی، مصرف بالای منابع یا عدم واکنش‌گرایی
حمله‌های رباتی/DDoS یا اسکریپت‌های مخرب می‌توانند باعث کندی چشمگیر شوند.
بررسی لاگ‌ها (IPهای پر درخواست)، نرخ خطا و صف پردازش را جدی بگیرید.
۷) هشدارهای مرورگر و گوگل
پیام‌های هشدار در مرورگر یا لیست‌سیاه شدن دامنه به‌خاطر بدافزار / فیشینگ از علائم جدی آلودگی است و باید فوراً رسیدگی شود.
نشانه‌های ظریف اما خطرناک
اختلال در ایمیل‌های سیستمی (ارسال / دریافت): سرورهای آلوده غالباً برای اسپم استفاده می‌شوند.
اگر ایمیل‌های وردپرسی ارسال نمی‌شود یا برگشت می‌خورند، شک کنید
وظایف زمان‌بندی ( Cron) مشکوک: برنامه‌های cron می‌توانند برای پایداری حمله استفاده شوند (اجرای دوره‌ای اسکریپت مخرب)
ریدایرکت‌های نامرئی موبایل / ترافیک خاص: برخی بدافزارها فقط کاربران موبایل یا بازدیدکنندگان موتور جستجو را به صفحات تبلیغاتی می‌فرستند.
خطاهای غیرمعمول در لاگ و افزایش ۴xx/۵xx یا ریکوئست‌های POST مشکوک.
چگونه «یقین» پیدا کنیم؟
(راستی‌آزمایی نشانه‌ها)
اسکن امنیتی کد و فایل‌ها
از اسکنرهای بدافزار (Wordfence و …) برای پایش فایل‌های PHP/JS و مقایسه Hash استفاده کنید.
خروجی اسکن را با لاگ‌های سرور تطبیق دهید.
بازبینی لاگ‌های دسترسی / ارور
IPهای پرتکرار، الگوهای POST غیرعادی، و ارورهای پی‌درپی را استخراج و بلاک کنید.
بررسی متادیتا در نتایج گوگل
اگر Title/Meta در نتایج متفاوت است ولی در CMS درست است، احتمال تزریق شرطی کد وجود دارد.
اسکن آلودگی ریدایرکت
ردیاب‌های ریدایرکت و بررسی از دستگاه / مرورگر متفاوت کمک می‌کند الگوهای شرطی (فقط موبایل یا گوگل‌بات) کشف شوند.
چک‌لیست طلایی ۶۰ ثانیه‌ای (Fast Triage)
اتصال موقت سایت به حالت نگهداری (Maintenance) برای کاهش آسیب
چرخاندن / ابطال رمزهای مدیر و کلیدهای API
بررسی سریع آخرین فایل‌های تغییر یافته داخل هاست ایران در wp-content, wp-includes
توقف Cron/Job های ناشناس
بررسی کاربران مدیر و حذف اکانت‌های مشکوک
فعال‌کردن WAF (فایروال اپلیکیشن) در لایه هاست/CDN
فعال‌سازی Log با سطح جزئیات بالاتر و شروع Evidence Gathering برای تحلیل بعدی
اقدامات فوری پس از اطمینان از هک
ایزوله‌سازی: دسترسی SFTP/SSH را محدود و کلیدها/پسوردها را تعویض کنید؛ از دیتابیس و فایل‌ها بکاپ آفلاین بگیرید.
حذف آلودگی و بک‌دورها: فایل‌های تزریق‌شده، دراپرها و اسکریپت‌های زمان‌بندی شده را پاک و هسته / قالب / افزونه‌ها را از سورس رسمی دوباره نصب کنید.
بک‌دورها می‌توانند به شکل فایل، کاربر مدیر یا تغییر مجوزها پنهان باشند.
به‌روزرسانی جامع: هسته CMS، افزونه‌ها، قالب‌ها، PHP، وب‌سرور و پکیج‌های سیستمی.
پاک‌سازی نتایج جستجو: پس از حذف آلودگی، درخواست بررسی مجدد (Review) به گوگل برای حذف هشدارها بدهید.
مستندسازی و برنامه پاسخ‌گویی: سناریو، علت ریشه‌ای (Root Cause) و اقدامات اصلاحی/پیشگیرانه را ثبت کنید و برنامه پاسخ به حادثه تدوین یا به‌روزرسانی نمایید.
پیشگیری هوشمندانه: ۱۰ راهکار کلیدی
WAF و محدودسازی wp-admin (احراز هویت اضافه، Rate Limit، IP Allowlist)
رمزهای قوی و سیاست چرخه‌ای پسورد برای مدیران و سرویس‌ها (به‌همراه ۲FA)
به‌روزرسانی منظم هسته / افزونه / قالب + نسخ پشتی معتبر
اصل حداقل دسترسی (LEAST PRIVILEGE) برای یوزرها و سرویس‌ها
غیرفعال‌سازی اجرای PHP در مسیرهای آپلود و محدود کردن wp-content/uploads
نظارت مداوم لاگ‌ها و آستانه‌های هشدار (Alerting)
مانیتورینگ تمامیت فایل (File Integrity Monitoring) در سرور مجازی ایران یا سرور اختصاصی
ایزوله‌سازی محیط‌ها (Dev/Staging/Prod) و جلوگیری از Credential Reuse
ضد بدافزار سمت سرور + اسکن دوره‌ای کد و دیتابیس
ممیزی امنیت کد / افزونه‌ها؛ کدهای ناایمن رایج‌ترین درگاه نفوذ هستند.
سوالات پرتکرار (FAQ)
چرا بعضی وقت‌ها فقط کاربران موبایل ریدایرکت می‌شوند؟
برای پنهان‌ماندن، بدافزارها رفتار شرطی دارند (بر اساس User-Agent/Device/Referrer) و فقط بخشی از ترافیک را منحرف می‌کنند.
اگر Title/Meta نتایج گوگل عوض شده اما داخل CMS درست است چه کنم؟
احتمال تزریق کد برای موتورهای جستجو وجود دارد.
سریعاً فایل‌های تغییر یافته، افزونه‌های ناشناس و htaccess را بررسی و WAF/اسکنر را فعال کنید.
چطور بفهمم بک‌دور هنوز باقی نمانده؟
علاوه بر اسکن، وظایف زمان‌بندی و حساب‌های کاربری را ممیزی کنید و مجوز فایل‌ها را به حالت امن برگردانید.
سپس Integrity Baseline ایجاد کنید.
درباره لاجیک سرور؛ شریک مطمئن شما در امنیت و میزبانی
لاجیک سرور با زیرساخت به‌روز و تیم امنیتی اختصاصی، مجموعه‌ای از سرویس‌ها را برای پیشگیری و واکنش سریع ارائه می‌کند:
هاست امن بهینه‌سازی‌شده برای وردپرس با WAF و ایزوله‌سازی کانتینری
مانیتورینگ ۲۴/۷ و پاسخ‌گویی به حادثه ( IR) با SLA مشخص
اسکن دوره‌ای بدافزار و پایش تمامیت فایل
پشتیبان‌گیری نسخه‌بندی‌شده و بازیابی سریع
مشاوره سخت‌گیری دسترسی‌ها و استقرار ۲FA
اگر به هرکدام از نشانه‌های بالا برخورد کردید، همین حالا با تیم فنی لاجیک سرور تماس بگیرید تا در کمتر از چند ساعت مسیر پاک‌سازی، ایمن‌سازی و بازگشت به سرویس را جلو ببریم.
جمع‌بندی
هک شدن سایت همیشه با یک سیگنال واضح شروع نمی‌شود؛ گاهی فقط یک افت کوچک ترافیک یا یک لینک اضافی در فوتر است.
اما با یک چک‌لیست دقیق، اسکن دوره‌ای، و زیرساخت امن، می‌توان جلوی خسارت را گرفت.
این راهنما نقشه‌ی راه شماست: نشانه‌ها را ببینید، راستی‌آزمایی کنید، فوری اقدام کنید، و پیشگیری را جدی بگیرید.
این مطلب، یک خبر آگهی بوده و خبرگزاری مهر در محتوای آن هیچ نظری ندارد.