Признаки взломанного сайта

• Неизвестные страницы в поисковой выдаче (азартные игры, фарма, «дженерики»)
• Редиректы на чужие домены, предупреждение браузера о небезопасном сайте
• Резкое падение трафика из поиска — часто из-за SEO-спама или блокировки антивирусами
• Внезапная смена главной страницы, чужие баннеры, «подвал» с ссылками на сомнительные ресурсы

• Новые файлы с датами «сегодня», странные cron-задачи, неизвестные администраторы в CMS
• Всплеск исходящей почты, постоянная загрузка CPU, соединения на необычные порты
• В логах веб-сервера — серии запросов на нестандартные адреса, ночные попытки доступа к панелям и плагинам
• Изменения в DNS или почтовых записях, которые никто не согласовывал

• Закладки в .htaccess и nginx-конфигах: редиректы, которые появляются только для поисковых ботов
• Украденные ключи API и токены интеграций — воруют вместе с сайтом, а потом используют отдельно
• «Вылеченный» сайт с оставшимся шеллом в загрузках или в кэше шаблонов
• Почтовый шлюз, настроенный на рассылку спама от вашего домена — вред виден не сразу, но репутация домена падает

Интернет-магазин работает как обычно: заказы идут, сайт не «упал». Через полторы недели в поддержку пишут клиенты — «от вас приходят письма со ссылками». Проверка показывает: в письмах спам, в поиске по сайту появились страницы с чужими товарами, а в загрузках лежит незнакомый файл.

В итоге оказывается, что доступ получили через устаревший плагин ещё десять дней назад. Всё это время скрипт молча собирал базу и рассылал спам, не привлекая внимания. Раньше всего «взлом» показали не логи, а жалобы клиентов и падение трафика из поиска — поэтому проверять сигналы снаружи так же важно, как смотреть графики нагрузки.

Не паниковать и не «лечить» файлы по одному. Сохранить образ, изолировать, сменить ключи, восстановиться из чистого бэкапа, закрыть дыру, провериться повторно.

Если были персональные данные — оценить необходимость уведомления по регуляторным требованиям вашей юрисдикции. Практический совет: зафиксируйте время обнаружения и что именно вы делали — это пригодится для общения с клиентами и регулятором.