Nếu website của bạn đang tự chuyển hướng sang một trang lạ, hoặc Google đã gắn cảnh báo đỏ trước khi người dùng vào được, việc đầu tiên không phải là xoá file nghi ngờ. Việc đầu tiên là sao lưu nguyên trạng và đổi toàn bộ mật khẩu. Xoá trước khi sao lưu là sai lầm hay gặp nhất, vì nó phá mất dấu vết cần thiết để tìm đường vào của kẻ tấn công — và nếu không bịt được đường đó, website sẽ nhiễm lại trong vài ngày.
Dưới đây là quy trình theo đúng thứ tự cần làm, kèm cách xác định mình đang ở mức độ nào và khi nào nên dừng lại gọi người khác.
Dấu hiệu nhận biết
Mã độc chuyển hướng thường được cài đặt để né chủ website, nên có thể bạn vào bình thường trong khi khách hàng thì không. Những dấu hiệu đáng ngờ:
Website chuyển hướng sang trang cờ bạc, thuốc, hoặc trang tiếng nước ngoài — nhưng chỉ khi truy cập từ điện thoại, hoặc chỉ khi đến từ kết quả tìm kiếm Google
Trên Google xuất hiện dòng Trang web này có thể đã bị tấn công hoặc cảnh báo trang lừa đảo
Search Console gửi thông báo trong mục Vấn đề bảo mật
Kết quả tìm kiếm cho tên miền của bạn hiển thị tiêu đề bằng ngôn ngữ lạ hoặc nội dung không liên quan
Xuất hiện nhiều trang mới trong chỉ mục mà bạn chưa từng tạo
Lượng truy cập tụt đột ngột mà không có nguyên nhân rõ ràng
Hosting báo vượt tài nguyên bất thường, hoặc nhà cung cấp gửi cảnh báo phát tán thư rác
Ba phép thử xác nhận trong năm phút
Phép thử 1 — đi từ Google, không gõ thẳng địa chỉ. Mở chế độ ẩn danh trên điện thoại, tìm tên doanh nghiệp bạn trên Google, rồi bấm vào kết quả. Rất nhiều mã độc chỉ kích hoạt khi phát hiện người dùng đến từ công cụ tìm kiếm.
Phép thử 2 — xem Google đang hiển thị gì về bạn. Gõ site:tenmien.com lên Google và lướt qua danh sách. Nếu thấy những trang bạn chưa từng tạo, tiêu đề bằng tiếng nước ngoài, hoặc nội dung về sản phẩm không liên quan, mã độc đã sinh ra trang rác và chúng đã lọt vào chỉ mục.
Phép thử 3 — kiểm tra bằng Search Console. Vào mục Bảo mật và tác vụ thủ công → Vấn đề bảo mật. Nếu có cảnh báo ở đây, Google đã xác nhận website bị xâm nhập và đang hạ hiển thị của bạn.
Nếu cả ba phép thử đều sạch mà bạn vẫn nghi ngờ, hãy nhờ vài người ở mạng khác, thiết bị khác thử vào website. Một số mã độc chỉ kích hoạt với một tỉ lệ nhỏ lượt truy cập để kéo dài thời gian không bị phát hiện.
Bước 1: đóng băng hiện trạng trước khi sửa bất cứ thứ gì
Tải về một bản sao lưu đầy đủ của toàn bộ mã nguồn và cơ sở dữ liệu ở trạng thái đang nhiễm. Bản này không dùng để khôi phục — nó dùng để điều tra sau.
Đồng thời tải nhật ký truy cập máy chủ của ít nhất 30 ngày gần nhất. Đây là tài liệu quan trọng nhất để xác định kẻ tấn công vào bằng đường nào và vào lúc nào. Nhiều nhà cung cấp hosting chỉ giữ nhật ký trong thời gian ngắn, có nơi chỉ 7 ngày, nên lấy càng sớm càng tốt. Nếu không tự tải được, mở phiếu hỗ trợ với hosting yêu cầu xuất nhật ký ngay — việc này thường mất vài giờ, nên gửi yêu cầu trước rồi làm tiếp các bước sau.
Ghi lại chính xác thời điểm bạn phát hiện sự cố. Mốc thời gian này sẽ dùng để khoanh vùng ở bước 4.
Bước 2: cắt đường truy cập
Đổi toàn bộ mật khẩu, theo thứ tự: tài khoản hosting, cơ sở dữ liệu, FTP/SFTP, tất cả tài khoản quản trị của website, và email gắn với tên miền.
Thứ tự này có lý do. Email gắn với tên miền là chìa khoá cuối cùng — ai kiểm soát được email đó thì đặt lại được mật khẩu của mọi thứ khác, kể cả tài khoản tên miền. Nếu nghi ngờ email đã bị xâm nhập, xử lý nó trước tiên.
Vô hiệu hoá mọi tài khoản quản trị mà bạn không nhận ra. Mã độc thường tạo sẵn một tài khoản quản trị dự phòng để quay lại sau khi bạn dọn xong. Kiểm tra cả những tài khoản có tên trông hợp lý — tên giống nhân viên cũ, hoặc tên viết tắt của chính công ty bạn.
Kiểm tra xem có khoá SSH lạ nào được thêm vào không, và rà lại các tác vụ định kỳ trên máy chủ. Tác vụ định kỳ là chỗ hay được dùng để tự cài lại mã độc sau khi bị xoá — bạn dọn sạch buổi sáng, đến đêm nó chạy lại và mọi thứ quay về như cũ. Nếu bạn dọn mà hôm sau nhiễm lại, gần như chắc chắn vấn đề nằm ở đây.
Bước 3: đưa website về trạng thái tạm ngưng
Bật chế độ bảo trì và trả về mã trạng thái 503 cho toàn bộ website.
Đây là điểm kỹ thuật quan trọng và hay bị làm sai. Mã 503 báo cho Google rằng trang tạm thời không khả dụng, nên Google sẽ quay lại sau mà không loại trang khỏi chỉ mục. Nếu bạn chỉ hiển thị một trang thông báo bảo trì nhưng máy chủ vẫn trả về mã 200, Google sẽ coi đó là nội dung thật của bạn và có thể thay thế nội dung cũ trong chỉ mục bằng dòng chữ "website đang bảo trì".
Cách kiểm tra mình đã làm đúng: dùng công cụ kiểm tra mã trạng thái HTTP bất kỳ, nhập địa chỉ website, xem kết quả trả về có phải 503 không.
Đừng để website đang nhiễm tiếp tục chạy trong lúc bạn xử lý. Mỗi giờ nó chạy là thêm người dùng bị chuyển hướng, thêm tín hiệu xấu gửi về Google, và thêm rủi ro nhà cung cấp hosting tự khoá tài khoản của bạn.
Việc cần làm song song: thông báo cho khách
Phần này hay bị quên và nó ảnh hưởng tới uy tín nhiều hơn bản thân sự cố kỹ thuật.
Cách thông báo dở: im lặng, hoặc đăng một dòng "website đang bảo trì" trên fanpage.
Vấn đề: khách đã bị chuyển hướng sang trang lạ sẽ tự kết luận. Với khách doanh nghiệp, họ còn lo dữ liệu của mình có bị lộ không, và im lặng khiến họ lo hơn.
Cách thông báo tốt hơn: "Website của chúng tôi phát hiện sự cố bảo mật vào sáng nay và đang tạm ngưng để xử lý. Nếu anh/chị truy cập trong khoảng thời gian này và bị chuyển sang trang lạ, vui lòng không nhập thông tin gì trên trang đó. Chúng tôi sẽ cập nhật lại trong vòng 24h. Mọi liên hệ trong thời gian này xin qua số [số điện thoại]."
Vì sao hơn: nêu rõ chuyện gì xảy ra, khách cần làm gì, khi nào có tin tiếp, và vẫn liên hệ được với bạn. Chủ động thông báo gần như luôn tốt hơn để khách tự phát hiện.
Bước 4: xác định phạm vi nhiễm
Mã độc chuyển hướng thường nằm rải ở nhiều chỗ cùng lúc, nên dọn một chỗ là không đủ. Cần rà soát:
Tệp cấu hình máy chủ — nơi hay bị chèn quy tắc chuyển hướng có điều kiện, chỉ kích hoạt với một số thiết bị hoặc một số nguồn truy cập. Đây là chỗ nên xem đầu tiên với triệu chứng chuyển hướng.
Tệp khởi động của mã nguồn — nơi hay bị chèn đoạn mã nạp nội dung từ máy chủ bên ngoài. Đặc điểm nhận dạng: đoạn mã được mã hoá hoặc nén lại để khó đọc, thường nằm ở dòng đầu hoặc dòng cuối tệp.
Thư mục tải lên — vốn chỉ nên chứa ảnh và tài liệu. Bất kỳ tệp thực thi nào nằm ở đây đều đáng ngờ, kể cả khi tên tệp trông vô hại.
Cơ sở dữ liệu — bảng cấu hình và bảng nội dung có thể bị chèn mã chạy ở phía trình duyệt. Đây là chỗ hay bị bỏ sót nhất vì nhiều người chỉ quét tệp.
Giao diện và thành phần mở rộng — đặc biệt những thứ tải từ nguồn không chính thức, bản bẻ khoá, hoặc đã lâu không cập nhật.
Cách khoanh vùng nhanh
Liệt kê những tệp có thời gian sửa đổi gần đây nhất và đối chiếu với mốc thời gian bạn ghi ở bước 1. Những tệp bị sửa vào lúc không ai làm việc — nửa đêm, ngày nghỉ — là điểm cần xem trước.
Song song, đối chiếu mã nguồn hiện tại với bản cài đặt gốc từ nguồn chính thức cùng phiên bản. Mọi tệp lõi có nội dung khác bản gốc đều đáng ngờ. Cách này hiệu quả hơn nhiều so với việc đọc từng tệp tìm đoạn mã lạ.
Trong nhật ký truy cập, tìm những lần gọi tới các tệp trong thư mục tải lên, và những lần gửi dữ liệu tới các tệp không thuộc mã nguồn gốc. Đây thường là dấu vết của cửa hậu.
Bước 5: khôi phục thay vì vá
Nếu có bản sao lưu sạch từ trước thời điểm nhiễm, khôi phục từ bản đó rồi cập nhật mọi thành phần lên phiên bản mới nhất. Đây là cách an toàn nhất.
Lưu ý: "trước thời điểm nhiễm" không phải "trước thời điểm bạn phát hiện". Mã độc có thể đã nằm im nhiều tuần trước khi kích hoạt. Nếu nhật ký cho thấy dấu vết xâm nhập từ sáu tuần trước, bản sao lưu hai tuần trước cũng đã nhiễm.
Nếu không có bản sao lưu sạch, cách làm đúng là dựng lại nền: cài mới mã nguồn và toàn bộ thành phần từ nguồn chính thức, rồi chỉ mang nội dung sang — bài viết, hình ảnh, dữ liệu nghiệp vụ, sau khi đã kiểm tra từng phần.
Điều nên tránh là ngồi xoá từng đoạn mã lạ trong website đang nhiễm rồi tuyên bố đã xong. Cách này hầu như luôn sót, và website nhiễm lại trong vòng vài ngày. Lý do đơn giản: bạn chỉ xoá được thứ bạn tìm thấy, còn kẻ tấn công thì biết mình đã để lại những gì.
Bước 6: gỡ cảnh báo của Google
Sau khi chắc chắn đã sạch, vào Search Console → Vấn đề bảo mật → gửi yêu cầu xem xét lại. Trong phần mô tả, ghi rõ ba điều: bạn đã tìm thấy gì, đã xử lý thế nào, và đã làm gì để ngăn tái diễn. Mô tả cụ thể giúp quá trình xem xét nhanh hơn đáng kể so với một câu "đã khắc phục".
Song song, kiểm tra xem mã độc có tạo ra các trang rác đã lọt vào chỉ mục hay không, bằng cách gõ site:tenmien.com như ở phép thử 2. Những trang này cần trả về mã 410 và gỡ khỏi sơ đồ trang. Nếu số lượng lớn, dùng thêm công cụ xoá URL trong Search Console để ẩn chúng tạm thời trong lúc chờ Google thu thập lại.
Bỏ qua bước này là lỗi thường gặp: website đã sạch nhưng chỉ mục vẫn đầy trang rác, và chúng tiếp tục kéo tụt đánh giá chất lượng của tên miền trong nhiều tháng.
Thời gian gỡ cảnh báo thường tính bằng ngày, không phải bằng giờ. Đừng gửi lại yêu cầu nhiều lần khi chưa có phản hồi — việc đó không làm nhanh hơn.
Nếu đọc đến đây mà thấy quy trình vượt quá khả năng xử lý nội bộ, đó là phản ứng hợp lý — sáu bước trên cần quyền truy cập máy chủ và kinh nghiệm đọc nhật ký. Tấn Phát Digital nhận xử lý trọn gói tình huống này: cô lập, điều tra đường xâm nhập, dựng lại nền sạch, gỡ cảnh báo Google và gia cố sau sự cố. Xem phạm vi công việc tại dịch vụ bảo trì website.
Ba tình huống, ba mức độ khẩn cấp khác nhau
Cùng một triệu chứng nhưng mức thiệt hại và thứ tự ưu tiên khác nhau rõ rệt tuỳ loại website.
Website giới thiệu doanh nghiệp, không chứa dữ liệu khách
Mức độ: trung bình. Thiệt hại chủ yếu là uy tín và thứ hạng tìm kiếm.
Ưu tiên: dựng lại nền sạch càng nhanh càng tốt, vì website này thường đơn giản và dựng lại nhanh hơn dọn. Nhiều trường hợp cài mới rồi mang nội dung sang mất nửa ngày, trong khi dọn từng tệp mất ba ngày và vẫn không chắc sạch.
Việc có thể bỏ qua: điều tra sâu đường xâm nhập, nếu bạn sẵn sàng dựng lại toàn bộ và cập nhật mọi thứ lên bản mới.
Website bán hàng có đơn và thông tin khách
Mức độ: cao. Ngoài uy tín còn có rủi ro dữ liệu khách hàng và rủi ro thanh toán.
Ưu tiên: trước khi làm gì khác, xác định xem dữ liệu khách có bị truy cập không — đây là câu hỏi bạn sẽ phải trả lời với khách và có thể với cơ quan quản lý. Nhật ký truy cập là bằng chứng duy nhất trả lời được câu này, nên bước 1 trở thành bước quan trọng nhất chứ không phải bước thủ tục.
Nếu website có tích hợp cổng thanh toán, thông báo cho nhà cung cấp cổng thanh toán ngay. Họ có quy trình riêng và có thể yêu cầu tạm ngưng kết nối.
Đừng làm: đừng khôi phục nhanh để kịp bán hàng cuối tuần. Một website bán hàng nhiễm lại lần hai gây thiệt hại lớn hơn nhiều so với việc đóng thêm hai ngày.
Website có đăng nhập người dùng hoặc dữ liệu nhạy cảm
Phòng khám, trung tâm đào tạo, đơn vị tư vấn, bất kỳ website nào có tài khoản người dùng.
Mức độ: rất cao.
Ưu tiên: buộc đăng xuất toàn bộ phiên làm việc và yêu cầu mọi người dùng đổi mật khẩu sau khi website sạch. Giả định rằng mọi thông tin trong cơ sở dữ liệu đã bị đọc, trừ khi nhật ký chứng minh ngược lại.
Việc thường bị quên: nhiều người dùng dùng chung một mật khẩu cho nhiều dịch vụ. Trong thông báo gửi họ, nên nhắc đổi mật khẩu ở những nơi khác nếu đang dùng trùng.
Bốn điều nghe nhiều nhưng không đúng
"Cài một thành phần bảo mật là xong." Các thành phần bảo mật giúp phát hiện và giảm rủi ro, nhưng chúng không dọn được một website đã nhiễm và không thay thế được việc cập nhật. Website nhiễm mà cài thêm thành phần bảo mật rồi để nguyên là cách phổ biến nhất để tin rằng mình đã xử lý xong.
"Website nhỏ thì không ai thèm tấn công." Phần lớn các cuộc tấn công dạng này hoàn toàn tự động: công cụ quét hàng loạt địa chỉ tìm phiên bản có lỗ hổng đã biết, không quan tâm website đó của ai. Website càng ít được để ý càng dễ bị nhiễm lâu mà không ai biết.
"Khôi phục bản sao lưu là xong." Nếu không tìm ra đường vào và bịt lại, kẻ tấn công sẽ dùng đúng đường đó lần nữa. Khôi phục là một bước, không phải toàn bộ quy trình.
"Chặn bằng robots.txt để Google đừng thấy trang rác." Đây là việc phản tác dụng. Bị chặn thì Google không đọc được mã 410 và các trang rác sẽ nằm lại trong chỉ mục rất lâu. Phải để Google truy cập được và nhận mã 410.
Ngưỡng thời gian tham chiếu
Đây là các mốc chúng tôi dùng khi xử lý sự cố cho khách. Chúng là quy ước làm việc, không phải chuẩn chính thức.
Giai đoạn | Website giới thiệu | Website bán hàng | Website có tài khoản người dùng |
|---|---|---|---|
Sao lưu hiện trạng và cắt truy cập | Trong 1 giờ | Trong 1 giờ | Trong 30 phút |
Đưa về trạng thái tạm ngưng | Trong 2 giờ | Trong 1 giờ | Trong 1 giờ |
Xác định phạm vi nhiễm | 2–6 giờ | 4–12 giờ | 6–24 giờ |
Dựng lại nền sạch | 4–8 giờ | 1–3 ngày | 2–5 ngày |
Gửi yêu cầu xem xét lại | Ngay sau khi sạch | Ngay sau khi sạch | Sau khi đã kiểm tra dữ liệu |
Google gỡ cảnh báo | 1–7 ngày | 1–7 ngày | 1–7 ngày |
Thứ hạng hồi phục | 2–6 tuần | 3–8 tuần | 3–8 tuần |
Con số cuối cùng phụ thuộc chủ yếu vào việc website nằm trong tình trạng nhiễm bao lâu trước khi được phát hiện, chứ không phải vào chất lượng xử lý.
Sau khi sạch: bịt đường quay lại
Dọn xong mà không gia cố thì chỉ là hoãn sự cố. Những việc tối thiểu:
Bật xác thực hai lớp cho mọi tài khoản quản trị và tài khoản hosting
Gỡ bỏ những thành phần mở rộng và giao diện không dùng đến — thành phần không dùng vẫn là cửa vào
Đặt lịch cập nhật định kỳ thay vì cập nhật khi nhớ ra
Sao lưu tự động hằng ngày, lưu ở nơi tách biệt với máy chủ website, và kiểm tra thử khôi phục ít nhất mỗi quý — một bản sao lưu chưa từng được khôi phục thử thì chưa thể gọi là bản sao lưu
Giới hạn quyền ghi trên thư mục tải lên
Theo dõi thay đổi tệp để được cảnh báo khi có tệp lạ xuất hiện
Rà soát danh sách tài khoản quản trị mỗi quý và xoá tài khoản của người đã nghỉ
Những việc trên không khó, nhưng chúng chỉ có tác dụng khi được làm đều đặn hằng tháng chứ không phải làm một lần rồi thôi — đó là lý do phần lớn doanh nghiệp giao hẳn cho một đầu mối, xem phạm vi tại dịch vụ chăm sóc website định kỳ.
Phần lớn sự cố chúng tôi xử lý đều bắt nguồn từ cùng một nhóm nguyên nhân: một thành phần đã lâu không cập nhật, một mật khẩu dùng lại ở nhiều nơi, hoặc một tài khoản cũ của nhân sự đã nghỉ chưa bị vô hiệu hoá. Không có nguyên nhân nào trong số đó là vấn đề kỹ thuật phức tạp — tất cả đều là vấn đề vận hành.
Đây cũng chính là phần hay bị bỏ trống trong hợp đồng làm website, như đã nói trong bài 7 điều khách hối tiếc sau khi làm website.
Khi nào nên dừng lại và gọi người khác
Tự xử lý được là tốt, nhưng có những dấu hiệu cho thấy nên dừng.
Khi bạn không có quyền truy cập máy chủ ở mức đủ sâu. Nếu chỉ có tài khoản quản trị website mà không có quyền vào máy chủ hay cơ sở dữ liệu, bạn không thể rà soát đủ các vùng ở bước 4, và mọi kết luận "đã sạch" đều là phỏng đoán.
Khi website đã nhiễm lại sau lần dọn thứ nhất. Nhiễm lại nghĩa là đường vào vẫn mở. Dọn lần hai theo đúng cách cũ sẽ cho kết quả cũ.
Khi có dữ liệu khách hàng liên quan. Câu hỏi "dữ liệu có bị lộ không" cần trả lời bằng bằng chứng từ nhật ký, không bằng cảm nhận. Nếu bạn không đọc được nhật ký máy chủ, bạn không trả lời được câu đó.
Khi hosting đã khoá tài khoản của bạn. Lúc này cần làm việc với nhà cung cấp theo quy trình của họ, và thường cần báo cáo kỹ thuật mô tả nguyên nhân cùng biện pháp khắc phục.
Câu hỏi thường gặp
Tôi vào website vẫn bình thường, sao khách lại bị chuyển hướng? Vì mã độc được cài đặt có điều kiện: chỉ kích hoạt với khách đến từ kết quả tìm kiếm, hoặc chỉ với thiết bị di động, và thường bỏ qua người đang đăng nhập quản trị. Đây là cách để chủ website chậm phát hiện nhất có thể.
Xử lý mất bao lâu? Thời gian làm sạch thường tính bằng vài giờ đến vài ngày tuỳ quy mô, xem bảng ngưỡng ở trên. Nhưng thời gian Google gỡ cảnh báo và thứ hạng hồi phục thì dài hơn, thường vài tuần.
Sự cố này ảnh hưởng thứ hạng bao lâu? Tuỳ thời gian website nằm trong tình trạng nhiễm. Phát hiện và xử lý trong vài ngày thì ảnh hưởng thường tạm thời. Để kéo dài nhiều tuần, đặc biệt khi đã sinh ra hàng loạt trang rác trong chỉ mục, thì việc hồi phục sẽ lâu hơn đáng kể.
Có nên đổi tên miền để thoát cảnh báo không? Gần như luôn là lựa chọn tồi. Bạn mất toàn bộ lịch sử và thứ hạng đã xây, trong khi cảnh báo sẽ được gỡ trong vòng một tuần nếu xử lý đúng. Đổi tên miền chỉ nên tính đến trong những trường hợp rất đặc biệt.
Bảo hiểm hoặc hosting có bồi thường không? Phần lớn hợp đồng hosting phổ thông không bồi thường thiệt hại do website của khách bị xâm nhập, vì trách nhiệm bảo mật ở lớp ứng dụng thuộc về chủ website. Đọc lại điều khoản dịch vụ của bạn để biết ranh giới trách nhiệm.
Bước tiếp theo
Nếu website đang có dấu hiệu bị chuyển hướng, hãy làm ngay ba việc trước khi tính đến chuyện sửa: chạy ba phép thử xác nhận ở đầu bài, tải bản sao lưu nguyên trạng cùng nhật ký máy chủ, và đổi toàn bộ mật khẩu theo đúng thứ tự ở bước 2. Ba việc này không mất nhiều thời gian nhưng quyết định phần lớn khả năng xử lý dứt điểm.
Cần hỗ trợ khẩn, liên hệ Tấn Phát Digital kèm tên miền, thời điểm bạn phát hiện sự cố, và cho biết website có chứa dữ liệu khách hàng hay không để chúng tôi đánh giá đúng mức độ.
