Khôi phục WordPress bị hack: 9 bước làm sạch và lấy lại uy tín
Khôi phục WordPress bị hack cần đi đúng thứ tự 9 bước: cô lập website, đổi toàn bộ mật khẩu từ máy sạch, sao lưu hiện trạng làm bằng chứng, xác định cách bị xâm nhập, làm sạch tệp và cơ sở dữ liệu (hoặc khôi phục bản sạch), vá lỗ hổng, gia cố bảo mật, yêu cầu Google xem xét lại, rồi theo dõi chặt ít nhất 30 ngày.
Bỏ qua bước tìm nguyên nhân là lý do phổ biến nhất khiến website bị hack lại chỉ sau vài ngày. Nếu website có dữ liệu khách hàng hoặc thanh toán, nên thuê chuyên gia và hỏi luật sư về nghĩa vụ thông báo.
9 bước khôi phục WordPress bị hack
Bước 1: Cô lập website
Bật chế độ bảo trì hoặc tạm chặn truy cập công khai để khách không bị chuyển sang trang độc hại. Nếu là cửa hàng, tạm dừng thanh toán trực tuyến. Báo cho hosting biết để họ hỗ trợ và tránh khóa tài khoản.
Bước 2: Đổi mật khẩu từ máy sạch
Dùng một máy tính hoặc điện thoại không nghi nhiễm. Đổi mật khẩu hosting, FTP/SFTP, cơ sở dữ liệu (cập nhật lại wp-config.php), mọi tài khoản quản trị WordPress, email quản trị, tài khoản tên miền. Đổi các khóa bảo mật (salts) trong wp-config.php để đăng xuất mọi phiên đang mở.
Bước 3: Sao lưu hiện trạng
Tải bản sao toàn bộ tệp và cơ sở dữ liệu đang nhiễm, lưu riêng. Bản này để điều tra và làm bằng chứng, không dùng để khôi phục.
Bước 4: Tìm cách bị xâm nhập
Xem nhật ký truy cập máy chủ, nhật ký plugin bảo mật, ngày sửa đổi tệp, danh sách plugin có lỗ hổng đã công bố. Thường sẽ thấy một plugin cũ, một tài khoản bị lộ mật khẩu hoặc một giao diện bẻ khóa.
Bước 5: Làm sạch hoặc khôi phục
Nếu có bản sao lưu sạch trước thời điểm bị xâm nhập, khôi phục bản đó rồi cập nhật ngay. Nếu không, làm sạch: cài lại lõi WordPress từ nguồn chính thức, cài lại toàn bộ plugin và giao diện từ nguồn gốc, quét thư mục uploads để xóa tệp PHP, kiểm tra cơ sở dữ liệu tìm mã chèn trong bài viết, tùy chọn, tài khoản lạ.
Bước 6: Vá lỗ hổng
Cập nhật hoặc gỡ plugin gây ra sự cố, thay giao diện bẻ khóa bằng bản chính hãng, nâng PHP.
Bước 7: Gia cố
Bật xác thực hai lớp, giới hạn đăng nhập, tắt sửa tệp trong quản trị, phân quyền lại, cấu hình tường lửa. Xem lớp bảo mật WordPress.
Bước 8: Yêu cầu Google xem xét
Trong Search Console → Vấn đề bảo mật, bấm Yêu cầu xem xét, mô tả việc đã làm. Xóa trang rác khỏi chỉ mục bằng công cụ Xóa URL tạm thời và để chúng trả lỗi 404/410. Hướng dẫn: trang web bị tấn công trên Google Search Central.
Bước 9: Theo dõi 30 ngày
Kiểm tra hằng ngày trong tuần đầu: tệp mới, tài khoản mới, kết quả site:, nhật ký tường lửa. Kẻ xấu thường thử quay lại qua cửa hậu sót.
Làm sạch cơ sở dữ liệu khi khôi phục WordPress bị hack
Nhiều người chỉ làm sạch tệp mà quên cơ sở dữ liệu, nơi mã độc cũng thường ẩn. Các vị trí cần kiểm tra:
- Bảng wp_users: tài khoản lạ, đặc biệt tài khoản có vai trò quản trị trong bảng wp_usermeta.
- Bảng wp_options: địa chỉ website (siteurl, home) bị đổi, tùy chọn chứa đoạn mã JavaScript hoặc đường dẫn lạ, tiện ích (widget) chứa mã.
- Bảng wp_posts: bài viết, trang có thẻ script, iframe hay liên kết ẩn được chèn; bài rác hàng loạt với trạng thái công khai.
- Tác vụ theo lịch (cron): tác vụ lạ được đặt để tải lại mã độc định kỳ.
Việc tìm kiếm cần người có kinh nghiệm, dùng truy vấn tìm các chuỗi đặc trưng như “eval(“, “base64_decode”, “
Cửa hậu: lý do website bị hack lại
Sau khi vào được, kẻ xấu thường cài nhiều cửa hậu để quay lại: tệp PHP ngụy trang tên giống tệp hệ thống, đoạn mã chèn vào functions.php của giao diện, plugin giả mạo, tài khoản quản trị ẩn, tác vụ cron tải mã từ máy chủ ngoài. Đó là lý do nên cài lại lõi, plugin, giao diện từ nguồn gốc thay vì chỉ xóa các tệp được plugin bảo mật báo động.
Thư mục uploads chỉ nên chứa ảnh và tài liệu; có thể chặn thực thi PHP trong thư mục này bằng cấu hình máy chủ để giảm nguy cơ cửa hậu hoạt động.
Khôi phục WordPress bị hack khi không có bản sao lưu
Đây là tình huống khó nhất. Ưu tiên giữ lại nội dung có giá trị: xuất bài viết, trang, sản phẩm, đơn hàng, ảnh. Dựng một WordPress sạch mới, cài plugin và giao diện chính hãng, nhập lại nội dung đã kiểm tra, rồi chuyển tên miền sang bản mới. Cách này tốn công nhưng chắc chắn hơn việc cố vá một website đã bị can thiệp sâu.
Sau sự cố, thiết lập ngay sao lưu tự động lưu ngoài máy chủ để lần sau không rơi vào tình huống này. Xem bài sao lưu website.
Thông báo với khách hàng và đối tác
Nếu khách hàng đã bị chuyển hướng sang trang lừa đảo, hoặc có khả năng dữ liệu bị lộ, một thông báo ngắn gọn, trung thực trên fanpage hoặc qua email sẽ giữ được lòng tin tốt hơn im lặng. Nội dung nên gồm: điều gì đã xảy ra, thời gian, khách cần làm gì (đổi mật khẩu nếu có tài khoản, cảnh giác tin nhắn giả mạo), doanh nghiệp đã khắc phục ra sao và đầu mối liên hệ. Với sự cố liên quan dữ liệu cá nhân, nội dung và thời hạn thông báo có thể chịu điều chỉnh của pháp luật; hãy hỏi luật sư trước khi gửi.
Chi phí và thời gian khôi phục WordPress bị hack
Thời gian phụ thuộc mức độ: website nhỏ có bản sao lưu sạch có thể xử lý trong vài giờ; website bị spam hàng nghìn trang, không có bản sao lưu có thể mất vài ngày, cộng thêm vài tuần để Google làm sạch kết quả tìm kiếm. Chi phí dịch vụ làm sạch khác nhau theo đơn vị và quy mô. Với khách hàng đang dùng gói bảo trì của Việt Thái Group, việc khôi phục từ bản sao lưu và gia cố được thực hiện trong phạm vi gói; với website bên ngoài, chúng tôi báo giá sau khi kiểm tra hiện trạng.
Bài học sau sự cố
Sau khi khôi phục, tổ chức một buổi rà soát ngắn: nguyên nhân là gì, vì sao không phát hiện sớm hơn, cần thay đổi quy trình nào (cập nhật, mật khẩu, phân quyền, sao lưu). Ghi lại thành văn bản để cả nhóm thực hiện, tránh lặp lại.
Danh sách kiểm tra cuối khi khôi phục WordPress bị hack
- Search Console không còn báo vấn đề bảo mật.
- Kết quả site:tenmien.vn chỉ còn nội dung thật (hoặc đang giảm dần).
- Mọi mật khẩu đã đổi, khóa bảo mật wp-config đã thay.
- Chỉ còn tài khoản quản trị hợp lệ, đều bật 2FA.
- Plugin, giao diện đều chính hãng, bản mới nhất.
- Sao lưu tự động đã chạy và lưu ngoài máy chủ.
- Quảng cáo đã được duyệt lại.
Khi mọi mục trên đã đạt, website có thể mở lại bình thường. Tuy vậy, hãy tiếp tục theo dõi nhật ký bảo mật và kết quả tìm kiếm thêm ít nhất một tháng, vì kẻ tấn công thường thử quay lại bằng chính lỗ hổng cũ hoặc cửa hậu còn sót lại.
Nếu không có người kỹ thuật, hãy liên hệ đơn vị chuyên nghiệp ngay khi thấy dấu hiệu đầu tiên.
Câu hỏi thường gặp về khôi phục WordPress bị hack
Bao lâu Google gỡ cảnh báo?
Thường vài ngày sau khi gửi yêu cầu xem xét nếu website đã sạch; trang rác có thể mất vài tuần mới biến khỏi kết quả.
Có nên làm lại website mới?
Nếu website cũ dùng nhiều plugin bỏ hoang, giao diện bẻ khóa, không có bản sao lưu sạch, làm mới trên nền sạch có thể nhanh và an toàn hơn.
Có phải báo cho khách hàng?
Nếu dữ liệu cá nhân có thể đã bị lộ, có thể phát sinh nghĩa vụ thông báo theo quy định hiện hành; hỏi luật sư để làm đúng.
Kết luận về khôi phục WordPress bị hack
Khôi phục WordPress bị hack phải làm đủ 9 bước, đặc biệt là tìm và vá nguyên nhân. Xem thêm WordPress bị hack: 12 dấu hiệu, website bị nhiễm mã độc và dịch vụ thiết kế web của Việt Thái Group.
