Website bị hack: 9 dấu hiệu nhận biết và 10 bước xử lý an toàn

4.9/5 - (118 bình chọn)

Một buổi sáng, khách hàng gọi điện báo: “Vào website công ty anh/chị thì bị chuyển sang trang cá cược”. Hoặc bạn tìm tên công ty trên Google và thấy hàng trăm kết quả bằng tiếng Nhật, quảng cáo thuốc, hàng giả. Đó là lúc bạn nhận ra website bị hack.

Website bị hack không chỉ làm mất uy tín. Google có thể gắn cảnh báo “Trang web nguy hiểm” lên kết quả tìm kiếm. Trình duyệt có thể chặn khách truy cập. Hosting có thể tạm khóa tài khoản. Tên miền còn có thể bị đưa vào danh sách đen email, khiến thư của công ty không gửi được.

Bài viết này tổng hợp từ tài liệu chính thức của WordPress.org (FAQ My site was hacked), Google Search Central và web.dev về xử lý website bị tấn công. HATENA trình bày lại thành quy trình từng bước, dễ làm theo cho chủ doanh nghiệp, kể cả khi bạn không phải là lập trình viên.

1. 9 dấu hiệu nhận biết website bị hack

WordPress.org gọi các dấu hiệu này là Indicators of Compromise (IoC), tức là chỉ báo xâm nhập. Bạn cần ghi lại chính xác các dấu hiệu để xác định loại tấn công và cách xử lý phù hợp.

1.1. Google hoặc trình duyệt cảnh báo website nguy hiểm

Chrome hiển thị trang đỏ “Trang web lừa đảo phía trước” hoặc “Trang web nguy hiểm”. Kết quả tìm kiếm Google có dòng “Trang web này có thể đã bị tấn công”. Đây là dấu hiệu rõ ràng nhất và ảnh hưởng nặng nhất đến lượng truy cập.

1.2. Search Console có thông báo trong mục “Vấn đề bảo mật”

Nếu website đã được xác minh trong Google Search Console, bạn sẽ nhận email cảnh báo và thấy chi tiết trong báo cáo Vấn đề bảo mật (Security issues), kèm danh sách URL mẫu bị ảnh hưởng.

1.3. Website tự chuyển hướng sang trang lạ

Đặc biệt nguy hiểm là kiểu chuyển hướng có điều kiện: chỉ chuyển hướng khi khách vào từ Google, khi dùng điện thoại, hoặc vào một khung giờ nhất định. Web.dev cho biết hacker thường cài các điều kiện này trong file cấu hình .htaccess. Vì vậy, chủ website gõ trực tiếp địa chỉ trên máy tính sẽ không thấy gì bất thường.

1.4. Google xuất hiện hàng loạt trang lạ thuộc website của bạn

Gõ site:tenmiencuaban.vn trên Google. Nếu thấy các trang tiếng Nhật, tiếng Trung, quảng cáo thuốc, cá cược mà bạn chưa từng tạo, website đã bị tấn công kiểu chèn trang spam (spam injection).

1.5. Xuất hiện tài khoản quản trị lạ

Vào mục Thành viên trong WordPress và kiểm tra danh sách người dùng có vai trò Administrator. Tài khoản lạ là dấu hiệu kẻ tấn công đã tạo “cửa sau” để quay lại.

1.6. Hosting tạm khóa website hoặc gửi cảnh báo

Nhà cung cấp hosting có thể phát hiện mã độc, lượng email gửi đi bất thường hoặc tài nguyên CPU tăng đột biến, sau đó tạm khóa website để bảo vệ các khách hàng khác trên cùng máy chủ.

1.7. Phần mềm diệt virus của khách hàng cảnh báo khi vào website

Khách hàng phàn nàn rằng phần mềm diệt virus chặn website của bạn. WordPress.org xếp đây vào nhóm dấu hiệu bị hack rõ ràng.

1.8. Email công ty bị trả về hoặc vào Spam hàng loạt

Website bị lợi dụng để phát tán thư rác có thể khiến IP máy chủ bị đưa vào danh sách đen. WordPress.org cảnh báo đây là hậu quả ngày càng phổ biến vì website và email thường dùng chung máy chủ. Xem thêm bài Email vào Spam: cách cấu hình SPF, DKIM, DMARC.

1.9. Xuất hiện file lạ, nội dung lạ trên website

Có file .php nằm trong thư mục wp-content/uploads (thư mục này lẽ ra chỉ chứa ảnh, tài liệu). Có đoạn mã JavaScript lạ trong chân trang. Bài viết cũ bị chèn thêm liên kết ẩn.

2. Vì sao website bị hack? Nguyên nhân phổ biến với WordPress

WordPress là mã nguồn được dùng phổ biến nhất thế giới nên cũng là mục tiêu tấn công tự động lớn nhất. Phần lớn các vụ tấn công không nhắm riêng vào doanh nghiệp của bạn. Các công cụ tự động quét hàng triệu website để tìm lỗ hổng đã biết. Nguyên nhân thường gặp:

Plugin, giao diện (theme) không được cập nhật chứa lỗ hổng đã được công bố.
Dùng plugin, theme “null” (bẻ khóa) tải từ nguồn không chính thống, thường được cài sẵn mã độc.
Mật khẩu yếu hoặc dùng lại cho tài khoản quản trị, FTP, hosting.
Máy tính của người quản trị bị nhiễm mã độc. WordPress.org lưu ý nhiều vụ tấn công bắt đầu từ máy tính cá nhân bị cài trojan đánh cắp thông tin đăng nhập FTP và trang quản trị.
Hosting dùng chung kém cách ly: Một website khác trên cùng máy chủ bị hack có thể lây sang.
Không có sao lưu nên khi bị hack không thể khôi phục nhanh.

HATENA đã từng cảnh báo các lỗ hổng cụ thể trong bài Cảnh báo lỗ hổng bảo mật WordPress Core và Cảnh báo bảo mật WordPress CVE-2026-87902. Việc cập nhật kịp thời giúp ngăn phần lớn các vụ tấn công kiểu này.

3. Quy trình 10 bước xử lý website bị hack

Quy trình dưới đây dựa trên hướng dẫn của WordPress.org và Google. Hãy làm đúng thứ tự, vì làm sai thứ tự (ví dụ đổi mật khẩu trước khi quét máy tính) có thể khiến website bị hack lại ngay.

Bước 1: Bình tĩnh và ghi lại mọi thứ

WordPress.org nhấn mạnh việc đầu tiên là ghi chép: bạn thấy dấu hiệu gì, phát hiện lúc mấy giờ, gần đây có cài plugin mới, sửa giao diện hay thay đổi gì không. Chụp màn hình các trang bị lỗi. Bản ghi này rất cần thiết khi làm việc với hosting hoặc đơn vị bảo mật.

Bước 2: Liên hệ nhà cung cấp hosting

Khi phát hiện website bị hack, hãy báo ngay cho hosting. Đặc biệt với hosting dùng chung, cuộc tấn công có thể ảnh hưởng nhiều website khác. Hosting có thể cung cấp nhật ký truy cập (log), bản sao lưu và xác nhận đây là bị hack thật hay chỉ là sự cố dịch vụ.

Bước 3: Tạo bản sao lưu ở trạng thái hiện tại

Nghe có vẻ ngược đời, nhưng WordPress.org khuyên nên sao lưu cả bản đang bị nhiễm trước khi dọn dẹp. Bản này giúp đối chiếu, điều tra nguyên nhân, và phòng trường hợp quá trình dọn dẹp làm hỏng website.

Bước 4: Quét mã độc trên website và trên máy tính

Bước này giúp xác định website bị hack ở mức độ nào, mã độc nằm ở đâu và có lây sang máy tính quản trị hay không.

Quét trên máy chủ bằng plugin bảo mật như Wordfence, Sucuri Security.
Quét từ bên ngoài bằng Sucuri SiteCheck, VirusTotal để xem website hiển thị gì với khách truy cập.
Quét máy tính của tất cả người có quyền quản trị bằng phần mềm diệt virus. Nếu máy tính đang nhiễm trojan, mật khẩu mới vừa đổi sẽ lại bị đánh cắp.

Nếu có quyền truy cập máy chủ, bạn có thể dùng WP-CLI để so sánh file với bản gốc của WordPress.org:

wp core verify-checksums: Kiểm tra file lõi WordPress có bị sửa đổi không.
wp plugin verify-checksums --all: Kiểm tra file của các plugin tải từ kho WordPress.org.

Bước 5: Đổi toàn bộ mật khẩu và đăng xuất mọi phiên

Đổi mật khẩu cho tất cả các điểm truy cập: tài khoản quản trị WordPress, FTP/SFTP, trang quản trị hosting (cPanel, DirectAdmin) và cơ sở dữ liệu MySQL. Dùng mật khẩu dài, phức tạp và không trùng lặp.

Để buộc tất cả các phiên đăng nhập (kể cả của kẻ tấn công) bị đăng xuất, WordPress.org hướng dẫn thay bộ khóa bảo mật (security keys/salts) trong file wp-config.php bằng bộ mới tạo từ trình tạo khóa chính thức của WordPress.

Bước 6: Xóa tài khoản lạ, kiểm tra quyền người dùng

Xóa mọi tài khoản quản trị không rõ nguồn gốc. Hạ quyền những tài khoản không cần quyền Administrator (ví dụ nhân viên viết bài chỉ cần quyền Editor hoặc Author).

Bước 7: Cài lại mã nguồn sạch và dọn mã độc

Thay thư mục wp-admin và wp-includes bằng bản sạch cùng phiên bản tải từ WordPress.org, qua SFTP. WordPress.org lưu ý không nên dùng chức năng cài lại trong trang quản trị, vì nó chỉ ghi đè file có sẵn mà không xóa file lạ do hacker thêm vào.
Cài lại plugin và theme từ nguồn chính thức. Xóa hẳn plugin, theme không dùng và mọi bản “null”.
Kiểm tra kỹ các file thường bị chèn mã: .htaccess (ở thư mục gốc và các thư mục con), index.php, wp-config.php, và header.php, footer.php, functions.php của theme.
Xóa file PHP trong thư mục uploads. Thư mục này không nên chứa file thực thi.
Kiểm tra cơ sở dữ liệu: tìm đoạn <script> lạ trong nội dung bài viết, kiểm tra địa chỉ website trong bảng cài đặt có bị thay đổi không.

Nếu có bản sao lưu sạch từ trước thời điểm bị hack, việc khôi phục sẽ nhanh hơn nhiều. Tuy nhiên, bạn vẫn phải vá lỗ hổng, nếu không website sẽ bị tấn công lại theo đúng con đường cũ.

Bước 8: Cập nhật mọi thứ lên phiên bản mới nhất

Sau khi website sạch, cập nhật WordPress, plugin, theme và phiên bản PHP. WordPress.org nhấn mạnh: phiên bản cũ dễ bị tấn công hơn phiên bản mới.

Bước 9: Đổi mật khẩu thêm một lần nữa

Đây là bước nhiều người bỏ qua. WordPress.org khuyến nghị đổi lại toàn bộ mật khẩu sau khi đã chắc chắn website sạch, kể cả khi bạn đã đổi ở bước 5. Cân nhắc đổi cả tài khoản cơ sở dữ liệu và cập nhật lại trong wp-config.php.

Bước 10: Yêu cầu Google xem xét lại và dọn trang spam khỏi kết quả tìm kiếm

Sau khi xử lý website bị hack, bạn cần làm việc với Google để gỡ cảnh báo. Theo Google Search Central:

Mở báo cáo Vấn đề bảo mật trong Search Console. Chỉ khi đã xử lý hết các vấn đề trên toàn bộ website, hãy bấm Yêu cầu xem xét (Request Review).
Trong yêu cầu, mô tả cụ thể bạn đã làm gì. Ví dụ: “Với các URL bị chèn nội dung spam, chúng tôi đã xóa nội dung và vá lỗ hổng bằng cách cập nhật plugin lỗi thời”.
Quá trình xem xét có thể mất từ vài ngày đến vài tuần. Với website bị hack chèn spam, thời gian có thể lên đến vài tuần. Không gửi lại yêu cầu khi yêu cầu trước chưa có kết quả.
Nếu cảnh báo được phát hiện tự động mà không có trong Search Console, Google sẽ tự gỡ cảnh báo trong lần thu thập dữ liệu tiếp theo sau khi website đã sạch.

Với các trang spam đã bị Google lập chỉ mục, hãy đảm bảo chúng trả về mã lỗi 404 hoặc 410. Bạn có thể dùng công cụ Xóa URL trong Search Console để ẩn tạm thời khỏi kết quả tìm kiếm, sau đó gửi lại sơ đồ trang web (sitemap).

4. Phòng tránh website bị hack: 8 biện pháp nên làm ngay

Phòng tránh website bị hack luôn rẻ hơn khắc phục. Chi phí phòng ngừa luôn thấp hơn rất nhiều so với chi phí khắc phục, chưa kể thiệt hại về thứ hạng SEO và uy tín. Đây là các biện pháp cơ bản mọi website doanh nghiệp nên có:

Cập nhật định kỳ WordPress, plugin, theme. Bật cập nhật tự động cho các bản vá bảo mật nhỏ.
Bật xác thực hai lớp (2FA) cho mọi tài khoản quản trị. WordPress.org khuyến nghị 2FA như một lớp bảo vệ quan trọng.
Dùng mật khẩu mạnh, riêng biệt, lưu trong trình quản lý mật khẩu. Không chia sẻ chung một tài khoản admin cho nhiều người.
Sao lưu tự động hằng ngày và lưu bản sao bên ngoài máy chủ (ví dụ Google Drive, lưu trữ đám mây). Định kỳ thử khôi phục để chắc chắn bản sao lưu dùng được.
Chỉ cài plugin, theme từ nguồn chính thống. Tuyệt đối không dùng bản null.
Gỡ plugin, theme không dùng. Plugin tắt (deactivate) nhưng chưa xóa vẫn có thể bị khai thác.
Dùng tường lửa ứng dụng web (WAF) và giới hạn số lần đăng nhập sai.
Tắt trình sửa file trong trang quản trị bằng cách thêm define('DISALLOW_FILE_EDIT', true); vào wp-config.php. Như vậy, kể cả khi tài khoản admin bị lộ, kẻ tấn công cũng không sửa được mã nguồn trực tiếp.

Ngoài ra, hãy xác minh website trong Google Search Console ngay từ bây giờ. WordPress.org và Google đều khuyến nghị việc này để bạn được thông báo sớm nhất khi có vấn đề bảo mật.

5. Khi nào nên nhờ đơn vị chuyên nghiệp xử lý website bị hack?

Bạn có thể tự xử lý nếu có kiến thức kỹ thuật và website nhỏ. Tuy nhiên, nên nhờ chuyên gia khi:

Website bị hack lại sau khi đã dọn dẹp, chứng tỏ “cửa sau” hoặc lỗ hổng chưa được xử lý.
Website bán hàng có dữ liệu khách hàng, thông tin thanh toán.
Google đã gắn cảnh báo và lượng truy cập giảm mạnh, cần khôi phục nhanh.
Không có bản sao lưu sạch và không có quyền truy cập máy chủ.

HATENA cung cấp dịch vụ chăm sóc website trọn gói: cập nhật định kỳ, sao lưu, giám sát bảo mật và xử lý sự cố khi website bị tấn công. Nếu website đang có dấu hiệu bất thường, hãy liên hệ HATENA để được kiểm tra.

6. Câu hỏi thường gặp về website bị hack

Website bị hack có bị tụt hạng SEO không?

Có thể. Trang bị gắn cảnh báo khiến người dùng không dám bấm vào, lượng truy cập giảm mạnh. Các trang spam bị chèn vào cũng làm loãng chất lượng website trong mắt Google. Sau khi xử lý triệt để và được Google xem xét lại, thứ hạng thường dần phục hồi, nhưng có thể mất thời gian.

Có nên xóa website đi làm lại từ đầu không?

WordPress.org cho rằng trong nhiều trường hợp không thực tế để xóa hết làm lại. Thay vào đó, bạn có thể cài lại an toàn phần lõi WordPress, plugin, theme từ nguồn sạch, rồi kiểm tra kỹ phần dữ liệu riêng (ảnh, cơ sở dữ liệu). Quan trọng nhất là tìm ra và vá lỗ hổng đã bị khai thác.

Không đăng nhập được trang quản trị vì hacker đổi mật khẩu thì làm sao?

Bạn có thể vào phpMyAdmin (thường có sẵn trong trang quản trị hosting), sửa email của tài khoản quản trị trong bảng người dùng thành email của bạn, sau đó dùng chức năng “Quên mật khẩu” trên trang đăng nhập. Đây là cách WordPress.org hướng dẫn.

Cài plugin bảo mật là đủ an toàn chưa?

Chưa. Plugin bảo mật giúp phát hiện và chặn nhiều kiểu tấn công, nhưng không thay thế được việc cập nhật định kỳ, mật khẩu mạnh, 2FA, sao lưu và hosting an toàn. Bảo mật là quy trình liên tục, không phải một lần cài đặt.

Kết luận

Website bị hack là sự cố nghiêm trọng nhưng hoàn toàn có thể khắc phục nếu xử lý đúng quy trình: ghi lại dấu hiệu, sao lưu, quét mã độc trên cả website và máy tính, đổi toàn bộ mật khẩu, cài lại mã nguồn sạch, cập nhật, rồi yêu cầu Google xem xét lại. Quan trọng hơn, hãy đầu tư cho phòng ngừa: cập nhật, 2FA, sao lưu tự động và giám sát thường xuyên.

Tài liệu tham khảo

Liên hệ HATENA để được hỗ trợ xử lý website bị hack và bảo mật website

CÔNG TY TNHH CÔNG NGHỆ PHẦN MỀM HATENA

📞 Hotline: 0934 217 611

📧 Email: hatenasolution@gmail.com

📍 Địa chỉ: Tầng 15, Khối A Tòa nhà Sông Đà, đường Phạm Hùng, Phường Từ Liêm, Thành phố Hà Nội, Việt Nam

HATENA – Đồng hành cùng doanh nghiệp trên hành trình xây dựng và phát triển hệ thống công nghệ số.