Website WordPress bị hack phải làm gì? Hướng dẫn xử lý từng bước

Khi website WordPress bị hack, việc đầu tiên cần làm là đưa website về chế độ bảo trì (maintenance mode) để ngăn thiệt hại lan rộng, sau đó đổi toàn bộ mật khẩu (admin WordPress, hosting, FTP, database), rồi quét và xóa mã độc bằng plugin bảo mật hoặc chuyên gia. Nếu không có backup sạch, cần khôi phục từ bản backup gần nhất trước thời điểm bị tấn công.

7 dấu hiệu website WordPress bị hack

Dấu hiệu nhận biết website WordPress đã bị hack

Không phải lúc nào website bị hack cũng hiển thị rõ ràng. Dưới đây là những dấu hiệu phổ biến nhất:

1. Website tự động chuyển hướng (redirect) đến trang lạ, thường là trang quảng cáo hoặc trang giả mạo
2. Xuất hiện nội dung lạ trên trang — quảng cáo, link spam, ký tự tiếng Trung/Nga không rõ nguồn gốc
3. Google cảnh báo “Trang web này có thể gây hại” khi truy cập
4. Không đăng nhập được vào /wp-admin — mật khẩu bị thay đổi mà không phải do mình
5. Traffic SEO giảm đột ngột — đây là dấu hiệu Google đã phát hiện và hạ hạng website
6. File lạ xuất hiện trong thư mục wp-content, thường có tên random như xtmpl.php hoặc wp-vcd.php
7. Tốc độ website chậm bất thường do mã độc chạy ngầm tiêu tốn tài nguyên server

Nếu thấy 2 trong số các dấu hiệu trên, khả năng cao website đã bị tấn công.

Cách xử lý website WordPress bị hack — 6 bước

Bước 1: Đưa website vào chế độ bảo trì ngay lập tức

Việc này ngăn không cho hacker tiếp tục khai thác và bảo vệ khách truy cập khỏi mã độc. Có thể dùng plugin như WP Maintenance Mode hoặc chỉnh trực tiếp qua .htaccess nếu không vào được wp-admin.

Bước 2: Đổi toàn bộ mật khẩu liên quan

Không chỉ đổi mật khẩu WordPress admin — cần đổi cả:

• Mật khẩu hosting / cPanel
• Mật khẩu FTP/SFTP
• Mật khẩu database (MySQL)
• Secret keys trong file wp-config.php

Đây là bước nhiều người bỏ qua, dẫn đến hacker quay lại lần 2 dù đã dọn sạch mã độc.

Bước 3: Quét toàn bộ file tìm mã độc

Sử dụng plugin bảo mật như Wordfence hoặc Sucuri để quét toàn bộ source code. Đối với trường hợp phức tạp, cần kiểm tra thủ công các file đã bị chỉnh sửa gần đây bằng lệnh:

find . -type f -mtime -7

Lệnh này tìm các file đã thay đổi trong 7 ngày gần nhất — thường là nơi hacker chèn mã độc.

Bước 4: Khôi phục từ backup sạch (nếu có)

Nếu có backup từ trước thời điểm bị tấn công, đây là cách xử lý nhanh và an toàn nhất. Cần xác định chính xác thời điểm bị hack để chọn bản backup phù hợp — backup quá cũ sẽ mất dữ liệu, backup quá mới có thể vẫn chứa mã độc.

Bước 5: Cập nhật toàn bộ Core, Theme, Plugin

Hầu hết các vụ hack WordPress xuất phát từ plugin hoặc theme lỗi thời có lỗ hổng đã được công bố công khai. Cập nhật lên phiên bản mới nhất ngay sau khi dọn sạch mã độc.

Bước 6: Thiết lập lại bảo mật để tránh tái diễn

• Cài tường lửa (firewall) cấp ứng dụng
• Bật xác thực 2 lớp (2FA) cho tài khoản admin
• Đổi đường dẫn đăng nhập mặc định (không dùng /wp-admin)
• Thiết lập backup tự động hàng ngày lên cloud riêng biệt

Trường hợp thực tế: Website bị chèn mã độc redirect

Một khách hàng của hungwordpress đã phát hiện website tự động chuyển hướng sang trang quảng cáo lạ khi khách truy cập từ Google đã liên hệ xử lý. Sau khi kiểm tra, nguyên nhân là theme khách hàng tải trên group chia sẻ theme không rõ nguồn gốc đã chứa mã độc từ trước, không phải do bị tấn công trực tiếp.

Hình ảnh website khách hàng bị dính mã độc

Quy trình xử lý: cách ly website trong 20 phút, quét và xác định 3 file bị chèn mã độc, đã hỗ trợ khách hàng cài đặt lại theme bản quyền đã trả phí, gỡ plugin có vấn đề, thiết lập lại bảo mật. Website hoạt động bình thường trở lại sau khoảng 2 giờ xử lý, và traffic SEO phục hồi hoàn toàn sau 2 tuần khi Google re-crawl và xác nhận website an toàn.

Khi nào nên tự xử lý, khi nào nên thuê dịch vụ chuyên nghiệp

Có thể tự xử lý nếu:

• Có kiến thức kỹ thuật về WordPress, SSH, database
• Có backup sạch gần thời điểm bị tấn công
• Website không chứa dữ liệu khách hàng nhạy cảm (thông tin thanh toán, mật khẩu)

Nên thuê dịch vụ chuyên nghiệp nếu:

• Không chắc đã dọn sạch hoàn toàn mã độc — mã độc ẩn rất khó phát hiện bằng mắt thường
• Website đang tạo ra doanh thu, mỗi giờ downtime là mất tiền thực tế
• Không có backup hoặc backup cũng có khả năng đã nhiễm mã độc
• Cần đảm bảo Google gỡ cảnh báo “trang web nguy hiểm” nhanh nhất có thể

Việc xử lý sai cách — ví dụ xóa nhầm file hệ thống, hoặc dọn không triệt để khiến hacker quay lại — thường tốn nhiều thời gian và chi phí hơn so với việc thuê xử lý đúng từ đầu.

=> Tham khảo ngày: Dịch vụ bảo mật WordPress

Câu hỏi thường gặp?

1. Website bị hack có ảnh hưởng đến SEO không?

Có. Google sẽ tạm thời hạ hạng hoặc đánh dấu cảnh báo website trong kết quả tìm kiếm, ảnh hưởng trực tiếp đến traffic cho đến khi website được xác nhận an toàn trở lại.

2. Mất bao lâu để khôi phục website WordPress bị hack?

Tùy mức độ nghiêm trọng, từ 1-2 giờ với mã độc đơn giản đến 1-2 ngày với trường hợp phức tạp hoặc không có backup.

3. Làm sao biết đã dọn sạch hoàn toàn mã độc?

Cần quét lại bằng nhiều công cụ khác nhau, kiểm tra file system thủ công, và theo dõi website ít nhất 1-2 tuần sau xử lý để đảm bảo không có dấu hiệu tái nhiễm.

4. Có cần đổi hosting sau khi bị hack không?

Không nhất thiết, trừ khi hacker khai thác lỗ hổng từ chính hệ thống hosting (hiếm gặp). Phần lớn các vụ hack xuất phát từ plugin/theme, không phải từ hosting.

Website của bạn đang gặp vấn đề tương tự? Chúng tôi xử lý các trường hợp WordPress bị hack hàng ngày.

Hotline: 0342.339.291