Thiết kế website chuyên nghiệp
Thiết kế landing page
Dịch vụ seo tổng thể
Dịch vụ quản trị website
Website bị hack phải làm sao là câu hỏi thường được gõ lúc hoảng nhất: trang chuyển hướng sang web lạ, Google báo “trang web có thể bị tấn công”, hoặc khách nhắn bạn bị lừa. Bài này là checklist 10 bước theo thứ tự nên làm, viết cho website WordPress, để bạn xử lý đúng và không làm tình hình tệ hơn. Cập nhật tháng 11/2026.
Website bị hack phải làm sao? Thứ tự 10 bước nên theo
Khi website bị hack, việc đầu tiên là giữ nguyên hiện trường và cắt đường kẻ tấn công đang dùng, rồi mới dọn. Làm ngược lại (xoá bừa, cài lại ngay) thường mất dấu vết và khiến website bị nhiễm lại sau vài ngày. Thứ tự dưới đây là quy trình HPB Media áp dụng khi nhận ca xử lý.
- Bình tĩnh, chụp lại hiện trạng.
- Đưa website vào chế độ bảo trì.
- Sao lưu nguyên trạng cả file và database.
- Đổi toàn bộ mật khẩu từ một máy sạch.
- Rà tài khoản admin lạ và Application Passwords.
- Quét và dọn mã độc, file lạ.
- Thay lõi WordPress, plugin, theme bằng bản gốc.
- Đổi khoá bí mật và xoá file cấu hình sao lưu để lộ.
- Vá lỗ hổng và dựng lớp chặn.
- Báo Google, theo dõi ít nhất 2 tuần.
Bước 1 đến 3: giữ hiện trường và cô lập
Ba bước đầu nhằm không để thiệt hại lan rộng và giữ lại bằng chứng để biết kẻ tấn công vào bằng đường nào. Chưa cần dọn gì ở giai đoạn này. Bạn chỉ cần chụp lại hiện trạng, chặn khách truy cập vào trang đã nhiễm và sao lưu nguyên trạng.
Bước 1: Chụp lại hiện trạng
Chụp màn hình trang bị chuyển hướng, bài đăng lạ, cảnh báo của Google hoặc trình duyệt. Ghi lại giờ phát hiện và ai là người báo. Những chi tiết này giúp xác định mốc thời gian bị xâm nhập khi rà log sau này.
Bước 2: Đưa website vào chế độ bảo trì
Nếu website đang chuyển hướng khách sang trang cờ bạc hay trang lừa đảo, mỗi phút để mở là thêm người bị ảnh hưởng và thêm điểm trừ uy tín. Bạn có thể bật bảo trì bằng plugin, hoặc nhờ nhà cung cấp hosting tạm khoá truy cập từ ngoài. Nếu không vào được trang quản trị, hãy làm qua hosting.
Bước 3: Sao lưu nguyên trạng
Tải toàn bộ file và database về, đặt tên rõ là bản đã nhiễm. Nghe ngược đời, nhưng bản này cần thiết: nó giúp phân tích nguồn xâm nhập và cứu dữ liệu nếu lỡ tay xoá nhầm lúc dọn. Đừng khôi phục đè lên bản backup cũ mà chưa kiểm tra, vì backup cũng có thể đã chứa mã độc.
Bước 4 và 5: đổi mật khẩu và rà tài khoản lạ
Đổi mật khẩu đúng cách nghĩa là đổi tất cả các lớp truy cập (hosting, FTP/SSH, database, quản trị WordPress) từ một máy tính sạch, rồi mới rà tài khoản lạ. Đổi mỗi mật khẩu admin là chưa đủ, vì kẻ tấn công thường để lại nhiều đường quay lại.
Bước 4: Đổi mật khẩu từ máy sạch
Quét virus máy tính bạn đang dùng trước, vì mật khẩu có thể bị lộ từ chính máy này. Sau đó đổi mật khẩu hosting, FTP/SSH, database và mọi tài khoản quản trị. Dùng mật khẩu dài, không dùng lại giữa các website. Nếu nhiều website cùng chung một tài khoản hosting, phải xử lý cả nhóm, vì mã độc lây chéo được giữa chúng.
Bước 5: Rà tài khoản admin lạ và Application Passwords
Vào Người dùng, lọc vai trò Quản trị viên và xoá mọi tài khoản bạn không nhận ra, nhất là tên kiểu admin_xxxx hay backup_xxxx. Sau đó mở từng hồ sơ tài khoản, kéo xuống mục Application Passwords và xoá hết những mật khẩu ứng dụng lạ. Cách hoạt động của tính năng này được mô tả trong hướng dẫn Application Passwords của WordPress.org.
Chúng tôi từng xử lý một website bị đăng hàng chục bài quảng cáo casino. Đường vào là Application Passwords do kẻ lạ tạo từ nhiều tháng trước. Đổi mật khẩu đăng nhập không chặn được loại này, phải xoá chính các mật khẩu ứng dụng đó. Ở một website khác, 6 tài khoản admin lạ cùng 7 plugin cửa hậu có sẵn trong hệ thống.
Bước 6 và 7: dọn mã độc và thay bằng bản gốc
Dọn mã độc nghĩa là tìm và loại bỏ file lạ, đoạn mã chèn vào file hợp lệ, rồi thay lõi WordPress, plugin, theme bằng bản tải mới từ nguồn chính thức. Xoá từng dòng thủ công rất dễ sót, nên ưu tiên thay cả thư mục bằng bản sạch.
Bước 6: Quét và dọn file lạ
Mã độc hay nằm ở những chỗ này:
- Thư mục
wp-content/uploads: ở đây không nên có file.phpnào. - Đầu file
functions.phpcủa theme: có thể bị chèn một dòng mã đã mã hoá. - Các file
.htaccess: bị sửa để chuyển hướng người dùng điện thoại. - Plugin có tên lạ mà bạn không nhớ đã cài.
- File tên rất bình thường như
common.phphaycookie.phpnằm lẫn trong thư mục lõi.
Cách tự quét và các công cụ online bạn có thể xem ở bài kiểm tra mã độc website. Với ca nặng, kẻ tấn công còn đổi tên plugin giả định kỳ để né quét theo chữ ký, nên cần quét theo hành vi và cấu trúc, không chỉ theo tên.
Bước 7: Thay lõi, plugin, theme bằng bản gốc
Tải lại WordPress từ wordpress.org rồi thay thư mục wp-admin và wp-includes. Gỡ và cài lại plugin, theme từ nguồn gốc. Xoá hẳn plugin, theme không dùng, vì chúng vẫn là cửa vào dù đang tắt. Tuyệt đối không dùng bản “nulled” (bẻ khoá), vì đó là nguồn lây mã độc rất phổ biến.
Bước 8 và 9: đóng cửa để không bị nhiễm lại
Đóng cửa nghĩa là xử lý nguyên nhân gốc: khoá bí mật cũ, file cấu hình bị lộ, lỗ hổng chưa vá, và thiết lập chặn PHP chạy ở nơi không nên chạy. Bỏ qua phần này thì website sạch hôm nay, nhiễm lại tuần sau.
Bước 8: Đổi khoá bí mật và tìm file cấu hình để lộ
Tạo bộ khoá (salts) mới trong wp-config.php để buộc mọi phiên đăng nhập cũ hết hiệu lực. WordPress.org có sẵn trình tạo salts chính thức để bạn lấy bộ khoá mới. Kiểm tra xem có file như wp-config.php.bak nằm công khai trên web không. Chúng tôi từng gặp một website bị xâm nhập 3 đợt, lỗ hổng lớn nhất chính là bản sao lưu file cấu hình để mở cho ai cũng tải được, lộ luôn mật khẩu cơ sở dữ liệu. Sau đó kẻ tấn công còn dò mật khẩu admin chậm rãi nhiều ngày, đăng nhập được rồi cài plugin “shell” để chạy lệnh.
Bước 9: Vá lỗ hổng và dựng lớp chặn
Cập nhật WordPress, plugin, theme và phiên bản PHP lên bản mới. Sau đó thiết lập các lớp chặn cơ bản:
- Chặn chạy PHP trong thư mục uploads.
- Giới hạn ai được đăng nhập trang quản trị.
- Khoá IP sau 5 lần đăng nhập sai.
- Phân quyền gọn, mỗi người một vai trò vừa đủ, xem thêm ở bài phân quyền quản trị WordPress an toàn.
- Bật backup tự động hằng đêm ra nơi khác, không để chung máy chủ.
Các khuyến nghị làm cứng WordPress chính thức có thể đọc tại tài liệu Hardening WordPress.
Bước 10: báo Google và theo dõi 2 tuần
Sau khi dọn, bạn cần xác nhận với Google rằng website đã sạch và theo dõi sát trong khoảng 2 tuần, vì theo ca chúng tôi từng gặp, tái nhiễm lộ ra trong khoảng thời gian này. Chúng tôi từng dọn xong một hosting nhiều website, 2 tuần sau bị nhiễm lại gần y hệt vì còn sót tài khoản cửa hậu.
Nếu Google Search Console có mục Sự cố bảo mật, hãy yêu cầu xét duyệt lại sau khi dọn xong, theo hướng dẫn xử lý sự cố bảo mật của Google. Trong 2 tuần đó, mỗi ngày kiểm tra nhanh các việc sau:
- Có tài khoản admin mới xuất hiện không.
- Có file PHP mới trong thư mục uploads không.
- Trang chủ có chuyển hướng khi mở bằng điện thoại không.
- Có bài viết lạ được đăng không.
Nếu nhiễm lại, đọc bài vì sao website tái nhiễm mã độc sau khi đã làm sạch để biết cần rà thêm chỗ nào.
Những việc không nên làm khi vừa phát hiện bị hack
Có vài phản xạ tự nhiên nhưng làm hỏng việc xử lý. Tránh những điều dưới đây:
- Xoá toàn bộ website rồi cài lại ngay, vì mất dấu vết và có thể mất dữ liệu.
- Khôi phục backup mà không kiểm tra ngày nhiễm, vì backup có thể đã chứa mã độc.
- Chỉ đổi mật khẩu admin rồi coi như xong.
- Cài thêm nhiều plugin bảo mật cùng lúc, làm nặng web mà không xử lý nguyên nhân.
- Để website vẫn mở trong lúc chưa rõ mức độ nhiễm.
Ngược lại, nếu lỗi chỉ là một bài đăng lạ, mật khẩu yếu và chưa phát hiện file lạ, bạn hoàn toàn có thể tự làm theo checklist trên. Khi thấy dấu hiệu nặng hơn thì nên nhờ người có kinh nghiệm.
Khi nào nên nhờ đơn vị xử lý mã độc thay vì tự làm?
Nên nhờ người xử lý khi bạn không vào được trang quản trị, thấy file lạ lặp lại sau khi xoá, có nhiều website chung một hosting, hoặc website đã bị Google gắn cảnh báo. Lúc đó rủi ro nằm ở chỗ dọn sót, không phải ở chi phí.
| Dấu hiệu nặng | Vì sao nên nhờ người |
|---|---|
| Không vào được trang quản trị | Phải xử lý qua hosting, không dùng được công cụ trong WordPress |
| File lạ xuất hiện lại sau khi xoá | Còn cửa hậu hoặc mã chèn ở nơi chưa rà tới |
| Nhiều website chung một hosting | Mã độc lây chéo, phải quét và đổi mật khẩu cả nhóm |
| Google đã gắn cảnh báo | Cần dọn sạch rồi gửi yêu cầu xét duyệt lại |
Một hosting dùng chung có khoảng 28 website từng bị nhiễm 4 họ mã độc cùng lúc, file nhiễm cũ nhất có từ 2 năm trước mà chủ web không biết. Những ca như vậy cần quét toàn bộ tài khoản hosting, rà tài khoản admin và đổi mật khẩu đồng loạt. Nếu bạn muốn có người làm trọn quy trình này, HPB Media nhận dịch vụ xử lý mã độc website, báo giá chính xác sau khi xem hiện trạng thực tế.
Để nhận ra sớm hơn lần sau, bạn có thể đối chiếu với 9 dấu hiệu website WordPress bị nhiễm mã độc, hoặc xem cách kiểm tra website bị chuyển hướng sang trang lạ.
Câu hỏi thường gặp
Website bị hack có tự hết không?
Không. Mã độc không tự biến mất, và kẻ tấn công thường để lại cửa hậu để quay lại. Website có thể trông bình thường một thời gian rồi lại bị chuyển hướng hoặc đăng bài lạ. Cần dọn chủ động và xử lý nguyên nhân.
Bị hack có ảnh hưởng thứ hạng Google không?
Có thể. Nếu Google phát hiện website chứa nội dung độc hại hoặc chuyển hướng lạ, trang có thể bị gắn cảnh báo và mất lượt truy cập. Sau khi dọn sạch, bạn gửi yêu cầu xét duyệt lại trong Search Console để cảnh báo được gỡ.
Khôi phục backup cũ có đủ không?
Chưa chắc. Nếu backup được tạo sau thời điểm bị xâm nhập thì nó đã chứa mã độc. Kể cả backup sạch, nếu không đóng lỗ hổng và đổi mật khẩu thì website vẫn bị vào lại bằng đường cũ.
Sau khi dọn xong, bao lâu thì yên tâm?
Nên theo dõi ít nhất 2 tuần, vì theo ca chúng tôi từng gặp, tái nhiễm lộ ra trong khoảng này. Sau đó duy trì backup hằng đêm, cập nhật định kỳ và giám sát tự động để phát hiện sớm nếu có thay đổi lạ.
Website đang bị hack, cần người xử lý ngay?
Nhắn HPB Media tình trạng website của bạn. Chúng tôi xem hiện trạng, dọn mã độc, rà tài khoản lạ và chặn đường nhiễm lại. Báo giá chính xác sau khi xem yêu cầu.
