WordPress sitem hack'lendi mi? Saldırıların çoğu sahibine değil, Google'a görünür

Kısa cevap: hack'lenmiş bir WordPress sitesi, sahibi adresini yazıp açtığında çoğu zaman normal görünür. Saldırgan eklediğini size değil, Google'a ve arama sonucundan gelen ziyaretçiye gösterir. İlk haber genellikle dışarıdan gelir: arama sonucunda sitenizin altındaki "Bu site bilgisayarınıza zarar verebilir" etiketi, Search Console'daki Güvenlik Sorunları raporu ya da bir müşterinin "sitenize girince tuhaf bir sayfa açıldı" telefonu.

"Site açılıyor, sorun yok" neden kanıt değil

Google saldırıya uğramış içeriği dört biçimde tarif ediyor: sayfalara yerleştirilen kötü amaçlı kod, siteye eklenen spam sayfalar, mevcut sayfalara gizlenen metin ve bağlantılar, ziyaretçiyi başka siteye gönderen yönlendirmeler. Hiçbiri size görünmek için yapılmaz. Google'ın örneği: arama sonucundan tıklayan ziyaretçi şüpheli bir sayfaya gider, aynı adresi tarayıcıya elle yazan kişi hiçbir yönlendirme görmez. Bu yüzden Google şüphelenen sahibe sayfalarına tarayıcıdan değil Search Console'daki URL Denetleme aracından bakmasını söylüyor; örnek adreste bir şey görmemek temiz olmak değildir, gizleme olabilir.

Google'dan önce fark etmenin yolları

Hepsi Google'ın önleme belgesinden ve saldırıya uğramış siteler için yazdığı sorulardan:

1. Ara ara site: aramasını yapın. Google'a site:alanadiniz.com yazın; listede tanımadığınız sayfa ya da yazmadığınız konu varsa şüphelenin. Eklenen sayfalar panelinizde değil burada görünür.
2. Search Console'a kayıtlı olun, bildirimler bir e-postaya gitsin. Kayıtlı değilseniz Google'ın bildirimi size ulaşmaz.
3. Açmadığınız bir yönetici hesabı Google'ın saydığı yaygın işaretlerden biridir.
4. Alakasız arama terimlerinden gelen ani trafik — ilaç adları, kumar, ucuz ürün — eklenen spam sayfaların izidir.
5. Bir ziyaretçi "tarayıcım uyarı verdi" dediğinde inanın. Google uyarıyı kişinin gezinme bağlamına göre gösterir, siz göremeyebilirsiniz; tek doğru kaynak rapordur.

Siteler nasıl ele geçiriliyor, güncelleme kimin işi

Google'ın en çok kullanılan yöntemler listesi, hacker kelimesinin çağrıştırdığından daha sıkıcı: başka yerde de kullanılan şifreler, eksik güvenlik güncellemeleri, güncel olmayan ya da desteklenmeyen tema ve eklentiler, gereksiz yönetici yetkisi. Saldırganlar güvenlik açığı olan eski yazılımı aktif olarak arar. WordPress'in sertleştirme belgesi nedenini açıklıyor: bir açık için yeni sürüm çıktığı anda o açığı kullanmanın bilgisi de kamuya açılır, eski sürüm o günden sonra bilerek hedef alınır. Hedeflenen siz değilsiniz, sürüm numaranız.

Aynı belge sorumluluk sınırını da çiziyor: barındırma şirketi sunucudan sorumludur, üstüne kurduğunuz uygulamadan değil. Çekirdek, tema ve eklentiler site sahibinin işidir; bir sözleşmeyle birine verilmediyse kimsenin işi değildir. Google'ın tarifiyle sık düşülen tuzak budur: siteyi kurup unutmak.

Biz bakımını yaptığımız sitelerde çekirdek, tema ve eklenti güncellemelerini merkezi olarak ve denetleyerek yapıyoruz; siteye isteyenin eklenti yükleyebildiği bir düzen kurmuyoruz, çünkü çok siteli bir sunucuda bir sitenin açığı hepsinin açığıdır. Devraldığımız siteye önce sürüm, eklenti ve bilinen açıklar için bakıyoruz; temizlik gerekiyorsa teklifte ayrı satırdır, çünkü temizlik bakım değil, bakımın yapılmadığı dönemin faturasıdır.

Hack'lendiyse ne olur, ne kadar sürer

Google'ın Güvenlik Sorunları raporu belgesine göre temizlik kodu okuyabilmeyi gerektirir ve sitenin tamamında yapılır; birkaç sayfayı düzeltmek kısmi geri dönüş sağlamaz. Sonra rapordan inceleme istersiniz; Google bunun birkaç gün ile birkaç hafta sürebileceğini yazıyor. Düzelmeden gönderilen istek sonrakini geciktirir; kısa sürede temiz ile kirli arasında gidip gelen site sürekli ihlal sayılır ve 30 gün inceleme isteyemez. Asıl maliyet temizlik faturası değil, haftalarca "zarar verebilir" yazısıyla görünen işletme adıdır.

Yedek burada işe yarar, ama yalnız saldırıdan öncesine gidebiliyorsa. WordPress belgesinin örneği: 1 Mayıs'ta ele geçirilen, 12 Mayıs'ta fark edilen sitenin haftalık yedek tutan sahibinde temiz kopya vardır, yalnız son geceyi tutanda kirli kopya. Yedek yazımızdaki "kaç gün geriye gidiyor" sorusunun hack'teki anlamı budur.

Neyi çözmez, ne zaman dert etmemeli

Güncel site de hack'lenebilir. Google bunu kendisi yazıyor: tüm bileşenleriniz güncel olsa bile barındırıcınız işletim sistemi yamasını yüklememişse tehlikede olabilirsiniz. WordPress'in tarifiyle güvenlik riski sıfırlamak değil azaltmaktır. Güvenlik eklentisi de tek başına çözüm değildir; kendisi de güncellenmesi gereken bir eklentidir.

Dert etmemeniz gereken yer: yavaşlayan site, spam yorumlar, giriş sayfasına yapılan deneme sayısı tek başına hack değildir; her sitenin gürültüsüdür. Yukarıdaki beş madde temizse ve Search Console yeşilse panik gerekmez, düzen gerekir.

Sağlayıcınıza sorulacak dört soru

Her cevap bir isim, tarih ya da düzen olmalı.

1. Çekirdek, tema ve eklentileri kim, hangi düzenle güncelliyor? "Otomatik" cevabı yalnız çekirdeği kapsıyor olabilir; eklentileri ayrıca sorun.
2. Siteye eklenti kim yükleyebiliyor? Herkes yükleyebiliyorsa güncelleme listesi kimsenin elinde değildir.
3. Sunucuda başka siteler var mı; biri ele geçirilirse benimki nasıl korunuyor? WordPress'in belgesine göre paylaşımlı sunucuda başka bir site ele geçirilirse siz de etkilenebilirsiniz.
4. Search Console'da sitenin sahibi kim, güvenlik e-postası kime gidiyor? Cevap ayrılmış bir çalışanın ya da eski ajansın adresiyse Google'ın uyarısı boşluğa düşer. Site sahipliği yazımızdaki liste buraya da uzanır.

Bunu neden yazıyoruz

Doksandan fazla siteyi kendi sunucularımızda, güncellemesi ve yedeği bizde olan bir düzende barındırıyoruz; eklenti yükleme erişimi vermiyoruz. Bu soruların bizim için cevabı bakım sayfamızda yazılı. Sitenizi başkası barındırıyorsa aynı soruları ona sorun; cevap alamıyorsanız güncellemeyi kimsenin yapmadığını öğrenmiş olursunuz.