Hacklenmiş bir siteyi kurtarmanın ilk kuralı temizlemek değildir: temizlemeden önce delilleri saklamaktır. Aceleyle silinen dosyalar, saldırganın nasıl girdiğini gösteren tek kanıt olabilir — ve o kanıt yoksa aynı yoldan tekrar girilir.
Kısa cevap: sitem hacklendiyse ne yapmalıyım?
Sıra şudur: (1) siteyi izole edin ve kayıtları koruyun, (2) tüm erişim bilgilerini değiştirin, (3) temiz bir yedekten geri dönün veya zararlı kodu temizleyin, (4) giriş yolunu kapatın, (5) arama motoru uyarısı varsa yeniden inceleme talep edin. En sık yapılan hata, ikinci ve dördüncü adımı atlayarak doğrudan temizliğe geçmektir; bu durumda site birkaç gün içinde yeniden ele geçirilir. Temizlik sonucu değil, giriş yolunun kapatılması kalıcı çözümdür.
İlk 60 dakika: izolasyon ve kanıt
- Siteyi bakım moduna alın. Ziyaretçilerin zararlı içerikle karşılaşmasını durdurur ve arama motorunun daha fazla zararlı sayfa taramasını engeller. Tamamen kapatmak yerine bakım sayfası göstermek tercih edilir.
- Kayıtları hemen kopyalayın. Erişim ve hata kayıtlarının bir kopyasını sunucu dışına alın. Bu kayıtlar temizlik sırasında dönebilir veya saldırgan tarafından değiştirilebilir.
- Mevcut hâlin tam yedeğini alın. Zararlı hâliyle bile olsa; bu, sonradan inceleme yapabilmenin tek yoludur.
- Dosya değişiklik zamanlarını not edin. Son değiştirilen dosyalar, saldırının zaman aralığını ve kapsamını gösterir.
- Hiçbir şey silmeyin. Bu aşamada amaç temizlik değil, fotoğrafı çekmektir.
Bu beş adım toplamda yarım saat sürer ve sonraki tüm çalışmanın niteliğini belirler. Atlanırsa, "nasıl girdiler" sorusu genellikle cevapsız kalır.
Erişim bilgilerini değiştirin
Temizlikten önce yapılması gereken ikinci iş, saldırganın hâlâ elinde olabilecek erişimleri kesmektir:
- Hosting paneli ve sunucu erişim şifreleri — SSH anahtarları dahil.
- İçerik yönetim sistemi yönetici hesapları — tanımadığınız kullanıcıları silin, tanıdıklarınkini sıfırlayın.
- Veritabanı kullanıcı şifresi ve yapılandırma dosyasındaki karşılığı.
- FTP/SFTP hesapları — kullanılmayanları tamamen kaldırın.
- Alan adı paneli — DNS kayıtlarının değiştirilmediğini de doğrulayın.
- E-posta hesapları — özellikle yönetici adresi; oradan sıfırlama yapılabilir.
- API anahtarları ve entegrasyon erişimleri.
Ayrıca tüm oturumları sonlandırın: yalnızca şifre değiştirmek, açık bir oturumu kapatmayabilir.
Temizleme adımları
| Adım | Ne yapılır? | Dikkat |
|---|---|---|
| 1. Kapsam tespiti | Hangi dosyalar değişmiş, hangi tablolar etkilenmiş | Yalnızca dosyalara bakmak yetmez; veritabanı da kontrol edilmeli |
| 2. Temiz yedekten dönüş | Olaydan önceki doğrulanmış yedeğe dönülür | Yedek tarihi saldırıdan sonraysa zararlı kod da geri gelir |
| 3. Manuel temizlik | Yedek yoksa zararlı kod tek tek kaldırılır | En riskli yol; arkada kalan tek dosya yeterlidir |
| 4. Çekirdek dosya yenileme | Sistem, tema ve eklentiler temiz sürümleriyle değiştirilir | Özelleştirilmiş dosyalar ayrıca gözden geçirilmeli |
| 5. Kullanıcı denetimi | Yetkisiz eklenmiş yönetici hesapları silinir | Veritabanına doğrudan eklenmiş kullanıcılar olabilir |
| 6. Zamanlanmış görev denetimi | Sunucudaki cron kayıtları kontrol edilir | Zararlı kodun kendini geri yükleme yolu genellikle buradadır |
Altıncı satır en çok atlanan adımdır. Site temizlenip ertesi gün yeniden bozuluyorsa, sorun genellikle temizlikte değil; geride kalan bir zamanlanmış görevdedir.
Giriş yolunu kapatmak
Temizlik, sorunun sonucunu kaldırır; nedenini değil. Kapanması gereken tipik giriş yolları:
- Güncellenmemiş bileşen. En yaygın nedendir; sistem, tema ve tüm eklentiler güncellenmeli, bakımı bırakılmış olanlar kaldırılmalıdır.
- Zayıf veya sızdırılmış yönetici şifresi. Yeni şifreler benzersiz olmalı ve iki faktörlü doğrulama eklenmelidir.
- Dosya yükleme açığı. Yüklenen dosyaların çalıştırılamadığından emin olun.
- Aşırı geniş dosya izinleri. Yazılabilir dizinler gereken en az sayıda olmalıdır.
- Aynı sunucudaki başka bir site. Paylaşımlı ortamlarda komşu hesap üzerinden bulaşma olabilir; tüm hesaplar kontrol edilmelidir.
Arama motoru uyarısını kaldırma
- Search Console'daki güvenlik sorunları bölümünü kontrol edin. Tespit edilen sorun tipi burada listelenir.
- Temizliği tamamlayın ve doğrulayın. Bir örnek sayfayı değil, bildirilen tüm örnekleri kontrol edin.
- Yeniden inceleme talebi gönderin ve ne yapıldığını kısaca açıklayın: neyin bulaştığı, nasıl temizlendiği, giriş yolunun nasıl kapatıldığı.
- Sonucu bekleyin. İnceleme genellikle birkaç gün sürer. Bu sürede sitede yeni bir sorun çıkarsa süreç yeniden başlar.
- Zararlı yönlendirme veya spam sayfa kaldıysa yeniden inceleme reddedilir; bu yüzden temizliğin eksiksiz olması kritiktir.
Netişlem uzman görüşü: en pahalı hata, temizleyip geçmek
Sahada en sık gördüğümüz senaryo şu: site temizleniyor, çalışır hâle geliyor, herkes rahatlıyor ve iki hafta sonra aynı olay tekrarlanıyor. Sebep neredeyse her zaman aynı: giriş yolu kapatılmadı. Temizlik görünen sonucu ortadan kaldırıyor, ancak açık bileşen ya da ele geçirilmiş şifre yerinde duruyor. Bu yüzden "nasıl girdiler" sorusunun cevabı bulunmadan olay kapatılmamalı.
İkinci gözlemimiz, yedeğin çoğu zaman işe yaramaması. Yedek var ama tarihi belirsiz; hangi tarihte temiz olduğu bilinmiyor. Saldırının ne zaman başladığı belirlenmeden yapılan geri dönüş, zararlı kodu da geri getirebiliyor. Bu yüzden ilk saatlerde dosya değişiklik zamanlarını not etmek, yedek seçimini de doğru yapmanızı sağlıyor.
Üçüncüsü, olayın müşteriye anlatılmaması. Ziyaretçi verisi etkilenmişse bildirim yükümlülüğü doğabilir — ihlal bildirimi yazımızda ele aldık. Ayrıca sessiz kalmak, sonradan öğrenilmesi hâlinde çok daha ağır bir güven kaybı üretiyor.
Tekrarı önleme kontrol listesi
- Giriş yolu tespit edildi ve yazılı kayda geçti.
- Tüm bileşenler güncellendi; kullanılmayanlar kaldırıldı.
- Tüm erişim bilgileri değiştirildi ve oturumlar sonlandırıldı.
- Yönetici hesaplarında iki faktörlü doğrulama açıldı.
- Zamanlanmış görevler denetlendi.
- Dosya izinleri gözden geçirildi.
- Temiz durumun yedeği alındı ve geri yükleme test edildi.
- İzleme ve dosya değişiklik uyarısı kuruldu — bkz. izleme yazısı.
- Arama motoru uyarısı kaldırıldı ve doğrulandı.
- Olay raporu yazıldı (ne oldu, nasıl girildi, ne yapıldı, ne değişti).
Sık sorulan sorular
Siteyi tamamen kapatmalı mıyım?
Tamamen kapatmak yerine bakım sayfası göstermek genellikle daha iyidir: ziyaretçi zararlı içerikle karşılaşmaz, arama motoru ise sitenin tamamen kaybolduğunu değil geçici olarak erişilemez olduğunu görür. Uzun süreli tam kapatma, dizinlenme tarafında ek sorun üretebilir.
Yedekten dönmek her zaman çözüm mü?
Yedeğin tarihi saldırıdan öncesine aitse ve o tarihten sonra veri kaybı kabul edilebilirse evet. Ancak yedek tarihi belirsizse veya saldırı uzun süredir devam ediyorsa, geri dönüş zararlı kodu da geri getirebilir. Bu yüzden önce saldırının başlangıç tarihi belirlenmelidir.
Zararlı kodu kendim temizleyebilir miyim?
Basit vakalarda mümkündür, ancak riskli bir yoldur: geride kalan tek bir dosya veya veritabanı kaydı, temizliği geçersiz kılar. Temiz bir yedekten dönmek ve çekirdek dosyaları yenilemek, elle temizlikten hem daha hızlı hem daha güvenilirdir.
Müşterilerime haber vermeli miyim?
Kişisel veri etkilendiyse bildirim yükümlülüğü doğabilir. Etkilenmediyse bile, ziyaretçilere zararlı içerik gösterilmiş olabileceği için şeffaf bir bilgilendirme genellikle doğru tercihtir. Sessiz kalmak, sonradan ortaya çıktığında çok daha ağır sonuç doğurur.
Aynı sunucudaki diğer sitelerim de etkilenir mi?
Paylaşımlı bir yapıda evet, etkilenebilirler. Bu nedenle olay sonrası yalnızca hacklenen siteyi değil, aynı hesaptaki tüm siteleri kontrol etmek gerekir. İzole edilmiş yapılarda bu risk belirgin biçimde düşer.
Sonuç
Hacklenme, teknik bir felaket değil yönetilmesi gereken bir olaydır. İlk 24 saatte kanıtı korumak, erişimleri kesmek ve giriş yolunu kapatmak; olayı bir kereye mahsus hâle getirir. Bu üçü atlandığında ise temizlik, tekrarlanan bir işe dönüşür.
Olay sonrası inceleme ve sertleştirme için bize ulaşın. Güvenli hosting, kurumsal yedekleme ve WordPress hosting çözümlerimizi inceleyebilirsiniz.