Сайт взломали: как понять и что делать?

В сентябре мы вытаскивали один сайт на WordPress. Людям он показывал обычные страницы, а яндексу и гуглу — японский спам. И заражение возвращалось после каждой чистки. Причина оказалась глубже сайта: в аккаунте хостинга, где лежали и другие сайты.

Признаки, что сайт взломан:
— в поиске по запросу site:вашсайт.ru появились чужие страницы: казино, ставки, займы, иероглифы;
— Яндекс Вебмастер или Google Search Console пишут об угрозах безопасности;
— с телефона сайт перекидывает на другой ресурс;
— в админке появились пользователи, которых вы не заводили;
— хостинг прислал письмо о спаме или вирусах.

Что делать по шагам:
1. Не удаляйте всё в панике. Сначала сохраните копию сайта в текущем виде: по ней потом ищут, как именно зашли.
2. Смените все пароли: хостинг, FTP, админка, база данных, почта.
3. Восстановите сайт из чистой резервной копии или вычистите заражённые файлы. Осторожно с кнопкой «восстановить папку» у хостинга: она может стереть всё, что появилось на сайте после копии. Надёжнее восстанавливать по файлам.
4. Обновите CMS, тему и плагины, удалите лишние.
5. Проверьте пользователей админки и права доступа.
6. Попросите Вебмастер и Search Console перепроверить сайт.
7. Две-три недели следите за поиском: если заражение вернулось, значит, причину не нашли.

Как не допустить:
— обновляйте сайт регулярно, а не раз в 3 года;
— храните резервные копии вне папки сайта;
— не пересылайте пароли в мессенджерах. А если кому-то отправили, то потом обязательно поменяйте;
— в WordPress закройте публичный список пользователей: по умолчанию он показывает логины.

Если сомневаетесь, не взломан ли ваш сайт, пришлите в комментарии ссылку — посмотрю.