Thiết kế website chuyên nghiệp
Thiết kế landing page
Dịch vụ seo tổng thể
Dịch vụ quản trị website
Dịch vụ xử lý website bị hack là việc tìm và gỡ toàn bộ mã độc, khôi phục website về trạng thái sạch, rồi chặn kẻ tấn công quay lại. Nhiều người chỉ xoá vài file lạ rồi tưởng xong, vài tuần sau web nhiễm lại. Bài này nói rõ một lần xử lý đúng gồm những bước nào, mất bao lâu và bảo hành nên hiểu thế nào. Cập nhật tháng 11/2026.
Dịch vụ xử lý website bị hack gồm những việc gì?
Một lần xử lý đầy đủ gồm 5 phần: khoanh vùng thiệt hại, gỡ mã độc, khôi phục nội dung sạch, bịt đường vào của kẻ tấn công và theo dõi sau xử lý. Thiếu phần bịt đường vào thì phần còn lại gần như vô nghĩa, vì kẻ tấn công vẫn giữ chìa khoá.
Mã độc không chỉ nằm trong vài file. Nó có thể ở file lõi WordPress, theme, plugin giả mạo tên bình thường, cơ sở dữ liệu, file .htaccess và cả danh sách tài khoản quản trị. Vì vậy người xử lý phải rà từng lớp, không chỉ chạy một plugin quét rồi bấm xoá. Plugin quét hữu ích để phát hiện, nhưng nó thường chỉ nhận ra những mẫu đã biết. Kẻ tấn công đổi tên plugin giả định kỳ để né kiểu quét theo chữ ký, nên cần kiểm tra thêm theo hành vi và cấu trúc thư mục.
Khi nhận một website bị hack, việc đầu tiên không phải là xoá file mà là hiểu chuyện gì đã xảy ra. Khoanh vùng cho biết mã độc nằm ở đâu, tài khoản nào bị tạo thêm và dữ liệu nào bị sửa. Phần khôi phục đưa nội dung và giao diện về bản sạch, đối chiếu với bản gốc của lõi, theme và plugin để không dựng lại cả phần nhiễm. Phần bịt đường vào là chỗ tách người làm cẩn thận với người làm qua loa: phải tìm ra website bị xâm nhập bằng cách nào, rồi đóng đường đó lại, thay vì chỉ dọn hậu quả. Cuối cùng là theo dõi sau xử lý, vì tái nhiễm có thể chỉ lộ ra sau vài tuần. Hiểu 5 phần này giúp bạn đọc báo giá dễ hơn, đối chiếu xem bên làm có thực sự đi hết quy trình hay chỉ dừng ở bước xoá file.
Nếu bạn chưa chắc web mình đã bị nhiễm hay chưa, đọc trước bài 9 dấu hiệu website WordPress bị nhiễm mã độc. Nếu đã chắc chắn và đang cần làm gấp, xem checklist 10 bước xử lý khẩn cấp khi website bị hack để giữ nguyên hiện trường trước khi ai đó động vào.
Quy trình xử lý từng bước ra sao?
Quy trình chuẩn đi từ sao lưu hiện trạng, quét, dọn, khôi phục, đổi toàn bộ thông tin đăng nhập, rồi kiểm tra lại. Thứ tự này quan trọng: sao lưu trước để còn bằng chứng, đổi mật khẩu sau khi đã gỡ hết cửa hậu và phiên đăng nhập, nếu không kẻ tấn công vẫn lấy được mật khẩu mới.
- Sao lưu nguyên trạng file và cơ sở dữ liệu, kể cả bản đang nhiễm, để đối chiếu về sau.
- Đưa website vào chế độ bảo trì nếu đang chuyển hướng người dùng sang trang cờ bạc hoặc lừa đảo.
- Quét file lõi, theme, plugin và thư mục uploads, so với bản gốc từ wordpress.org.
- Rà cơ sở dữ liệu: bài viết bị chèn, tuỳ chọn lạ, script nhúng trong nội dung.
- Rà toàn bộ tài khoản quản trị và Application Passwords, xoá những gì không phải của bạn.
- Đổi mật khẩu hosting, cơ sở dữ liệu, FTP và tài khoản quản trị.
- Cập nhật lõi, theme, plugin; gỡ bản không còn dùng.
- Kiểm tra lại trên cả máy tính và điện thoại, vì có loại mã độc chỉ chuyển hướng người dùng di động.
Thứ tự các bước trong quy trình quan trọng không kém bản thân từng bước. Sao lưu nguyên trạng đứng đầu vì khi đã xoá file thì khó xem lại kẻ tấn công đã để lại gì. Bước quét và rà cơ sở dữ liệu đứng trước bước khôi phục, vì khôi phục lên một nền còn mã độc chỉ chép lại lỗi cũ. Việc đổi mật khẩu đặt sau bước gỡ cửa hậu, vì chỉ khi cửa hậu đã đóng thì mật khẩu mới mới thật sự an toàn. Bước cập nhật lõi, theme và plugin giúp đóng các lỗ hổng đã biết, còn bước kiểm tra cuối cùng trên cả máy tính lẫn điện thoại xác nhận website thật sự sạch dưới mắt người dùng. Nếu bên nhận làm đảo thứ tự này, ví dụ đổi mật khẩu trước khi dọn hoặc khôi phục trước khi quét, bạn nên hỏi lại lý do trước khi giao website.
Bước 5 là chỗ hay bị bỏ sót nhất. Chúng tôi từng gặp một website bị đăng hàng chục bài quảng cáo casino. Đường vào là Application Passwords do người lạ tạo từ nhiều tháng trước. Chủ web đã đổi mật khẩu đăng nhập vài lần mà vẫn bị đăng bài, vì loại mật khẩu này không bị chặn khi đổi mật khẩu thường. Phải vào hồ sơ người dùng và xoá thủ công.
Vì sao dọn xong vẫn bị nhiễm lại?
Website bị nhiễm lại vì còn sót cửa hậu: tài khoản quản trị lạ, plugin giả, hoặc một website khác trên cùng tài khoản hosting vẫn còn mã độc. Dọn file mà không rà những thứ này chỉ là dọn bề mặt.
Một ca thực tế: tháng 09/2026, chúng tôi xử lý một hosting dùng chung có khoảng 28 website bị nhiễm 4 họ mã độc cùng lúc, gồm plugin giả mạo tên lạ, webshell nguỵ trang bằng tên file bình thường nằm lẫn trong thư mục lõi, chuyển hướng người dùng điện thoại sang trang cờ bạc và trang lừa đảo đánh cắp ví crypto. File nhiễm cũ nhất có từ 2 năm trước mà chủ web không hay biết. Sau khi dọn, 2 tuần sau hệ thống tái nhiễm gần như y hệt. Nguyên nhân gốc là còn sót các tài khoản quản trị cửa hậu đặt tên kiểu admin_xxxx và backup_xxxx. Bài học rút ra: phải rà toàn bộ tài khoản admin, đổi mật khẩu hosting và cơ sở dữ liệu, và coi các site chung một tài khoản hosting là một khối, vì chúng lây chéo cho nhau.
Nếu web của bạn đã từng được dọn mà vẫn quay lại, bài website tái nhiễm mã độc: nguyên nhân và cách xử lý liệt kê các điểm cần kiểm tra thêm.
Thời gian xử lý bao lâu và nên hỏi gì về cam kết?
Thời gian xử lý phụ thuộc quy mô nhiễm, không có một con số chung cho mọi website. Một website nhỏ nhiễm nhẹ khác xa một hosting hàng chục site nhiễm nhiều họ mã độc. Người làm nghiêm túc sẽ xem hiện trạng rồi mới nêu mốc dự kiến, thay vì hứa một con số trước khi nhìn vào.
Về mốc thời gian, có thể chia theo quy mô. Website đơn lẻ nhiễm nhẹ, chỉ vài file lạ và chưa lan sang cơ sở dữ liệu, thường nhanh hơn nhiều so với hosting nhiều site nhiễm nhiều họ mã độc, vì khối lượng khoanh vùng và rà soát nhỏ hơn hẳn. Website có tài khoản quản trị lạ, dữ liệu bị chèn nội dung hoặc đã bị nhiễm lại sau lần dọn trước nằm ở mức giữa, vì phải rà thêm nhiều lớp. Hosting chung nhiều website cần nhiều thời gian nhất do phải xử lý từng site và coi cả tài khoản là một khối. Ngoài quy mô, tốc độ còn phụ thuộc việc bạn cấp quyền truy cập hosting kịp lúc. Chúng tôi không nêu số giờ trước khi xem hiện trạng, vì một con số đưa ra khi chưa nhìn vào website chỉ là phỏng đoán. Mốc dự kiến cụ thể sẽ được báo sau khi xem hiện trạng.
Thay vì tin vào lời hứa “xong trong vài giờ”, bạn nên hỏi những câu cụ thể dưới đây.
| Câu nên hỏi | Câu trả lời tốt trông thế nào |
|---|---|
| Bao lâu có kết quả đầu tiên? | Có mốc cho việc khoanh vùng và dọn, kèm điều kiện (có truy cập hosting kịp thời) |
| Có báo cáo những gì đã xử lý không? | Có danh sách file, tài khoản, mục dữ liệu đã dọn |
| Có rà tài khoản admin và Application Passwords không? | Có, nêu rõ trong phạm vi công việc |
| Có xử lý Google cảnh báo không? | Nói rõ bên làm hướng dẫn bạn tự gửi hay gửi giúp yêu cầu xem xét lại |
| Bảo hành tính từ lúc nào, gồm gì? | Ghi bằng văn bản, nêu thời hạn và phạm vi |
Chúng tôi không hứa cố định “100% sạch mãi mãi”. Không ai kiểm soát được mọi lỗ hổng mới xuất hiện. Điều chúng tôi cam kết được là phạm vi công việc, mốc thời gian dự kiến sau khi xem hiện trạng và một khoảng theo dõi sau xử lý, tất cả ghi rõ trong báo giá.
Bảo hành sau xử lý mã độc nghĩa là gì?
Bảo hành sau xử lý, theo điều khoản ghi trong báo giá, là khoảng thời gian người làm tiếp tục theo dõi và xử lý lại miễn phí nếu cùng đường xâm nhập đã dọn bị khai thác lần nữa. Nó không bao gồm mọi sự cố mới, ví dụ bạn cài plugin lậu rồi nhiễm bằng đường khác.
Bảo hành nghe đơn giản nhưng dễ bị hiểu sai, nên bạn cần đọc kỹ điều khoản trong báo giá trước khi đồng ý. 3 câu hỏi đáng làm rõ là: bảo hành tính từ lúc nào, kéo dài bao lâu và áp dụng cho những tình huống nào. Phạm vi thường gắn với đường xâm nhập đã được xác định và xử lý, chứ không phải mọi sự cố về sau. Nếu website bị nhiễm bằng một đường khác, ví dụ do cài plugin ngoài nguồn chính thức, đó là sự cố mới và có thể nằm ngoài bảo hành. Vì vậy bản báo cáo sau xử lý có vai trò như bằng chứng: nó cho cả hai bên thấy đường vào nào đã đóng, tài khoản nào đã xoá và bạn cần giữ thói quen gì. Đừng chấp nhận lời hứa miệng kiểu “có sự cố cứ gọi”, hãy yêu cầu thời hạn và phạm vi ghi bằng văn bản.
Để bảo hành có nghĩa, người làm phải ghi lại được đường vào đã bịt. Nếu cả hai bên không biết web bị vào bằng cách nào, bảo hành chỉ là lời nói. Vì vậy báo cáo sau xử lý cần ghi: lỗ hổng gốc nếu xác định được, tài khoản đã xoá, mật khẩu đã đổi, và những việc bạn cần giữ (không dùng lại mật khẩu cũ, không cài plugin ngoài nguồn chính thức). Thời hạn bảo hành cụ thể được thoả thuận và ghi trong báo giá.
Một ví dụ cho thấy vì sao phải tìm đường vào. Một website bị xâm nhập 3 đợt, lỗ hổng lớn nhất là bản sao lưu file cấu hình (dạng wp-config.php.bak) để công khai trên web, ai cũng tải được và lộ mật khẩu cơ sở dữ liệu. Ngoài ra còn bị dò mật khẩu admin chậm rãi trong nhiều ngày rồi đăng nhập được, cài plugin “shell” để chạy lệnh. Nếu chỉ xoá plugin shell mà không xoá file sao lưu, lần sau kẻ tấn công vào lại bằng đúng cửa cũ.
Khi nào bạn có thể tự xử lý, khi nào nên thuê?
Bạn có thể tự xử lý khi web chỉ bị lỗi nhẹ, có bản sao lưu sạch gần đây và bạn quen thao tác hosting. Nên thuê khi web chuyển hướng sang trang lạ, có tài khoản admin không rõ nguồn gốc, Google đã gắn cảnh báo, hoặc nhiều website chung một hosting.
Quyết định tự làm hay thuê nên dựa vào mức rủi ro nếu làm sai. Tự xử lý hợp lý khi bạn có bản sao lưu chắc chắn sạch, biết chắc dấu hiệu chỉ giới hạn ở một vài chỗ và đủ quen với hosting để so file với bản gốc. Chi phí lớn nhất của tự làm thường không nằm ở tiền mà ở việc bỏ sót: một tài khoản admin lạ, một plugin giả hay một website khác trên cùng hosting là đủ để nhiễm lại. Khi web có dấu hiệu chuyển hướng, bị Google cảnh báo hay chạy chung hosting với nhiều site, phạm vi cần rà rộng hơn khả năng tự soát bằng plugin. Lúc đó thuê người làm giúp bạn tiết kiệm thời gian và tránh thao tác nhầm làm mất bằng chứng. Dù chọn cách nào, hãy sao lưu nguyên trạng trước khi động vào bất cứ thứ gì.
Trường hợp web tự chuyển hướng, hãy xem cách kiểm tra an toàn trong bài website bị chuyển hướng sang trang lạ trước khi mở thử trên máy chính. Muốn tự soát nhanh, bài kiểm tra mã độc website bằng công cụ online và làm bằng tay hướng dẫn từng bước.
Đừng tự khôi phục từ bản sao lưu nếu bạn không biết bản đó có sạch hay không. Bản sao lưu tạo sau thời điểm bị nhiễm sẽ mang mã độc quay lại. Chúng tôi từng gặp trường hợp file nhiễm cũ nhất đã nằm trên site 2 năm, tức mọi bản sao lưu trong khoảng đó đều không sạch.
HPB Media xử lý website bị hack thế nào?
HPB Media nhận gỡ mã độc, khôi phục và bảo hành sau xử lý theo quy trình ở trên. Chi tiết phạm vi và cách làm nằm ở trang dịch vụ xử lý mã độc website. Báo giá chính xác sau khi xem hiện trạng, vì mức nhiễm quyết định khối lượng công việc.
Giá xử lý không có một mức chung, vì khối lượng công việc thay đổi theo từng website. Các yếu tố làm giá thay đổi gồm: số website cần xử lý, mức độ nhiễm (vài file lạ hay nhiều họ mã độc lan vào cả cơ sở dữ liệu), và việc có cần tách hosting để tránh lây chéo hay không. Phạm vi công việc và thời hạn bảo hành ghi trong báo giá cũng ảnh hưởng đến chi phí. Vì những yếu tố này chỉ rõ sau khi xem hiện trạng, HPB Media báo giá chính xác sau khi xem website của bạn thay vì đưa một con số chung từ trước. Bạn chỉ cần mô tả dấu hiệu đang gặp, số website trên cùng hosting và quyền truy cập đang có để chúng tôi ước lượng nhanh hơn, vì thông tin càng đủ thì báo giá càng sát thực tế.
Sau khi dọn, chúng tôi áp dụng các biện pháp thường dùng để giảm nguy cơ quay lại: chặn chạy PHP trong thư mục uploads, giới hạn ai được đăng nhập admin, khoá IP sau 5 lần nhập sai, chặn tạo user ngoài quy trình. Nếu bạn muốn có sẵn lớp bảo vệ lâu dài, backup tự động hằng đêm lên Google Drive giữ 7 bản và giám sát website báo về Telegram là phần nằm trong dịch vụ chăm sóc. Với nguyên tắc cấu hình chung, bạn có thể đối chiếu tài liệu chính thức về tăng cường bảo mật WordPress. Nếu Google đã gắn cảnh báo, hướng dẫn của Google về website bị hack mô tả cách yêu cầu xem xét lại sau khi dọn xong.
Câu hỏi thường gặp
Xử lý website bị hack có làm mất dữ liệu không?
Quy trình luôn sao lưu nguyên trạng trước khi dọn, nên dữ liệu không bị mất vì thao tác xử lý. Phần nội dung bị chèn mã độc sẽ được làm sạch chứ không xoá cả bài. Nếu một số bài chỉ toàn nội dung rác do kẻ tấn công đăng, chúng sẽ bị gỡ và ghi vào báo cáo.
Web đang bị Google cảnh báo thì bao lâu hết cảnh báo?
Cảnh báo chỉ được gỡ sau khi web sạch và bạn gửi yêu cầu xem xét lại qua Google Search Console. Thời gian Google phản hồi do Google quyết định nên chúng tôi không hứa mốc cố định. Việc của người xử lý là bảo đảm web sạch thật để yêu cầu được chấp nhận ngay lần đầu.
Có cần đổi hosting sau khi bị hack không?
Thường không cần, nếu nguyên nhân là mật khẩu yếu, plugin lỗi thời hay file cấu hình bị lộ. Cần cân nhắc đổi khi nhiều website chung một tài khoản hosting và liên tục lây chéo, hoặc nhà cung cấp không hỗ trợ tách tài khoản. Khi đó tách mỗi site một tài khoản riêng là cách giảm rủi ro rõ nhất.
Bảo hành có bao gồm cả cập nhật plugin về sau không?
Không. Bảo hành chỉ áp dụng cho đường xâm nhập đã xử lý và phạm vi ghi trong báo giá. Cập nhật định kỳ thuộc phần chăm sóc website, bạn có thể làm theo checklist bảo trì website WordPress hằng tháng hoặc giao cho người quản trị.
Website đang bị hack? Gửi hiện trạng để chúng tôi xem trước
Bạn mô tả dấu hiệu đang gặp, HPB Media xem hiện trạng rồi báo phạm vi xử lý, mốc thời gian dự kiến và thời hạn bảo hành. Báo giá chính xác sau khi xem yêu cầu.
