หลังเว็บไซต์ถูกแฮก: ตรวจพบ เคลียร์ เสริมความปลอดภัย และกลับไปติดดัชนี

สรุปก่อน: หัวใจของการรับมือเว็บถูกแฮกคือลำดับ ไม่ใช่ความเร็ว: ชั่วโมงแรกให้ทำสามอย่างก่อน คือสำรองข้อมูลเป็นหลักฐาน เปลี่ยนรหัสผ่านทั้งหมด และประเมินขอบเขตการติดเชื้อ จากนั้นเคลียร์สามชั้นตามลำดับ ไฟล์ ฐานข้อมูล และแบ็คดอร์ เมื่อกู้คืนจากแบ็คอัป จุดกู้คืนต้องเก่ากว่าเวลาที่ติดเชื้อ เคลียร์เสร็จแล้วจึงยื่นขอตรวจสอบปัญหาความปลอดภัยกับ Google ไทม์ไลน์ทั่วไปคือเคลียร์ 1–3 วัน กลับมาติดดัชนี 1–4 สัปดาห์ อันดับฟื้น 1–2 เดือน

หนึ่ง คำถามแรกหลังถูกแฮก: คุณรู้ได้อย่างไร

ขีดขอบเขตก่อน:เส้นฐานความปลอดภัย พูดถึงวิธีตั้งแนวป้องกันล่วงหน้า วินิจฉัยการติดดัชนี พูดถึงการตรวจหาความผิดปกติของการติดดัชนีทั่วไป บทความนี้พูดเฉพาะการรับมือหลังเกิดเหตุ คือกระบวนการและไทม์ไลน์ทั้งหมดตั้งแต่โมเมนต์ที่พบความผิดปกติไปจนถึงกู้คืนการติดดัชนีและสรุปบทเรียน ต่อให้ตั้งแนวป้องกันดีแค่ไหนก็แค่ลดความน่าจะเป็น ไม่ได้แปลว่าจะไม่ถูกแฮก ฉะนั้นทุกบริษัทที่มีเว็บไซต์จึงต้องรู้กระบวนการหลังเกิดเหตุ

สัญญาณที่พบมักมีสี่แบบ เว็บ B2B ส่วนใหญ่ตื่นตัวจากสองแบบแรก

สัญญาณที่พบ	สิ่งที่เกิดขึ้นจริง	ช่องทางที่พบได้บ่อย
ผลการค้นหามีหน้าเว็บขยะโผล่ขึ้นมา	ค้นชื่อแบรนด์แล้วเจอผลการพนัน ยา หรือสินค้าเลียนแบบ	ค้นคำค้นแบรนด์เอง ลูกค้าแจ้ง
ประกาศความปลอดภัยจาก Search Console	ได้รับแจ้งเตือนประเภท “ตรวจพบเนื้อหาแฮกเกอร์”	อีเมลและข้อความใน Search Console
ลูกค้าแจ้งว่าโดนเด้ง	เข้าจากเสิร์ชเอนจินแล้วถูกเด้งไปหน้าแปลก	ฝ่ายขายและลูกค้าเก่าตำหนิ
ทราฟฟิกและล็อกผิดปกติ	ทราฟฟิกพุ่งกลางดึก บอตแปลกหน้า ล็อกอินหลังบ้านที่ไม่รู้จัก	แผงโฮสต์และล็อกการเข้าถึง

มีข้อเท็จจริงหนึ่งที่หลายคนประเมินต่ำไป: ตอนที่เจ้าของเว็บเองเลื่อนไปเจอหน้าเว็บขยะ เนื้อหาที่ปนเปื้อนมักถูกติดดัชนีไปหลายสัปดาห์แล้ว เว็บองค์กรมีผู้เข้าชมประจำวันน้อย การจี้เด้งมักถูกเสิร์ชเอนจินเก็บและติดดัชนีก่อน แล้วค่อยมีคนบังเอิญเห็น ฉะนั้นแทนที่จะพูดว่า “จับให้ได้เร็วที่สุด” วิธีที่ใช้ได้จริงกว่าคือค้นคำค้นแบรนด์ของตัวเองเดือนละครั้งเพื่อดูผลลัพธ์ ขั้นตอนนี้ใส่เพิ่มใน การดูแลรายเดือน เช็กลิสต์ได้ ใช้เวลาแค่นาทีเดียว

สอง สามอย่างในชั่วโมงแรก: เก็บหลักฐานก่อน แล้วค่อยเคลียร์

ชั่วโมงแรกหลังพบว่าถูกแฮก สิ่งที่ต้องทำไม่ใช่การเคลียร์ แต่เป็นงานเตรียมการสามอย่าง ลำดับห้ามสลับ

การดำเนินการ	วิธีปฏิบัติ	เป้าหมาย
สำรองข้อมูลเป็นหลักฐาน	แพ็กไฟล์เว็บไซต์และฐานข้อมูลเก็บไว้ให้ครบ บันทึกเวลาปัจจุบันของเซิร์ฟเวอร์	เก็บหลักฐานการบุกรุกไว้ ป้องกันไม่ให้ขั้นตอนเคลียร์ทำลายร่องรอย
เปลี่ยนรหัสผ่านทั้งหมด	โฮสต์ ฐานข้อมูล หลังบ้าน FTP SSH โดเมน และอีเมล เปลี่ยนเป็นรหัสผ่านใหม่ทั้งหมด	ตัดช่องทางเข้าของผู้โจมตีที่มีอยู่ทั้งหมด
ประเมินขอบเขตการติดเชื้อ	ตรวจสอบว่าเป็นเว็บเดียวหรือหลายเว็บในโฮสต์เดียวกัน รวมถึงอีเมลและบัญชีโดเมนหรือไม่	กำหนดขนาดการจัดการ ตัดสินใจว่าจะแจ้งผู้เกี่ยวข้องหรือไม่

ทำไมต้องเก็บหลักฐานก่อนล้าง? มีสองเหตุผล ข้อแรก หลักฐานเส้นทางบุกรุก (ไฟล์ใดถูกแก้ แก้เมื่อไหร่ ล็อกอินจากบัญชีไหน) จะหายไปเมื่อคุณลบไฟล์หรือเขียนทับไดเรกทอรี หลังจากนั้นการหาสาเหตุการบุกรุกจะเหลือเพียงการคาดเดา ข้อสอง การแตะไฟล์โดยตรงอาจกระตุ้นสคริปต์หลังบ้าน บางตัวเมื่อตรวจพบว่าถูกลบจะกระตุ้นการทำลายข้อมูลหรือแพร่การติดเชื้อไปยังเว็บอื่นในโฮสต์เดียวกัน แพ็กเกจหลักฐานต้องเก็บไว้นอกเว็บไซต์ เช่น ในเครื่องหรือคลาวด์ดิสก์ ไม่ควรเก็บไว้บนเซิร์ฟเวอร์ที่ติดเชื้อ

การเปลี่ยนรหัสผ่านต้องเปลี่ยนให้ครบในครั้งเดียว ถ้าพลาดช่องทางใดช่องทางหนึ่ง การล้างก็เปล่าประโยชน์ จุดที่มักพลาดคือบัญชี FTP และฐานข้อมูล เพราะหลายคนเปลี่ยนแค่รหัสหลังบ้าน ตอนประเมินขอบเขตการติดเชื้อให้ระวังกรณีหลายเว็บในโฮสต์เดียวกัน เซิร์ฟเวอร์หนึ่งอาจมีเว็บหลัก เว็บทดสอบ เว็บเก่า ผู้โจมตีมักเข้ามาจากเว็บที่อ่อนแอที่สุด ถ้าล้างแค่เว็บหลักแต่ไม่ล้างเว็บอื่นในโฮสต์เดียวกัน อีกไม่กี่วันก็จะถูกฝังกลับมาอีก

สาม ล้างสามชั้น: ไฟล์ ฐานข้อมูล และหลังบ้าน

การล้างทำตามสามชั้น แต่ละชั้นมีสิ่งที่ตรวจและวิธีดำเนินการต่างกัน

ชั้น	สิ่งที่ตรวจ	วิธีดำเนินการ
ชั้นไฟล์	ไฟล์แกนหลักของโปรแกรมและไฟล์ที่ถูกแก้ไขล่าสุด	เทียบไฟล์แกนหลักกับแพ็กเกจติดตั้งอย่างเป็นทางการ เรียงตามเวลาที่แก้ไขจากใหม่ไปเก่าเพื่อตรวจหาการเปลี่ยนแปลงล่าสุด
ชั้นฐานข้อมูล	สคริปต์ที่ถูกฝังและบัญชีที่น่าสงสัย	ค้นหาแท็กสคริปต์ในเนื้อหาบทความ ตรวจสอบรายชื่อบัญชีผู้ดูแลระบบ
ชั้นหลังบ้าน	webshell และงานตามกำหนดเวลาที่ผิดปกติ	สแกนเวลาที่แก้ไขและลักษณะโค้ดของไฟล์ที่รันได้ ตรวจสอบงานตามกำหนดเวลา

ตำแหน่งที่หลังบ้านมักซ่อนมีรูปแบบที่สังเกตได้:

ตำแหน่งที่ซ่อน	ลักษณะที่สังเกตได้	วิธีจัดการ
ไดเรกทอรีอัปโหลด	มีไฟล์ .php ปรากฏในไดเรกทอรี (ปกติมีแต่รูปภาพและเอกสาร)	ลบและจำกัดสิทธิ์การรันในไดเรกทอรี
ไดเรกทอรีธีมและปลั๊กอิน	ไฟล์แกนหลักถูกต่อท้ายด้วยโค้ดยาว	เทียบกับแพ็กเกจอย่างเป็นทางการแล้วแทนที่
ไดเรกทอรีรากของเว็บไซต์	ไฟล์ php ที่ตั้งชื่อแบบสุ่ม เวลาที่แก้ไขตรงกับช่วงเวลาที่ถูกบุกรุก	ลบเมื่อยืนยันแล้ว
แคชและไฟล์กำหนดค่า	เนื้อหามีสตริง base64 ยาวและโครงสร้าง eval	หลังล้างให้ค้นหาทั้งเว็บเพื่อหาลักษณะเดียวกัน

ในสามชั้น ชั้นหลังบ้านเป็นชั้นที่พลาดได้ง่ายที่สุด ถ้าลบแค่หน้า spam และเนื้อหาที่ถูกฝัง แต่เหลือไฟล์หลังบ้านไว้ อีกไม่กี่วันหน้าก็จะงอกกลับมา นี่คือสาเหตุที่พบบ่อยที่สุดของ “ล้างแล้วกลับมาอีก” และเป็นสาเหตุจริงที่หลายคนคิดว่า “ถูกแฮกแล้วล้างไม่ออก” พื้นฐานคือเรียงไฟล์ทั้งเว็บตามเวลาที่แก้ไข แล้วดูไฟล์ที่ตรงกับช่วงเวลาที่ถูกบุกรุกทีละไฟล์ ไฟล์ที่ไม่แน่ใจให้เทียบกับแพ็กเกจอย่างเป็นทางการ หลักการเดียวกันยังมีอีกข้อ: หลังล้างเสร็จให้สแกนซ้ำอีกครั้ง ยืนยันว่าทั้งสามชั้นไม่มีสิ่งตกค้าง แล้วจึงไปขั้นตอนถัดไป

สี่ กู้คืนจากแบ็กอัป: เงื่อนไขและกับดัก

ถ้าระบบสำรองข้อมูลสมบูรณ์ การกู้คืนมักเร็วกว่าการไล่ลบทีละชั้น แต่การกู้คืนมีเงื่อนไขสามข้อ ขาดข้อใดข้อหนึ่งก็ทำไม่ได้

เงื่อนไข	วิธีตัดสิน	แนวทางเมื่อเงื่อนไขไม่ครบ
จุดกู้คืนต้องเก่ากว่าเวลาที่ติดเชื้อ	กำหนดช่วงเวลาที่ติดเชื้อจากบันทึกและเวลาที่ไฟล์ถูกแก้ไข	ทำได้แค่ไล่ลบด้วยมือทีละชั้น
ไฟล์สำรองต้องครบและใช้งานได้	ตรวจสอบความสมบูรณ์ทันที และควรซ้อมกู้คืนมาก่อน	ใช้วิธีผสม: กู้คืนเฉพาะไฟล์ ส่วนฐานข้อมูลไล่ลบด้วยมือ
reinforce ทันทีหลังกู้คืน	อัปเกรดคอมโพเนนต์ เปลี่ยนรหัสผ่าน และปิดช่องโหว่ให้จบในครั้งเดียว	ไม่งั้นถูกแฮกซ้ำเป็นแค่เรื่องของเวลา

กับดักที่ใหญ่ที่สุดคือจุดกู้คืนใหม่กว่าเวลาที่ติดเชื้อ: การกู้คืนเว็บไซต์ด้วยไฟล์สำรองที่มี backdoor อยู่แล้ว เท่ากับเชิญผู้บุกรุกกลับมา 线索ที่ใช้判断เวลาที่ติดเชื้อ ได้แก่ เวลาที่ไฟล์ต้องสงสัยถูกแก้ไข การเข้าสู่ระบบหลังบ้านด้วย IP แปลกปลอมครั้งแรกใน access log และเวลาที่หน้า spam ถูกจัดทำดัชนีครั้งแรก ซึ่งนี่คือคุณค่าของชุดข้อมูลในขั้นตอนสืบสวนชั่วโมงที่สอง อีกข้อผิดพลาดที่พบบ่อยคือกู้คืนเสร็จแล้วไม่เปลี่ยนรหัสผ่าน: ฐานข้อมูลที่เก็บรหัสผ่านแบบ plaintext หรือ hash อ่อน ๆ ไม่ใช่เรื่องแปลก และรหัสผ่านเดิมที่แฮกเกอร์ถืออยู่ก็อาจยังใช้ได้

ห้า: ห้าข้อที่ต้อง reinforce และทบทวนเส้นทางที่ถูกบุกรุก

หลังล้างหรือกู้คืนแล้ว ต้องทำการ reinforce ห้าข้อให้ครบ ไม่งั้นมีโอกาสสูงที่จะถูกแฮกซ้ำ

รายการที่ต้อง reinforce	วิธีปฏิบัติ	ลำดับความสำคัญ
อัปเดตทุกคอมโพเนนต์	อัปเกรดแกนหลักของระบบ ธีม และปลั๊กอินเป็นเวอร์ชันล่าสุด	สูงสุด
เปลี่ยนเส้นทางและบัญชีเริ่มต้น	เปลี่ยนที่อยู่หลังบ้านเริ่มต้น ลบบัญชีผู้ดูแลเริ่มต้นหรือเปลี่ยนชื่อ	สูง
ใช้ปลั๊กอินความปลอดภัยเท่าที่จำเป็น	ติดตั้งปลั๊กอินความปลอดภัยตัวหลักหนึ่งตัว เปิดการเฝ้าติดตามการเปลี่ยนแปลงไฟล์	สูง
จำกัดการเข้าสู่ระบบหลังบ้าน	จำกัดความถี่การเข้าสู่ระบบ ใช้การยืนยันสองขั้นตอน และจำกัดตามพื้นที่ถ้าจำเป็น	ปานกลาง
รัดสิทธิ์การเข้าถึงไฟล์	ตั้งสิทธิ์ไฟล์ตั้งค่าและโฟลเดอร์อัปโหลดตามหลักสิทธิ์น้อยที่สุด	ปานกลาง

ทบทวนแล้วตอบสี่คำถาม เขียนเป็นเอกสารหนึ่งหน้าเก็บไว้: ผู้บุกรุกเข้ามาทางช่องไหน (ปลั๊กอินหมดอายุ รหัสผ่านอ่อนที่ถูก credential stuffing หรือเว็บไซต์อื่นบนโฮสต์เดียวกันถูกยึด) ทำไมก่อนหน้านี้ถึงไม่ถูกตรวจพบ (ขาดการเฝ้าติดตามตัวไหน) ตั้งแต่ตรวจพบจนล้างเสร็จใช้เวลานานเท่าไร และไฟล์สำรองกับการซ้อมกู้คืนได้ผลในเหตุการณ์นี้หรือไม่ คุณค่าของเอกสารนี้อยู่ที่ครั้งหน้า เพราะเว็บไซต์ส่วนใหญ่ถูกแฮกมากกว่าหนึ่งครั้งในชีวิต ถ้าช่องเดิมถูกเจาะเป็นครั้งที่สองก็เป็นปัญหาการบริหารจัดการแล้ว การเฝ้าติดตามและการแจ้งเตือนขาดอะไรก็เติมให้ครบ โดยช่องโหว่ต้องสอดคล้องกับรายการตรวจสอบในการบำรุงรักษารายเดือน

หก: ยื่นอุทธรณ์ต่อ Google และลดจำนวนหน้า spam

วินัยเรื่องจังหวะการยื่นอุทธรณ์มีข้อเดียว: ยื่นหลังล้างเสร็จแล้ว การยื่นกลางคันจะทำให้ระยะเวลายืดออก เพราะถ้า Google ตรวจสอบแล้วยังพบเนื้อหาอันตราย ระยะเวลารอจะเริ่มนับใหม่ ช้ากว่ารออีกสองสามวันแล้วค่อยยื่นมาก

ขั้นตอน	การดำเนินการ	คำอธิบาย
1 ยืนยันว่าล้างเสร็จแล้ว	ล้างครบทั้งสามชั้นและสแกนซ้ำไม่พบสิ่งที่หลงเหลือ	ตรวจสอบ URL ตัวอย่างใน Search Console ทีละรายการ
2 แก้ไขตัวเว็บไซต์	ลบเนื้อหาอันตรายและปิดช่องโหว่	เว็บไซต์ต้องไม่มีปัญหาความปลอดภัยเหลืออยู่เมื่อทางการตรวจสอบ
3 ยื่นขอตรวจสอบ	ส่งเรื่องในส่วนปัญหาด้านความปลอดภัยของ Search Console	แนบมาตรการที่ดำเนินการไปแล้วและไทม์ไลน์ประกอบ
4 รอการตรวจสอบซ้ำ	โดยทั่วไปใช้เวลาหลายวันถึงสองสัปดาห์	ระหว่างนี้อย่าส่งซ้ำ

หน้า spam ที่ถูกฝังเข้ามา ถ้าถูกจัดทำดัชนีไปแล้ว วิธีจัดการมีข้อควรระวัง: การตอบกลับ 410 (ลบถาวร) ช่วยให้ผลลัพธ์ยุบตัวได้ดีกว่าการตอบกลับ 404 เพราะ Google ประมวลผลการลบด้วย 410 เร็วกว่าอย่างเห็นได้ชัด พร้อมกันนั้นให้ใช้เครื่องมือลบ URL ใน Search Console ขอซ่อนผลลัพธ์ spam ที่สำคัญที่สุดแบบเร่งด่วน หลังจากนั้นตรวจความคืบหน้าสัปดาห์ละครั้ง: ใช้คำสั่ง site และค้นหาด้วยคำแบรนด์เพื่อเช็กจำนวนที่ยังเหลืออยู่ โดยปกติจำนวนที่ถูกจัดทำดัชนีจะลดจากหลายร้อยรายการเหลือหลักหน่วยภายในสองถึงสี่สัปดาห์ ระหว่างนี้อย่าส่งคำขอตรวจสอบซ้ำเพราะเห็นว่าคืบหน้าช้า

7. การประเมินความเสียหาย: อะไรกลับมาได้ อะไรกลับมาไม่ได้

ก่อนจะส่งไทม์ไลน์ให้หัวหน้า ควรกำหนดระยะเวลาปกติและเกณฑ์ผ่านของแต่ละช่วงให้ชัดเจน เพื่อเลี่ยงคำถามซ้ำ ๆ ว่า “ทำไมยังไม่ฟื้น”

ระยะ	รอบเวลาทั่วไป	เกณฑ์ผ่าน
การล้างและเสริมความปลอดภัย	1–3 วัน	สแกนซ้ำไม่พบไฟล์หรือสคริปต์อันตรายตกค้าง
การจัดทำดัชนีใหม่และการปลดเครื่องหมายความปลอดภัย	1–4 สัปดาห์	ประกาศด้านความปลอดภัยหายไป ผลการค้นหา spam ถูกเคลียร์จนเกือบหมด
อันดับฟื้นกลับ	1–2 เดือน	คำหลักกลับไปใกล้ตำแหน่งก่อนเกิดเหตุ

ความสามารถในการฟื้นของความเสียหายมีสองกรณี เว็บที่ถูกฝังเนื้อหา spam แต่ไม่ได้รับประกาศการลงโทษจากมนุษย์ โดยปกติอันดับจะกลับมาหลังล้างเสร็จ ส่วนเว็บที่ถูกตัดสินชัดเจนว่า “กระทำ spam โดยมนุษย์” (เช่น ข้อความซ่อนและ redirect ที่ถูกฝังไว้ถูกอัลกอริทึมจับได้และลงโทษ) ระยะฟื้นตัวจะยาวนานกว่า และบางคำอาจกลับไปไม่ถึงตำแหน่งเดิม ยังมีความเสียหายอีกประเภทที่ย้อนกลับไม่ได้: ระหว่างที่ถูกแฮก ลูกค้าเคยคลิกเข้าไปในหน้า spam จากอีเมลหรือผลการค้นหา ความเชื่อมั่นที่สูญเสียไปส่วนนี้จะไม่กลับมาพร้อมกับการจัดทำดัชนีที่ฟื้นคืน นี่คือเหตุผลที่หัวข้อแรกเน้นเรื่องสัญญาณการตรวจพบ ยิ่งตรวจพบช้ากว่าหนึ่งสัปดาห์ พื้นที่ที่ถูกปนเปื้อนและการสูญเสียลูกค้าก็เพิ่มขึ้นอีกชั้น

FAQ คำถามที่พบบ่อย

จะรู้ได้อย่างไรว่าเว็บไซต์ถูกแฮก?

ดูจากสี่สัญญาณ: ค้นหาคำแบรนด์แล้วเจอหน้า spam ในผลลัพธ์, ประกาศปัญหาด้านความปลอดภัยใน Search Console, ลูกค้าแจ้งว่าเข้าชมแล้วถูก redirect, ปริมาณทราฟฟิกผิดปกติและมีล็อกอินแปลกปลอมใน log เว็บธุรกิจส่วนใหญ่ตรวจพบจากสองสัญญาณแรก แนะนำให้เขียน “ค้นหาคำแบรนด์เดือนละครั้งเพื่อตรวจผลลัพธ์” ไว้ในการตรวจสอบประจำ ใช้เวลาแค่นาทีเดียวแต่ช่วยย่นเวลาตรวจพบจากหลายสัปดาห์เหลือไม่เกินหนึ่งเดือน ยิ่งตรวจพบเร็ว ต้นทุนการล้างและความเสียหายด้านความเชื่อมั่นก็ยิ่งน้อยลง

ถูกแฮกแล้วควรทำอะไรก่อน?

ชั่วโมงแรกต้องทำสามอย่าง ลำดับห้ามสลับ: อย่างแรก สำรองข้อมูลไฟล์และฐานข้อมูลแบบครบถ้วนเพื่อใช้เป็นหลักฐาน อย่างที่สอง เปลี่ยนรหัสผ่านของโฮสต์ ฐานข้อมูล หลังบ้าน FTP โดเมน และอีเมลให้ครบทั้งหมดในครั้งเดียว อย่างที่สาม ประเมินขอบเขตการติดเชื้อว่าเป็นเว็บเดียวหรือหลายเว็บในโฮสต์เดียวกัน ข้อควรระวังคือในชั่วโมงแรกอย่าเพิ่งเริ่มลบไฟล์ เพราะการล้างก่อนเก็บหลักฐานจะทำลายร่องรอยเส้นทางที่ผู้บุกรุกเข้ามา และอาจกระตุ้นกลไกทำลายของ backdoor ได้ เมื่อทำครบสามอย่างแล้วจึงเข้าสู่การล้างทีละชั้นหรือการกู้คืนจากข้อมูลสำรอง

ล้างเองได้ไหม หรือต้องหาผู้ให้บริการ?

ดู 2 เงื่อนไข: ขอบเขตการติดเชื้อและความสามารถทางเทคนิค ถ้าเป็นเว็บเดียว โดนฝังแต่เนื้อหาขยะ และในทีมมีคนที่คุ้นกับการจัดการเซิร์ฟเวอร์ ก็ตรวจและล้างเองได้ 3 ชั้น คือ ไฟล์ ฐานข้อมูล และ backdoor ใช้เวลาประมาณ 1-2 วัน แต่ถ้าโฮสต์เดียวกันมีหลายเว็บที่ถูกยึด ข้อมูลถูกเข้ารหัสเรียกค่าไถ่ หรือในทีมไม่มีใครอ่าน log ได้ ให้หาผู้ให้บริการเลย อย่าลบไปเรียนไป เพราะการล้างไม่หมดแล้วกลับมาโดนซ้ำ ความเสียหายมักสูงกว่าค่าบริการ ส่วนกรณีกลางๆ ล้างเองแล้วจ้างสแกนซ้ำจากภายนอกได้

ถูกแฮกแล้วอันดับตกไหม ตกนานแค่ไหน?

แบ่งเป็นช่วง: การล้างและเสริมความปลอดภัยมักใช้ 1-3 วัน การกลับมาเก็บข้อมูลและปลดเครื่องหมายความปลอดภัย 1-4 สัปดาห์ อันดับฟื้นตัว 1-2 เดือน เว็บที่แค่โดนฝังเนื้อหาขยะและไม่ได้รับแจ้งโทษ อันดับมักกลับไปที่เดิม ส่วนเว็บที่ถูกตัดสินว่าเป็น spam ที่มนุษย์ทำ อันดับฟื้นช้ากว่าและบางคำก็กลับไปไม่ถึงเดิม นอกจากนี้ยังมีความเสียหายที่ย้อนกลับไม่ได้: ความเชื่อมั่นของลูกค้าที่หายไประหว่างถูกแฮกจะไม่กลับมาพร้อมการเก็บข้อมูล ดังนั้นยิ่งพบเร็วความเสียหายยิ่งน้อย

ยื่นอุทธรณ์กับ Google ใช้เวลานานแค่ไหนจึงผ่าน?

ระยะเวลาผ่านมักอยู่ที่หลายวันถึงสองสัปดาห์ ขึ้นอยู่กับ 2 เงื่อนไข: เว็บถูกล้างสะอาดหมดจดแล้วหรือยัง และจังหวะที่ยื่น การยื่นกลางทางคือความผิดพลาดที่พบบ่อยที่สุด เพราะถ้าตอนตรวจสอบพบเนื้อหาอันตรายอีก ระยะเวลารอก็จะเริ่มนับใหม่ กลับช้ากว่าเดิม วิธีที่ถูกคือล้างครบ 3 ชั้นและสแกนซ้ำเสร็จ ตรวจ URL ตัวอย่างทีละรายการจนผ่าน แล้วยื่นครั้งเดียวพร้อมคำอธิบายการแก้ไข จากนั้นรออย่างใจเย็น ไม่ต้องยื่นซ้ำ

หาเส้นทางที่ถูกบุกรุกได้อย่างไร?

ใช้ 3 เบาะแสไขว้กันเพื่อระบุตำแหน่ง: เวลาแก้ไขของไฟล์ที่น่าสงสัย เพื่อล็อกช่วงเวลาที่ถูกบุกรุก การ login เข้า backend หรือ SSH ด้วย IP แปลกหน้าที่ปรากฏครั้งแรกใน access log และเวลาสร้างบัญชีน่าสงสัยที่เพิ่มเข้ามาในฐานข้อมูล ช่วงเวลาที่ทั้งสามตรงกันเกิดอะไรขึ้นบ้าง – ปลั๊กอินตัวไหนมีช่องโหว่ที่รู้อยู่แล้วตอนนั้น รหัสผ่านตัวไหนเพิ่งถูก credential stuffing – นั่นแหละคือทางเข้า ผลการระบุตำแหน่งต้องเขียนลงเอกสารสรุปบทเรียน และอุดช่องโหว่ที่ตรงกันทันที ไม่งั้นครั้งหน้าก็จะเข้ามาจากช่องเดิมอีก

ทิ้งท้าย

การรับมือถูกแฮกไม่ได้วัดกันที่เทคนิคเก่งแค่ไหน แต่วัดที่ลำดับถูกต้องไหมและเช็กลิสต์ครบไหม: ชั่วโมงแรกเก็บหลักฐานก่อนแล้วค่อยล้าง ล้างให้ครบ 3 ชั้นตามลำดับ ไฟล์ ฐานข้อมูล และ backdoor จุดกู้คืนต้องเก่ากว่าเวลาที่ติดเชื้อ และรอให้ล้างเสร็จก่อนค่อยยื่นตรวจสอบ ทุกขั้นตอนมี動作และจังหวะที่ชัดเจน ไม่มีจุดไหนที่ต้องคิดสด

คำแนะนำ 3 อย่างที่นำไปใช้ได้เลย: ใส่ “ค้นหาแบรนด์ทุกเดือน” ลงในเช็กลิสต์ประจำ เก็บขั้นตอนล้าง 3 ชั้นในบทความนี้เป็นเอกสารภายใน และเก็บบันทึกเวลาของการซ้อมกู้คืนไว้ให้ดี – คืนที่เกิดเหตุคุณจะมีอะไรในมือ ขึ้นอยู่กับว่าปกติเก็บอะไรไว้ ทีมไหนไม่มีคนเทคนิค หรืออยากให้ตั้งระบบมอนิเตอร์และสำรองข้อมูล这套ให้เหมาะกับสภาพเว็บปัจจุบัน สามารถ ติดต่อเรา。จำไว้แค่ประโยคเดียวก็พอ: ถูกแฮกไม่น่ากลัว น่ากลัวคือถูกแฮกแล้วไม่มีขั้นตอนรับมือ