פרצו לאתר של לקוח שלי והפכו אותו לקזינו — ככה ניקיתי את זה (ולמה זה חזר כל הזמן)

לקוח מתקשר אליי בלחץ: "תיכנס לאתר שלנו בגוגל". אני מחפש את השם, ובין התוצאות מופיע דף שלא אמור להיות שם בכלל — דף קזינו. באנגלית ובצרפתית. על אתר של בית אבות. מישהו פרץ לאתר והפך אותו לשלט חוצות להימורים.

הדבר הכי מתסכל? איש המחשוב שלהם כבר ניסה לתקן את זה יומיים. מחק את הדף, הוא חזר. מחק שוב, חזר שוב. כמו להילחם בראש של מפלצת שצומח מחדש בכל פעם. זה הסיפור של איך באמת מנקים פריצת ספאם כזאת — ולמה רוב האנשים נלחמים בדבר הלא נכון.

למה הדף כל הזמן חזר

הנה הטעות שכולם עושים: רואים דף ספאם, נכנסים לניהול של וורדפרס, מחפשים "פוסט" או "עמוד" בשם הזה, מוחקים. אבל הדף לא היה פוסט ולא עמוד. הוא היה קטגוריה.

התוקף יצר קטגוריה חדשה, ובגלל הדרך שבה האתר בנוי, כתובת הקטגוריה נראתה בדיוק כמו דף רגיל. וורדפרס פשוט הציג אותה עם העיצוב של האתר — בלי שום קוד זדוני. לכן כל חיפוש אחרי "עמוד" נכשל: הדבר פשוט לא היה במקום שחיפשו בו. ומעל הכל ישבה שכבת מטמון (cache) ששמרה עותק סטטי של הדף והגישה אותו לגולשים גם אחרי שמחקו — אז גם כשמשהו כן נמחק, הוא "חזר" מהמטמון.

זה הלקח הראשון: לפני שמוחקים, מבינים מה זה. דף, פוסט, קטגוריה, תגית, או סתם מטמון ישן — כל אחד מהם נמחק במקום אחר.

הספאם הסמוי שאף אחד לא ראה

הדף הגלוי היה רק הקצה. כשחפרתי פנימה גיליתי את החלק המתוחכם: בתוך 12 עמודים אמיתיים ולגיטימיים של האתר הושתלו קישורים נסתרים לאתרי הימורים. נסתרים פשוטו כמשמעו — בתוך תיבה שממוקמת הרחק מחוץ למסך, כך שאף מבקר אנושי לא רואה אותה, אבל גוגל כן. ככה התוקף "מלווה" לאתר שלך את הדירוג שלו בגוגל בשביל הקזינו שלו. קוראים לזה cloaking, וזה פוגע בדירוג של האתר שלך בלי שתרגיש.

איך מנקים את זה נכון

ניקוי מסודר, לא בלחץ, הולך ככה:

• למצוא את השורש האמיתי — לא את הסימפטום. במקרה הזה: קטגוריה מוזרקת, לא עמוד.
• לגבות לפני שנוגעים — כל שינוי שמורים גיבוי הפיך, כדי שאם משהו נשבר אפשר לחזור אחורה בשנייה.
• לנקות בזהירות כירורגית — להסיר רק את הקוד המושתל מתוך כל עמוד, בלי לפגוע בתוכן האמיתי שלצידו.
• לרוקן את כל שכבות המטמון — אחרת הגרסה המורעלת ממשיכה להופיע לגולשים.
• לבדוק שהשורש אטום — לעדכן תוספים, לסרוק לתוכנות זדוניות, ולנתק את כל החיבורים הפתוחים כדי לסגור את דרך הכניסה.

בשורה טובה אחת מתוך כל זה: לא היה קוד זדוני מושתל בקבצים של האתר, ולא משתמש-רפאים חדש. כל הפריצה הייתה ברמת בסיס הנתונים בלבד. זה אומר שהדרך פנימה הייתה כנראה תוסף לא מעודכן או סיסמה שדלפה — בדיוק הדברים שאפשר למנוע מראש.

החלק שמונע את הפעם הבאה

ניקוי זה טוב. אבל מה קורה אם זה חוזר בעוד שבוע, ואף אחד לא שם לב עד שלקוח מתקשר שוב? פה נכנסת האוטומציה.

בניתי מערכת ניטור קטנה שרצה על האתר כל שעה ובודקת שני דברים: האם נוצרה קטגוריה חדשה באנגלית (האתר כולו בעברית — קטגוריה לטינית היא דגל אדום), והאם הופיעו שוב חתימות הספאם המוכרות. ברגע שמשהו מזוהה — אני מקבל הודעת וואטסאפ מיידית עם בדיוק מה נמצא ואיפה. בלי דשבורד שצריך לזכור להיכנס אליו, בלי "אולי נשים לב". המערכת שמה לב בשבילי.

זה ההבדל בין לכבות שריפות ללוח-מחוונים שקט. במקום לגלות פריצה כשהיא כבר עלתה לגוגל ופגעה בדירוג, אני יודע עליה בתוך שעה — ולרוב לפני שמישהו בכלל הספיק לראות.

מה לקחת מזה

• אם אתר נפרץ והספאם "חוזר" אחרי מחיקה — אתה מוחק את הדבר הלא נכון. חפש קטגוריות, תגיות ומטמון, לא רק עמודים.
• הנזק האמיתי הוא לרוב הקישורים הסמויים שלא רואים — הם פוגעים בדירוג בשקט.
• ניקוי בלי לסגור את דרך הכניסה = פריצה חוזרת. עדכונים וסיסמאות הם 90% מהמניעה.
• אחרי שמנקים, שווה להשקיע שעה בניטור אוטומטי. זה ההבדל בין לדעת מייד לבין לגלות מהלקוח.

אתר זה לא דבר ששוכחים אחרי שמשיקים. הוא חי, והוא מטרה. אבל עם הבנה נכונה של איפה לחפש, וקצת אוטומציה ששומרת עליו במקומך — אפשר לישון בשקט.