Sáng mở website lên và thấy nó tự chuyển sang một trang cờ bạc lạ. Hoặc tệ hơn, Google hiển thị cảnh báo đỏ rằng “trang web này có thể gây hại”. Nếu đã từng rơi vào tình huống này, chắc hẳn bạn sẽ rất hoang mang. Mình từng hỗ trợ xử lý khá nhiều website gặp sự cố tương tự và tin tốt là: phần lớn đều có thể khôi phục được, miễn là bạn xử lý đúng trình tự và không quá vội vàng.
Để bạn dễ hình dung, khi hosting bị hack, quy trình xử lý thường gồm 5 bước: cô lập website → xác định điểm xâm nhập → dọn mã độc (hoặc restore) → đổi toàn bộ mật khẩu → vá lỗ hổng gốc. Trong đó, thứ tự thực hiện quan trọng hơn việc làm thật nhanh. Nếu nóng vội xóa file ngay từ đầu, bạn rất dễ làm mất dấu vết, bỏ sót backdoor và khiến website tiếp tục bị tấn công chỉ sau vài ngày.
Bài viết này sẽ đi lần lượt từ cách nhận biết, xác nhận cho đến xử lý triệt để sự cố nhé!
7 dấu hiệu nhận biết hosting đã bị hack
Website khi bị xâm nhập thường sẽ để lại một hoặc nhiều dấu hiệu bất thường. Nếu gặp bất kỳ biểu hiện nào dưới đây, bạn nên kiểm tra ngay thay vì chờ website phát sinh thêm lỗi
| Dấu hiệu | Nghĩa là gì |
|---|---|
| Website tự chuyển hướng sang trang lạ | Bị chèn mã độc redirect (thường trong file .htaccess hoặc header) |
| Google Search Console báo “Security Issues” | Google đã phát hiện malware và gắn cờ website |
| Trình duyệt hiện cảnh báo đỏ “trang web nguy hiểm” | Site vào danh sách Google Safe Browsing |
| Hosting thông báo tài khoản gửi spam / IP bị blacklist | Email bị lạm dụng làm spam relay |
| Xuất hiện file .php lạ trong /uploads, /tmp, /wp-content | Backdoor đã được cài để quay lại |
| Website chậm bất thường, CPU/RAM tăng vọt | Bị lợi dụng đào coin hoặc làm bot tấn công site khác |
| Có tài khoản admin lạ, bài đăng/quảng cáo lạ | Kẻ tấn công đã chiếm quyền quản trị |
Một điều khá nhiều người bỏ qua là không phải website bị hack nào cũng ngừng hoạt động hoặc hiển thị lỗi ngay. Nhiều trường hợp website vẫn chạy bình thường với khách truy cập trực tiếp, nhưng chỉ chuyển hướng người dùng đến từ Google hoặc âm thầm chèn các liên kết ẩn để phục vụ SEO bẩn. Vì vậy, đừng chỉ mở trang chủ thấy “vẫn vào được” rồi kết luận website an toàn.
Xác nhận bị hack: 4 cách kiểm tra nhanh
Trước khi bắt đầu xử lý, hãy dành vài phút để xác nhận website thực sự đã bị xâm nhập và khoanh vùng mức độ ảnh hưởng. Chỉ với khoảng 10 phút kiểm tra, bạn đã có thể nắm được khá rõ tình trạng hiện tại
- Quét bằng công cụ bảo mật của hosting. Nếu hosting có cPanel, hãy chạy ImunifyAV, Imunify360 hoặc Virus Scanner để quét toàn bộ thư mục home. Đây là cách nhanh nhất để xác định những file đã bị nhiễm và vị trí của chúng.
- Kiểm tra Google Search Console. Truy cập mục Security & Manual Actions → Security Issues. Nếu Google đã phát hiện mã độc, bạn sẽ thấy các URL bị ảnh hưởng cùng loại cảnh báo tương ứng.
- Quét online bằng VirusTotal hoặc Sucuri SiteCheck. Chỉ cần nhập URL website, bạn có thể kiểm tra xem website có nằm trong blacklist hay không, đồng thời phát hiện các dấu hiệu như redirect hoặc iframe độc hại từ góc nhìn bên ngoài mà không cần đăng nhập hosting.
- Kiểm tra access log và error log. Hãy chú ý những request bất thường vào /wp-login.php, /xmlrpc.php, các IP lạ truy cập liên tục vào khu vực quản trị hoặc những file có thời gian chỉnh sửa trùng với thời điểm website bắt đầu gặp sự cố. Nhật ký truy cập thường là nơi giúp bạn lần ra con đường mà kẻ tấn công đã khai thác.
Trong quá trình kiểm tra, hãy ghi lại những thông tin quan trọng như file bị nhiễm, địa chỉ IP đáng ngờ hoặc thời điểm xảy ra sự cố. Những dữ liệu này sẽ rất hữu ích khi bạn xác định nguyên nhân và xử lý triệt để ở các bước tiếp theo.
5 bước xử lý khẩn cấp khi hosting bị hack
Sau khi đã xác nhận website thực sự bị tấn công, việc tiếp theo là xử lý theo đúng trình tự. Kinh nghiệm thực tế cho thấy, đa số trường hợp website bị tái nhiễm đều xuất phát từ việc bỏ qua hoặc làm sai một trong các bước dưới đây.
Bước 1 — Cô lập website ngay
Việc đầu tiên cần làm là đưa website về chế độ bảo trì hoặc tạm thời vô hiệu hóa tài khoản hosting. Mục đích là ngăn mã độc tiếp tục hoạt động, hạn chế bot khai thác thêm lỗ hổng và tránh để Google thu thập thêm những nội dung đã bị chèn mã độc.
Nếu website đang bán hàng hoặc có nhiều người truy cập, việc hiển thị một trang thông báo bảo trì sẽ tốt hơn nhiều so với việc để khách hàng truy cập vào một website không còn an toàn
Bước 2 — Xác định điểm xâm nhập
Khi website đã được cô lập, hãy tìm nguyên nhân khiến kẻ tấn công có thể xâm nhập.
Bạn có thể dựa vào log truy cập, kết quả quét malware và thời điểm các file bị thay đổi để xác định cửa ngõ mà hacker đã khai thác. Nguyên nhân phổ biến thường là plugin hoặc theme đã lâu không cập nhật, mật khẩu yếu, tài khoản FTP bị lộ hoặc chức năng upload file không được kiểm soát.
Theo Sucuri, 36% website bị nhiễm mã độc có nguyên nhân từ plugin hoặc theme lỗi thời. Vì vậy, đây thường là nơi nên kiểm tra đầu tiên.
Việc tìm đúng nguyên nhân rất quan trọng. Nếu chỉ dọn mã độc mà không xử lý lỗ hổng ban đầu, website rất dễ bị tấn công trở lại.
Bước 3 — Dọn mã độc hoặc khôi phục từ backup
Sau khi xác định được nguyên nhân, bạn có thể lựa chọn một trong hai hướng xử lý.
Nếu đang có bản backup sạch được tạo trước thời điểm website bị nhiễm mã độc thì khôi phục từ backup gần như luôn là phương án nhanh và an toàn nhất. Tuy nhiên, trước khi đưa website hoạt động trở lại, bạn vẫn cần vá lỗ hổng đã bị khai thác. Nếu không, website có thể bị nhiễm lại chỉ sau một thời gian ngắn.
Trong trường hợp không có bản backup phù hợp, hãy sử dụng các công cụ như Imunify360 hoặc Maldet để quét và cách ly các file nhiễm mã độc.
Đối với website WordPress, thay vì cố gắng chỉnh sửa từng file hệ thống, bạn nên cài lại WordPress core, plugin và theme từ nguồn chính thức. Cách làm này vừa nhanh hơn, vừa hạn chế nguy cơ bỏ sót mã độc được chèn trong mã nguồn
Bước 4 — Đổi toàn bộ thông tin xác thực
Sau khi dọn mã độc, đừng vội đưa website hoạt động trở lại. Hãy đổi toàn bộ thông tin đăng nhập liên quan, bao gồm: mật khẩu cPanel, FTP, database, tài khoản admin CMS và email liên quan.
Đồng thời, hãy kiểm tra xem có tài khoản FTP hoặc tài khoản quản trị nào được tạo bất thường hay không. Nếu phát hiện tài khoản không rõ nguồn gốc, hãy xóa ngay.
Nếu trước đây vẫn sử dụng FTP thông thường, đây cũng là thời điểm phù hợp để chuyển sang SFTP nhằm tăng mức độ bảo mật.
Đây là bước khá nhiều người làm qua loa. Chỉ cần còn sót một tài khoản đã bị lộ, kẻ tấn công vẫn có thể quay lại mà không cần khai thác lỗ hổng lần nữa.
Bước 5 — Vá lỗ hổng gốc rồi mới mở lại
Bước cuối cùng là xử lý triệt để nguyên nhân đã khiến website bị xâm nhập.
Hãy cập nhật CMS, plugin và theme lên phiên bản mới nhất, xóa hoàn toàn những thành phần không còn sử dụng và rà soát lại các cấu hình bảo mật như phân quyền file, quyền ghi thư mục hoặc file wp-config.php.
Chỉ nên đưa website hoạt động trở lại khi bạn chắc chắn rằng lỗ hổng được phát hiện ở Bước 2 đã được khắc phục hoàn toàn.
>> Nếu trước đó website chưa dùng HTTPS đúng cách, tranh thủ cài lại SSL/TLS trên cPanel khi dựng lại site.
Truy tìm và xóa backdoor — bước dễ bỏ sót nhất
Đây là nguyên nhân phổ biến khiến nhiều website vừa dọn sạch mã độc xong lại tiếp tục bị tấn công.
Theo thống kê của Sucuri, 56% website bị nhiễm mã độc có chứa ít nhất một backdoor. Đây là những đoạn mã được kẻ tấn công cài sẵn để có thể quay trở lại website bất cứ lúc nào, ngay cả khi bạn đã đổi toàn bộ mật khẩu.
Nói cách khác, nếu chỉ xóa những file bị nhiễm mà không phát hiện backdoor, bạn mới chỉ xử lý phần ngọn của vấn đề.
Backdoor thường xuất hiện ở những vị trí như:
- File .php xuất hiện bất thường trong thư mục /wp-content/uploads (nơi thông thường chỉ chứa hình ảnh và tệp media).
- Các file có tên dễ gây nhầm lẫn như wp-config-backup.php, index2.php, admin.php.
- Đoạn mã lạ được chèn vào đầu file wp-config.php, functions.php hoặc .htaccess.
- Những hàm đáng ngờ như eval(, base64_decode(, gzinflate( hoặc str_rot13(.
Để kiểm tra kỹ hơn, bạn nên quét toàn bộ website bằng Imunify360 hoặc Wordfence, sau đó đối chiếu mã nguồn với phiên bản gốc để phát hiện những file bất thường. Ngoài ra, việc kiểm tra thời gian chỉnh sửa của các file cũng giúp khoanh vùng những thay đổi xảy ra cùng thời điểm website bị tấn công.
Nếu vẫn chưa chắc chắn rằng website đã được làm sạch hoàn toàn, việc khôi phục từ một bản backup sạch thường an toàn hơn so với việc cố chỉnh sửa thủ công từng file.
Sau khi dọn: khôi phục và chống tái nhiễm
Dọn sạch mã độc chưa phải là bước cuối cùng. Trước khi website hoạt động bình thường trở lại, bạn nên thực hiện thêm một số việc sau.
Trước hết, nếu website đã bị Google gắn cảnh báo bảo mật, hãy vào Google Search Console → Security Issues và gửi Request Review sau khi chắc chắn website đã sạch mã độc. Google thường mất khoảng 1–3 ngày để xem xét và gỡ cảnh báo.
Tiếp theo, kiểm tra xem IP máy chủ có bị đưa vào blacklist hay không bằng các công cụ như MXToolbox hoặc Spamhaus. Điều này giúp tránh tình trạng email gửi đi bị đánh dấu là spam.
Cuối cùng, hãy rà soát lại toàn bộ hệ thống bảo mật: cập nhật CMS, plugin và theme, xóa các thành phần không còn sử dụng, bật 2FA, phân quyền file đúng cách, duy trì backup theo quy tắc 3-2-1 và quét malware định kỳ.
Một lần bị hack có thể là cơ hội để bạn siết chặt bảo mật và hạn chế những sự cố tương tự trong tương lai.
>> Xem lại bài viết: 10 bước tăng cường bảo mật Hosting để trang bị thêm kiến thức nhé.
Khi nào nên nhờ nhà cung cấp hoặc chuyên gia?
Bạn nên nhờ bộ phận kỹ thuật của nhà cung cấp hosting hoặc chuyên gia hỗ trợ nếu:
- Không xác định được điểm xâm nhập sau khi đã kiểm tra.
- Website liên tục tái nhiễm dù đã dọn mã độc.
- Website đang phục vụ hoạt động kinh doanh và cần khôi phục nhanh.
- Không đủ kinh nghiệm để xử lý hoặc phân biệt file hệ thống với file bị chỉnh sửa.
Nhiều nhà cung cấp hosting hiện nay có sẵn dịch vụ quét và xử lý mã độc. Trong những trường hợp phức tạp, nhờ hỗ trợ sớm thường giúp giảm thời gian gián đoạn và hạn chế ảnh hưởng đến SEO cũng như hoạt động của website.
Câu hỏi thường gặp (FAQ)
Hosting bị hack có mất hết dữ liệu không?
Không nhất thiết. Nếu bạn có bản backup sạch trước thời điểm nhiễm, dữ liệu khôi phục được gần như nguyên vẹn. Rủi ro mất dữ liệu lớn nhất đến từ việc không có backup hoặc backup cũng đã nhiễm — vì vậy backup định kỳ theo quy tắc 3-2-1 là bảo hiểm quan trọng nhất.
Dọn một website bị hack mất bao lâu?
Với trường hợp đơn giản (một plugin lỗi, một backdoor) và có công cụ như Imunify360, việc dọn thường mất vài giờ. Trường hợp phức tạp — nhiều backdoor, mã độc ăn sâu, không có backup — có thể mất 1–2 ngày. Phần lâu nhất thường là truy tìm hết backdoor để tránh tái nhiễm.
Tại sao website dọn rồi vẫn bị hack lại?
Gần như luôn vì còn sót backdoor hoặc chưa vá lỗ hổng gốc. 56% website nhiễm có chứa backdoor ẩn; nếu chỉ xóa mã độc hiển thị mà không tìm backdoor và không cập nhật plugin/theme đã bị khai thác, kẻ tấn công quay lại chỉ trong vài ngày.
Làm sao gỡ cảnh báo “trang web nguy hiểm” của Google?
Sau khi đã dọn sạch mã độc, vào Google Search Console → Security Issues → “Request Review” và mô tả các việc đã làm. Google sẽ rà lại, thường trong 1–3 ngày, rồi gỡ cảnh báo nếu website đã sạch. Đừng yêu cầu review khi chưa dọn xong — bị từ chối sẽ kéo dài thời gian hơn.
Có nên cài lại toàn bộ website từ đầu không?
Nếu không có backup sạch và mã độc đã ăn quá sâu, cài lại từ nền sạch (core, plugin, theme tải từ nguồn chính thức) rồi import lại nội dung từ database đã được làm sạch là phương án an toàn nhất. Nó tốn công hơn nhưng chắc chắn hơn việc dò sửa từng file nghi ngờ.
Bị hack không phải dấu chấm hết — quan trọng là xử lý đúng thứ tự và bịt tận gốc lỗ hổng. Bạn cứ bình tĩnh đi theo 5 bước, dọn sạch backdoor, rồi dựng lại hàng phòng ngừa cho chắc. Nếu thấy quá sức, đừng ngại nhờ nhà cung cấp hỗ trợ nhé — cứu website sớm ngày nào đỡ thiệt hại ngày đó.
Leave a Reply