Web Sitesi Hacklendi: İlk 24 Saatte Ne Yapmalı?

Ele geçirilmiş bir site nadiren “hacklendiniz” yazısıyla kendini belli eder. Daha çok arama sonuçlarında tuhaf başlıklar, ziyaretçileri başka adrese atan yönlendirmeler, sunucudan giden spam e-postalar ya da tarayıcının kırmızı uyarısı ile fark edilir. Web sitesi hacklendi şüphesi doğduğunda ilk yirmi dört saat, hasarın büyüklüğünü belirler.

Bu yazı bir müdahale planıdır: ne zaman ne yapılacağı saat dilimlerine ayrılmıştır. Adımlar LIONFIN web hosting hesaplarındaki cPanel ve Plesk araçlarına göre yazıldı; VPS kullanıcıları aynı sırayı SSH üzerinden uygular.

Web sitesi hacklendi mi? Belirtiler

Önce şüpheyi doğrulayın; bazı belirtiler bozuk bir eklentiden de kaynaklanabilir. Ele geçirmeye işaret eden bulgular:

• Anasayfa ya da iç sayfalarda sizin eklemediğiniz içerik, yabancı dilde metin, reklam.
• Arama sonuçlarında sitenizin adı altında tanımadığınız sayfalar (kumar, ilaç, sahte ürün).
• Belirli ziyaretçilerin (mobil, arama motorundan gelen) başka adreslere yönlendirilmesi.
• Tarayıcıda “bu site zararlı olabilir” uyarısı ya da Search Console’da güvenlik sorunu bildirimi.
• Yönetici panelinde tanımadığınız kullanıcılar, değişmiş şifreler.
• Sunucudan giden e-postaların spam sayılması.
• Belge kökünde yeni ve tuhaf adlı dosyalar, değiştirilmiş .htaccess.

İkisinden fazlası varsa planı başlatın ve her adımı saatiyle not edin.

Saat 0–1: İzole edin ve erişimi kesin

İlk saatin hedefi saldırganın erişimini kesmek ve hasarın yayılmasını durdurmaktır; temizlik henüz değil.

1. Siteyi bakım moduna alın ya da belge köküne basit bir bakım sayfası koyup geri kalanı erişime kapatın; ziyaretçilerin zararlı içeriğe maruz kalması ve arama motorunun bunu dizine eklemesi durur.
2. Tüm şifreleri değiştirin: Müşteri paneli, cPanel/Plesk, FTP/SFTP hesapları, veritabanı kullanıcısı, CMS yöneticileri, e-posta hesapları. Panel adımları cPanel şifre değiştirme rehberinde; veritabanı şifresini değiştirdiğinizde uygulamanın yapılandırma dosyasını da güncelleyin.
3. Tanımadığınız hesapları silin: FTP hesapları, CMS kullanıcıları, API anahtarları.
4. Oturumları sonlandırın: CMS’de tüm kullanıcıların oturumunu kapatın; şifre değişse de açık oturum devam edebilir.
5. Bilgisayarınızı tarayın: Şifreler sizin cihazınızdan çalındıysa yeni şifreler de gidecektir; FTP istemcisinde kayıtlı şifreleri temizleyin.
6. Sağlayıcıya bildirin: Müşteri panelinden destek talebi açın; sunucu tarafı günlükleri ve temiz yedek tarihleri için destek ekibi hızlandırıcıdır.

Saat 1–6: Tespit — nereden girdiler, neyi değiştirdiler?

Temizliğin kalıcı olması için giriş yolunu bulmanız gerekir. Üç kaynağa bakın:

Son değişen dosyalar. SSH ya da cPanel Terminal üzerinden:

find /home/kullanici/public_html -type f -mtime -3
grep -rl "base64_decode" /home/kullanici/public_html --include="*.php"
find /home/kullanici/public_html/wp-content/uploads -name "*.php"

Erişim günlükleri. Şüpheli dosyanın oluşturulma saatinden hemen önceki POST isteklerine bakın; giriş yolu genellikle bir eklenti dosyasına yapılan POST isteğidir. cPanel’de Metrics → Raw Access, Plesk’te Logs ekranından indirin.

Yapılandırma, cron ve veritabanı. .htaccess içindeki yönlendirme kuralları, yapılandırma dosyalarına eklenmiş satırlar, sizin oluşturmadığınız cron görevleri, CMS ayar tablosundaki site adresi ve yazı içeriklerine gömülmüş script etiketleri.

Bulguları (dosya yolları, ilk şüpheli istek saati, kullanılan eklenti) listeleyin; bu liste temizlik kapsamını ve yedekten dönüş için temiz tarihi belirler.

Saat 6–12: Temizlik ya da temiz yedekten dönüş

İki yol vardır; seçim, temiz bir yedeğin olup olmadığına ve değişikliklerin kapsamına bağlıdır:

Yedekten dönüş için cPanel yedek geri yükleme ve Plesk yedekleme ve geri yükleme rehberlerini kullanın; sağlayıcı yedeğinin tarihlerini destek ekibi paylaşır.

Elle temizlikte sıra: CMS çekirdeğini resmi kaynaktan indirip tüm çekirdek dosyalarını üzerine yazın; tema ve eklentileri silip temiz kopyalarını kurun; yükleme klasörünü PHP dosyalarından arındırın; .htaccess ve yapılandırma dosyalarını sıfırdan yazın; veritabanındaki gömülü betikleri temizleyin. Panelin virüs tarayıcısını (cPanel Virus Scanner, Plesk’te ilgili uzantı) son kontrol olarak çalıştırın.

Saat 12–24: Kapıyı kapatın ve kara listeden çıkın

Site temiz; şimdi aynı yoldan yeniden girilmesini önleyin ve itibarı geri alın.

1. Giriş yolunu kapatın: Açığa neden olan eklentiyi güncelleyin ya da kaldırın; tespit aşamasında bulduğunuz kullanıcı ve dosyaları sildiğinizden emin olun.
2. Her şeyi güncelleyin: CMS, tema, eklentiler ve PHP sürümü; eski PHP sürümleri bilinen açıklarla çalışır, geçiş için PHP 8 güncelleme rehberi.
3. İzinleri ve korumaları uygulayın: Dosya izinleri 644/755, yükleme klasöründe PHP yasağı, ModSecurity açık, yönetici girişinde iki adımlı doğrulama.
4. Şifreleri bir kez daha değiştirin: Temizlik sırasında arka kapı üzerinden yeni şifreler görülmüş olabilir.
5. Kara liste ve arama motoru: Search Console’da Güvenlik Sorunları bölümünden inceleme isteyin; tarayıcı uyarıları genellikle bu incelemeden sonra kalkar. Sunucudan spam gittiyse IP kara liste durumunu kontrol ettirin.
6. Bakım modunu kaldırın ve siteyi farklı cihazlardan, arama motorundan gelen ziyaretçi gibi test edin.

Web sitesi hacklendiğinde en sık yapılan hata, temizlikten sonra giriş yolunu kapatmadan siteyi açmaktır; aynı bot birkaç gün içinde geri gelir.

Sonrası: bir daha olmaması için

Olay kapandıktan sonra bir hafta içinde şu üç adımı tamamlayın:

• Kalıcı önlemler: web sitesi güvenliği kontrol listesi üzerindeki 20 maddeyi uygulayın; olayın nedeni büyük olasılıkla listedeki bir maddenin eksikliğidir.
• Yedek düzeni: Bu olayda temiz yedek bulmak zor olduysa neden zor olduğunu yazın ve 3-2-1 yedekleme kuralı ile sunucu dışı, tarihli yedekler kurun.
• İzleme: Dosya bütünlüğü taraması, uptime ve içerik izleme ile bir sonraki olayı saatler içinde fark edin; kurulum sunucu izleme ve uptime takibi yazısında.

Olay kaydınızı (belirti, tespit, giriş yolu, temizlik süresi) saklayın; bir sonraki olayda ya da güvenlik denetiminde ilk bakılacak belge budur. Ele geçirme tekrar ediyorsa ve paylaşımlı ortamda kök nedeni bulamıyorsanız, kaynakları ve erişimi ayrılmış bir VPS sunucu üzerinde daha sıkı bir yapılandırma kurmak sonraki adımdır.