7 σημάδια ότι το WordPress site σου έχει ήδη παραβιαστεί

Εισαγωγή

Όταν οι περισσότεροι φαντάζονται έναν παραβιασμένο ιστότοπο, φαντάζονται μια μαύρη σελίδα με ένα μήνυμα «Hacked by…».

Αυτό σχεδόν δεν συμβαίνει πια. Η μεγάλη πλειοψηφία των σημερινών επιθέσεων σε WordPress έχει έναν και μόνο στόχο: να μη γίνει αντιληπτή. Ένα παραβιασμένο site είναι πολύτιμο μόνο όσο λειτουργεί κανονικά — για να στέλνει spam, να φιλοξενεί σελίδες απάτης, να προωθεί επισκέπτες σε τρίτους ιστότοπους ή να δανείζει την αξιοπιστία του domain σου σε παράνομα link.

Γι’ αυτό η σωστή ερώτηση δεν είναι «φαίνεται εντάξει;» αλλά «τι θα έβλεπα αν δεν ήταν;». Ακολουθούν τα επτά σημάδια.

Χρήστες διαχειριστές που δεν δημιούργησες ποτέ

Πήγαινε στο Χρήστες → Όλοι οι χρήστες και φιλτράρισε ανά ρόλο Administrator. Κάθε λογαριασμός εκεί πρέπει να αντιστοιχεί σε πραγματικό άνθρωπο που ξέρεις.

Τι να προσέξεις:

• λογαριασμούς με τυχαία ονόματα ή με email σε άγνωστο domain
• λογαριασμούς που μοιάζουν «τεχνικοί» (wpsupport, admin_backup, seo)
• έναν παλιό συνεργάτη που θα έπρεπε να έχει αφαιρεθεί εδώ και καιρό
• υπάρχοντα χρήστη που ξαφνικά έγινε Administrator ενώ ήταν Editor

Σημείωση: οι πιο προσεγμένες επιθέσεις κρύβουν τον χρήστη τους από τη λίστα. Η απουσία ύποπτου λογαριασμού δεν αποδεικνύει από μόνη της ότι είσαι καθαρός.

Το Google εμφανίζει σελίδες που δεν έγραψες ποτέ

Το πιο γρήγορο τεστ που μπορείς να κάνεις σε δέκα δευτερόλεπτα: γράψε στο Google

site:todomainsou.gr

και ξεφύλλισε τα αποτελέσματα. Αν δεις τίτλους για φαρμακευτικά προϊόντα, τυχερά παιχνίδια, ψεύτικα επώνυμα προϊόντα ή σελίδες σε γλώσσα που δεν χρησιμοποιείς (κλασικά ιαπωνικά ή κινέζικα), το site φιλοξενεί SEO spam.

Αυτές οι σελίδες συνήθως δεν εμφανίζονται πουθενά στο μενού σου και δεν υπάρχουν στα Άρθρα ή τις Σελίδες. Υπάρχουν μόνο για τις μηχανές αναζήτησης. Και είναι το είδος της παραβίασης που κοστίζει περισσότερο μακροπρόθεσμα, γιατί καταστρέφει την οργανική σου κατάταξη.

Ανακατεύθυνση που εμφανίζεται μόνο σε κινητά ή μόνο από το Google

Το κακόβουλο script ελέγχει ποιος είναι ο επισκέπτης πριν ενεργοποιηθεί. Σε εσένα — που μπαίνεις από υπολογιστή, γράφοντας απευθείας τη διεύθυνση και έχοντας ενεργή σύνδεση ως διαχειριστής — δεν κάνει τίποτα. Στον επισκέπτη που έρχεται από αναζήτηση με κινητό, τον στέλνει αλλού.

Πώς το ελέγχεις σωστά:

• άνοιξε το site από κινητό, με 4G/5G αντί για το WiFi του γραφείου
• κάνε αναζήτηση στο Google και πάτα το αποτέλεσμα, μην πληκτρολογήσεις τη διεύθυνση
• δοκίμασε σε παράθυρο ανώνυμης περιήγησης, αποσυνδεδεμένος από το WordPress

Αν οι πελάτες σου λένε «μου βγάζει διαφημίσεις» ενώ εσύ δεν βλέπεις τίποτα, πίστεψε τους πελάτες σου.

Αρχεία που εμφανίστηκαν από το πουθενά

Μέσω FTP ή του File Manager του hosting, κοίτα τις ημερομηνίες τροποποίησης. Ύποπτα ευρήματα:

• αρχεία .php μέσα στο wp-content/uploads/ — εκεί μπαίνουν εικόνες και PDF, ποτέ εκτελέσιμος κώδικας
• αρχεία με τυχαία ονόματα στη ρίζα (wp-x9f2.php, radio.php, class-wp-cache.php)
• πρόσφατα τροποποιημένα wp-config.php, .htaccess, index.php, functions.php χωρίς να έχεις κάνει εσύ αλλαγή
• ολόκληροι φάκελοι με ημερομηνία που δεν ταιριάζει με καμία δική σου ενέργεια

Ένα εύκολο σημείο εκκίνησης: ταξινόμησε τα αρχεία κατά ημερομηνία τροποποίησης, φθίνουσα. Ό,τι άλλαξε τελευταίο βρίσκεται στην κορυφή.

Το site έγινε ξαφνικά αργό και ο server «ζορίζεται»

Ένα παραβιασμένο site δουλεύει για κάποιον άλλον, και αυτή η δουλειά κοστίζει πόρους. Ενδείξεις:

• απότομη αύξηση στη χρήση CPU ή μνήμης στον πίνακα ελέγχου του hosting
• ο πάροχος σε ειδοποιεί για υπέρβαση ορίων ή αναστέλλει τον λογαριασμό
• εκατοντάδες εξερχόμενα email που δεν έστειλες εσύ
• απότομη, ανεξήγητη εκτόξευση επισκεψιμότητας σε σελίδες που δεν υπάρχουν

Προσοχή όμως: δεν είναι κάθε αργό site παραβιασμένο. Αν δεν βρεις άλλα σημάδια από τη λίστα, το πιο πιθανό είναι να πρόκειται για θέμα βελτιστοποίησης ταχύτητας και όχι ασφάλειας.

Προειδοποιήσεις από Google, τον browser ή τα email σου

Αυτά είναι τα σημάδια που βλέπουν οι άλλοι πριν από εσένα:

• κόκκινη οθόνη «Παραπλανητικός ιστότοπος» στον Chrome
• ειδοποίηση στο Google Search Console → Θέματα ασφαλείας
• πτώση στην παραδοσιμότητα των email σου ή καταγγελίες για spam — το domain μπήκε σε blacklist
• προειδοποίηση από το antivirus κάποιου επισκέπτη

Αν δεν έχεις συνδέσει το site σου στο Google Search Console, κάν’ το σήμερα. Είναι δωρεάν και είναι ο ταχύτερος τρόπος να μάθεις για πρόβλημα ασφαλείας.

Χάνεις πρόσβαση ή εμφανίζονται ρυθμίσεις που δεν έβαλες

• ο κωδικός σου «σταμάτησε να δουλεύει» χωρίς εξήγηση
• εμφανίστηκε πρόσθετο (plugin) που δεν εγκατέστησες, ή ένα υπάρχον απενεργοποιήθηκε μόνο του
• άλλαξε το URL του ιστότοπου στις Γενικές ρυθμίσεις
• εμφανίστηκαν προγραμματισμένες εργασίες (cron) με άγνωστα ονόματα
• το πρόσθετο ασφαλείας σου απενεργοποιήθηκε ή «δεν βρίσκει» πια τα αρχεία του

Το τελευταίο είναι ιδιαίτερα σοβαρό: η απενεργοποίηση της ασφάλειας είναι σχεδόν πάντα η πρώτη κίνηση μετά από επιτυχημένη είσοδο.

Πώς επιβεβαιώνεις

Πριν πανικοβληθείς, κάνε τρεις ελέγχους:

1. Σάρωση με πρόσθετο ασφαλείας (Wordfence, Sucuri ή αντίστοιχο). Ζήτα πλήρη σάρωση αρχείων, όχι γρήγορη.
2. Έλεγχος ακεραιότητας του πυρήνα. Τα πρόσθετα αυτά συγκρίνουν τα αρχεία του WordPress με τα επίσημα. Οποιαδήποτε διαφορά στον πυρήνα είναι εξ ορισμού ύποπτη.
3. Logs του server. Ζήτα από τον πάροχό σου τα access logs και ψάξε επαναλαμβανόμενες προσπάθειες στο wp-login.php και xmlrpc.php, καθώς και επιτυχείς συνδέσεις από IP εκτός Ελλάδας.

Τι κάνεις αν επιβεβαιωθεί

Με αυτή τη σειρά:

1. Βάλε το site σε λειτουργία συντήρησης. Κάθε ώρα που μένει online, η ζημιά στη φήμη και στο SEO μεγαλώνει.
2. Πάρε αντίγραφο του παραβιασμένου site πριν αγγίξεις οτιδήποτε. Ακούγεται περίεργο, αλλά είναι το μόνο σου στοιχείο για να βρεις πώς μπήκαν.
3. Άλλαξε όλους τους κωδικούς: WordPress, βάση δεδομένων, FTP/SFTP, πίνακα ελέγχου hosting, και το email που τα ελέγχει όλα.
4. Άλλαξε τα security keys στο wp-config.php ώστε να αποσυνδεθούν βίαια όλες οι ενεργές συνεδρίες.
5. Καθάρισε ή επανάφερε. Η πιο ασφαλής προσέγγιση: επαναφορά καθαρού backup από ημερομηνία πριν την παραβίαση, και μετά άμεση ενημέρωση όλων. Αν δεν υπάρχει καθαρό backup, χρειάζεται χειροκίνητος καθαρισμός.
6. Ενημέρωσε τα πάντα — πυρήνα, θέμα, πρόσθετα — και αφαίρεσε ό,τι δεν χρησιμοποιείς.
7. Ζήτα επανέλεγχο από τη Google μέσω του Search Console, ώστε να φύγει η προειδοποίηση.

Το λάθος που κάνουν σχεδόν όλοι

Βρίσκουν το ένα κακόβουλο αρχείο, το διαγράφουν, και θεωρούν ότι τελείωσαν. Δύο μέρες μετά, το site είναι πάλι μολυσμένο.

Ο λόγος είναι ότι μια επίθεση σχεδόν ποτέ δεν αφήνει ένα μόνο αρχείο. Αφήνει backdoors — κρυμμένα σημεία επανεισόδου σε πρόσθετα, στη βάση δεδομένων, σε προγραμματισμένες εργασίες. Αν δεν κλείσει και ο αρχικός τρόπος εισόδου, ο καθαρισμός είναι προσωρινός.

Πρόληψη: τα βασικά που πραγματικά μετράνε

• Ενημερώσεις χωρίς καθυστέρηση. Η συντριπτική πλειοψηφία των επιθέσεων εκμεταλλεύεται γνωστά κενά με διαθέσιμη διόρθωση.
• Two-factor authentication σε κάθε λογαριασμό διαχειριστή.
• Λιγότερα πρόσθετα. Κάθε plugin που δεν χρησιμοποιείς είναι ρίσκο χωρίς αντάλλαγμα — και τα απενεργοποιημένα plugins παραμένουν επικίνδυνα, γι’ αυτό διάγραψέ τα.
• Ρόλοι με τα ελάχιστα δικαιώματα. Ο συντάκτης κειμένων δεν χρειάζεται να είναι Administrator.
• Αυτόματα, εξωτερικά backups — και δοκιμασμένη επαναφορά. Backup που δεν έχεις δοκιμάσει να επαναφέρεις δεν είναι backup.
• Firewall εφαρμογής (WAF) και όριο στις αποτυχημένες προσπάθειες σύνδεσης.
• Σοβαρός πάροχος φιλοξενίας. Στο shared hosting, ένα μολυσμένο site μπορεί να παρασύρει και τα υπόλοιπα.

Και ένα ακόμη, που συχνά ξεχνιέται: τα περισσότερα credentials διαχειριστή δεν «σπάνε», δίνονται. Δες πώς λειτουργεί σήμερα το phishing και γιατί τα ψεύτικα email δεν έχουν πια ορθογραφικά λάθη.

Το συμπέρασμα

Ο ιστότοπός σου δεν θα σου πει ότι παραβιάστηκε. Πρέπει να το ψάξεις εσύ — και ο έλεγχος των παραπάνω επτά σημείων παίρνει λιγότερο από μισή ώρα.

Το ερώτημα δεν είναι αν θα δεχτεί κάποιος απόπειρα επίθεσης. Αυτόματα bots σαρώνουν κάθε WordPress site, κάθε μέρα. Το ερώτημα είναι αν θα το καταλάβεις πριν το καταλάβει η Google, η τράπεζά σου ή οι πελάτες σου.