เว็บโดนแฮก ทำอย่างไร? คู่มือกู้ WordPress ในชั่วโมงแรก

ถ้าเว็บโดนแฮก ให้ทำ 4 อย่างในชั่วโมงแรก: จดสิ่งที่เห็นพร้อมเวลา, สำรองข้อมูลเว็บที่ติดมัลแวร์ไว้ทั้งชุด, เปลี่ยนรหัสผ่านทุกจุด (WordPress, แผงควบคุมโฮสติ้ง, SFTP, ฐานข้อมูล) และแจ้งผู้ให้บริการโฮสติ้ง อย่าลบไฟล์แบบเดาสุ่ม และอย่าแค่กู้แบ็กอัปของสัปดาห์ที่แล้วแล้วจบ เพราะช่องโหว่ที่แฮกเกอร์ใช้เข้ามายังเปิดอยู่ จากนั้นค่อยล้างเว็บให้สะอาดจริง ปิดช่องโหว่ และขอให้ Google ตรวจสอบใหม่ บทความนี้อธิบายทีละขั้น พร้อมหน้าที่ตาม PDPA หากข้อมูลลูกค้าอาจรั่วไหล และค่าใช้จ่ายในการแก้ไข ไม่ว่าคุณจะทำเองหรือจ้างผู้เชี่ยวชาญ

เว็บไซต์ถูกแฮก หรือแค่ล่ม?

คำว่า "โดนแฮก" ครอบคลุมหลายอาการ เอกสารของ WordPress เรียกอาการเหล่านี้ว่า indicators of compromise และยิ่งระบุอาการได้ชัด การแก้ไขก็ยิ่งเร็ว ตารางนี้คืออาการที่พบบ่อยที่สุด

สิ่งที่คุณเห็น	ความหมายที่พบบ่อย	สิ่งแรกที่ควรทำ
ผู้เข้าชมถูกพาไปเว็บพนัน เว็บสแปม หรือหน้าหลอกแจกรางวัล บางครั้งเกิดเฉพาะบนมือถือหรือเฉพาะคนที่มาจาก Google	มีการฝังโค้ด มักอยู่ใน .htaccess ไฟล์ธีม หรือฐานข้อมูล	ตรวจ .htaccess และไฟล์ที่เพิ่งถูกแก้ไข อย่าทดสอบบนคอมพิวเตอร์ที่ใช้ทำงาน
มีหน้าภาษาญี่ปุ่นหรือหน้าขายยาภายใต้โดเมนของคุณใน Google	แฮกเกอร์สร้างหน้าสแปมขึ้นมาใหม่ บางครั้งซ่อนไม่ให้เจ้าของเห็น (cloaking)	ค้นหา site:โดเมนของคุณ.com และเปิด Search Console
ข้อความ "เว็บไซต์นี้อาจถูกแฮก" ใต้ผลการค้นหาของคุณ	Google พบหน้าที่ถูกแก้ไขหรือหน้าสแปมที่ถูกเพิ่มเข้ามา	Search Console รายงานปัญหาด้านความปลอดภัย
หน้าจอเตือนสีแดงเต็มจอในเบราว์เซอร์ (Safe Browsing)	Google ตรวจพบมัลแวร์ ฟิชชิง หรือไฟล์ดาวน์โหลดอันตราย	Search Console รายงานปัญหาด้านความปลอดภัย
มีผู้ดูแลระบบ (admin) ที่คุณไม่รู้จัก	มีคนได้ (หรือเคยได้) สิทธิ์ผู้ดูแล	ลบออกหลังสำรองข้อมูลแล้ว จากนั้นรีเซ็ตสิทธิ์เข้าถึงทั้งหมด
โฮสติ้งระงับบัญชีหรือปิดเว็บ	โฮสต์ตรวจพบมัลแวร์หรือการส่งสแปมจากเว็บของคุณ	ถามโฮสต์ให้ชัดว่าพบอะไร ในไฟล์ไหน
ขึ้น "Briefly unavailable for scheduled maintenance" ค้างไม่หาย	ส่วนใหญ่ไม่ใช่การแฮก แต่เป็นการอัปเดตที่ถูกขัดจังหวะจนเหลือไฟล์ .maintenance	ลบไฟล์ .maintenance ในโฟลเดอร์หลักผ่าน SFTP

ถ้าเว็บโหลดไม่ขึ้นเลย หรือขึ้น error ฐานข้อมูลหรือ "critical error" มีแนวโน้มว่าเว็บล่มมากกว่าโดนแฮก อ่านเช็กลิสต์สำหรับกรณีนี้ได้ที่ เว็บ WordPress ล่ม ต้องทำอย่างไร

เว็บไซต์ถูกแฮก ทำอย่างไรในชั่วโมงแรก

1. ตั้งสติและจดทุกอย่าง สิ่งที่เห็น เวลาที่สังเกตเห็นครั้งแรก และสิ่งที่เปลี่ยนไปล่าสุด เช่น ปลั๊กอินใหม่ การแก้ธีม หรือผู้ใช้ใหม่ ข้อมูลนี้คือรายงานเหตุการณ์ที่จะช่วยประหยัดเวลาคนที่มาล้างเว็บได้หลายชั่วโมง และใช้ประกอบการแจ้งตาม PDPA ด้วย
2. อย่าเปิดหน้าที่ติดมัลแวร์ด้วยเบราว์เซอร์ตามปกติ Google แนะนำให้หลีกเลี่ยง ให้ใช้เครื่องมือตรวจสอบ URL ใน Search Console แทน
3. สำรองสภาพเว็บที่ติดมัลแวร์ไว้ ทั้งไฟล์และฐานข้อมูล แม้จะสกปรกก็ตาม ถ้าการล้างผิดพลาด คุณยังมีสำเนาไว้เทียบ
4. รีเซ็ตการเข้าถึงทั้งหมด รหัสผ่านของผู้ใช้ WordPress ทุกคน แผงควบคุมโฮสติ้ง SFTP/FTP และฐานข้อมูล (ถ้าเปลี่ยนรหัสฐานข้อมูล ต้องแก้ใน wp-config.php ด้วย) แล้วบังคับให้ทุกคนออกจากระบบโดยเปลี่ยน secret keys ใน wp-config.php เป็นชุดใหม่จากตัวสร้างทางการที่ api.wordpress.org/secret-key/1.1/salt/
5. สแกนคอมพิวเตอร์ที่ใช้ล็อกอิน ทีม WordPress ระบุว่าการติดมัลแวร์หลายครั้งเริ่มจากเครื่องของเจ้าของเว็บเอง ซึ่งขโมยรหัสเข้า wp-admin หรือ FTP
6. ติดต่อโฮสติ้ง บนโฮสติ้งแบบแชร์ การโจมตีอาจลามเกินเว็บของคุณ โฮสต์ยังช่วยยืนยันได้ว่าเป็นการแฮกหรือแค่ระบบขัดข้อง และบางรายมีแบ็กอัปก่อนการติดมัลแวร์

วิธีแก้ WordPress โดนแฮก ทีละขั้นตอน

1. หาว่าอะไรถูกเปลี่ยน

ใช้สแกนเนอร์ภายใน WordPress (Wordfence หรือ Sucuri Security ซึ่งทั้งคู่อยู่ในเอกสารของ WordPress) ร่วมกับสแกนเนอร์ภายนอก เช่น Sucuri SiteCheck หรือ VirusTotal เพราะแต่ละตัวจับได้ต่างกัน จากนั้นตรวจไฟล์ที่แฮกเกอร์แก้บ่อยที่สุด: ไฟล์ .htaccess ทุกไฟล์ (อาจมีหลายไฟล์และเป็นไฟล์ซ่อน), index.php และ header.php, footer.php, functions.php ของธีม คู่มือของ Google แนะนำเพิ่มว่าให้มองหาไฟล์ PHP ที่เพิ่งถูกแก้หรือใหญ่ผิดปกติ และโค้ดที่ถูกเข้ารหัสอำพรางด้วยฟังก์ชันอย่าง base64_decode, eval หรือ gzinflate

2. เปลี่ยนไฟล์หลักใหม่ทั้งชุดแทนการแก้

ดาวน์โหลด WordPress เวอร์ชันเดียวกับที่เว็บใช้อยู่จาก wordpress.org แล้วแทนที่โฟลเดอร์ /wp-admin และ /wp-includes ทั้งหมดผ่าน SFTP อย่าใช้ปุ่ม "ติดตั้งใหม่" ในแดชบอร์ด เพราะมันเขียนทับเฉพาะไฟล์ที่มีอยู่ แต่ไม่ลบไฟล์ที่แฮกเกอร์เพิ่มเข้ามา ติดตั้งปลั๊กอินและธีมใหม่จากแหล่งต้นทาง และลบตัวที่ไม่ได้ใช้

3. ล้างฐานข้อมูลและผู้ใช้

ลบผู้ดูแลที่ไม่รู้จัก และตรวจหาสคริปต์แปลกปลอมในโพสต์ วิดเจ็ต และค่าตั้งค่า ถ้าเข้า wp-admin ไม่ได้ สามารถรีเซ็ตผู้ใช้ผ่าน phpMyAdmin ในแผงควบคุมโฮสติ้ง หรือแก้อีเมลของคุณในนั้นแล้วกด "ลืมรหัสผ่าน"

4. กู้แบ็กอัป ถ้ามีชุดที่สะอาด

การกู้แบ็กอัปก่อนติดมัลแวร์มักเร็วที่สุด แต่คุณต้องรู้ว่าการติดเริ่มเมื่อไร และเว็บที่กู้มาก็ยังมีปลั๊กอินที่มีช่องโหว่หรือรหัสผ่านที่ถูกขโมยตัวเดิม ดังนั้นกู้แล้วต้องอัปเดตและรีเซ็ตการเข้าถึงทันที

5. อัปเดตทุกอย่างและเปลี่ยนรหัสผ่านอีกรอบ

เมื่อเว็บสะอาดแล้ว ให้อัปเดต WordPress ปลั๊กอิน และธีมเป็นเวอร์ชันล่าสุด แล้วเปลี่ยนรหัสผ่านทั้งหมดเป็นรอบที่สอง เพราะรอบแรกเปลี่ยนตอนที่เว็บยังติดมัลแวร์อยู่

เว็บโดนแฮกพาไปเว็บพนัน และหน้าญี่ปุ่นใน Google

การ redirect ไปเว็บอื่นและสแปมคีย์เวิร์ดภาษาญี่ปุ่นมักเป็นอาการแรกที่เจ้าของรู้ตัว ส่วนใหญ่เพราะลูกค้าทักมาบอก ที่ยากคือแฮกเกอร์มักซ่อนสิ่งเหล่านี้จากแอดมินที่ล็อกอินอยู่ และแสดงหน้า 404 ปลอม ขณะที่ Google ยังเห็นสแปม Google แนะนำสำหรับการแฮกลักษณะนี้ว่า:

• ค้นหา site:โดเมนของคุณ.com ใน Google เพื่อดูว่ามีหน้าสแปมถูกจัดทำดัชนีไว้เท่าไร
• เปิด การตั้งค่า > ผู้ใช้และสิทธิ์ ใน Search Console แล้วลบเจ้าของที่ไม่รู้จัก แฮกเกอร์มักยืนยันตัวเองเป็นเจ้าของเพื่อส่ง sitemap สแปม ให้ลบไฟล์ยืนยันของเขา (ไฟล์ google…html) หรือกฎใน .htaccess ที่สร้างไฟล์นั้น
• แทนที่ไฟล์ .htaccess ทุกไฟล์ด้วยเวอร์ชันมาตรฐานที่สะอาด
• ลบลิงก์สแปมออกจาก sitemap และลบ sitemap ที่คุณไม่ได้สร้างเอง

วิธีให้ Google ถอดคำเตือน

ทั้งป้าย "เว็บไซต์นี้อาจถูกแฮก" และหน้าจอแดงของ Safe Browsing มาจากรายงานปัญหาด้านความปลอดภัยของ Google ซึ่งจะถูกถอดออกหลังการตรวจสอบ:

1. ยืนยันความเป็นเจ้าของเว็บใน Google Search Console ถ้ายังไม่ได้ทำ
2. เปิด ความปลอดภัยและการดำเนินการโดยเจ้าหน้าที่ > ปัญหาด้านความปลอดภัย และดูตัวอย่าง URL
3. แก้ปัญหาทั้งเว็บ ไม่ใช่แค่หน้าตัวอย่าง และแก้ทุกปัญหาที่ระบุไว้
4. กด ขอให้ตรวจสอบ แล้วอธิบายว่าปัญหาคืออะไร คุณทำอะไรไปบ้าง และผลเป็นอย่างไร
5. รอผล Google ระบุว่าการตรวจสอบเนื้อหาที่ถูกแฮกและมัลแวร์ใช้เวลาตั้งแต่ไม่กี่วันถึงไม่กี่สัปดาห์ อย่าส่งคำขอซ้ำก่อนได้คำตอบ เพราะอาจทำให้ช้าลง

ข้อมูลลูกค้า: หน้าที่แจ้งภายใน 72 ชั่วโมงตาม PDPA

ถ้าเว็บเก็บข้อมูลส่วนบุคคล เช่น คำสั่งซื้อ WooCommerce ข้อมูลจากฟอร์มติดต่อ หรือบัญชีสมาชิก การโดนแฮกอาจถือเป็นการละเมิดข้อมูลส่วนบุคคล ตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเรื่องหลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล (ธันวาคม 2565) ผู้ควบคุมข้อมูลต้องแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส. หรือ PDPC) โดยไม่ชักช้า ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ เว้นแต่เหตุนั้นไม่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล และถ้ามีความเสี่ยงสูง ต้องแจ้งเจ้าของข้อมูลด้วย ถ้าคุณมีลูกค้าในยุโรป GDPR ก็กำหนดกรอบ 72 ชั่วโมงเช่นกัน และต้องบันทึกเหตุละเมิดทุกครั้ง บทความนี้ไม่ใช่คำแนะนำทางกฎหมาย หากไม่แน่ใจ ให้ปรึกษา DPO หรือทนายความภายในวันเดียวกัน

ป้องกันไม่ให้โดนแฮกซ้ำ

• อัปเดตสม่ำเสมอ: WordPress ปลั๊กอิน และธีม เปิดอัปเดตอัตโนมัติเท่าที่ปลอดภัย และลบสิ่งที่ไม่ใช้
• ยืนยันตัวตนสองขั้นตอน (2FA) ทุกบัญชีผู้ดูแล และใช้รหัสผ่านยาวไม่ซ้ำจากโปรแกรมจัดการรหัสผ่าน
• ลดจำนวนแอดมิน: ให้สิทธิ์ต่ำสุดเท่าที่แต่ละคนจำเป็น
• ปิดตัวแก้ไขไฟล์ โดยเพิ่ม define( 'DISALLOW_FILE_EDIT', true ); ใน wp-config.php
• สิทธิ์ไฟล์: 755 สำหรับโฟลเดอร์ 644 สำหรับไฟล์ และ 400 หรือ 440 สำหรับ wp-config.php
• แบ็กอัป ทั้งไฟล์และฐานข้อมูล เก็บไว้นอกเซิร์ฟเวอร์ และเคยทดลองกู้คืนจริง
• ระบบเฝ้าระวัง เพื่อให้คุณรู้ก่อนลูกค้า ตรวจเว็บฟรีด้วย EngineeringScore เพื่อดูจุดอ่อนด้านความปลอดภัย ความเร็ว และความเสถียรได้ในไม่กี่นาที

แก้เว็บโดนแฮก ค่าใช้จ่ายเท่าไร

ตัวเลือก	ราคา (ตามที่ประกาศ)	ควรรู้
ทำเอง	เครื่องมือฟรี แต่ใช้เวลาของคุณ	ทำได้กับกรณีง่าย ถ้าคุ้นกับ SFTP และ phpMyAdmin แต่เสี่ยงถ้าพลาดประตูหลัง (backdoor)
ผู้ให้บริการโฮสติ้ง	แล้วแต่โฮสต์และแพ็กเกจ	บางรายช่วยล้างหรือกู้คืน บางรายแค่ระงับบัญชี ถามให้ชัดว่ารวมอะไรบ้าง
Sucuri Website Security Platform	ตั้งแต่ $229 ต่อปี (Basic) ถึง $549 ต่อปี (Business)	ล้างมัลแวร์ด้วยคนไม่จำกัดครั้ง เวลาตอบสนองโดยประมาณ 30 ชั่วโมง (Basic) ถึง 6 ชั่วโมง (Business) บริการภาษาอังกฤษ
Seahawk hacked site repair	$299 ครั้งเดียว (2 ถึง 4 วันทำการ), $399 แบบด่วน (1 วันทำการ)	ราคาเหมาสำหรับลบมัลแวร์ WordPress รับประกัน 30 วัน บริการภาษาอังกฤษ
We Do Dev Work ช่วยเหลือฉุกเฉิน	฿2,200 ต่อชั่วโมง ไม่รวม VAT ไม่มีขั้นต่ำ	นักพัฒนาอาวุโสเริ่มงานได้ในวันเดียวกัน ล้างเว็บ หาว่าแฮกเกอร์เข้ามาทางไหน และช่วยเรื่องการขอตรวจสอบกับ Google ทีมอยู่กรุงเทพฯ คุยภาษาไทยได้

บริการรักษาความปลอดภัยแบบรายปีเหมาะกับการป้องกัน ส่วนผู้เชี่ยวชาญเหมาะเมื่อต้องหาต้นเหตุ แก้โค้ดที่เขียนเฉพาะซึ่งมีช่องโหว่ หรือต้องให้ร้านออนไลน์ขายต่อได้ ถ้าการโดนแฮกครั้งนี้บอกว่าเว็บต้องการการดูแลต่อเนื่อง แพ็กเกจรายเดือนของเราเริ่มที่ ฿13,500 ต่อเดือน สำหรับ 8 ชั่วโมงงานอัปเดตและเฝ้าระวัง หรือใช้ บัตรชั่วโมง 14 ชั่วโมงแบบจ่ายล่วงหน้าในราคา ฿25,900 ดูราคาทั้งหมดได้ที่หน้าราคา

เมื่อไรควรเรียกผู้เชี่ยวชาญ

• เว็บรับชำระเงินหรือเก็บข้อมูลลูกค้า และกรอบเวลา 72 ชั่วโมงอาจเริ่มนับแล้ว
• ล้างแล้วมัลแวร์กลับมาอีก แปลว่ายังมีประตูหลังที่หาไม่เจอ
• โฮสต์ระงับบัญชี หรืออีเมลของคุณเข้ากล่องสแปมเพราะเซิร์ฟเวอร์ถูกใช้ส่งสแปม
• Google ขึ้นหน้าจอเตือนสีแดง และทุกวันที่ผ่านไปคือยอดขายที่หายไป
• เว็บมีโค้ดหรือปลั๊กอินที่เขียนเฉพาะ ซึ่งสแกนเนอร์ประเมินไม่ได้
• คุณไม่มีเวลามาเรียนรู้ SFTP, .htaccess และ phpMyAdmin ในสถานการณ์กดดัน

เอเจนซีหรือฟรีแลนซ์ที่ทำเว็บให้ติดต่อไม่ได้แล้ว? เรารับช่วงต่อได้ อ่านวิธีที่เรากู้โปรเจกต์ซอฟต์แวร์ที่หลุดทาง

เว็บโดนแฮกตอนนี้? เราเริ่มได้วันนี้

ขอความช่วยเหลือฉุกเฉิน แล้วนักพัฒนาอาวุโสจะเริ่มทำงานกับเว็บของคุณในวันเดียวกัน ราคา ฿2,200 ต่อชั่วโมง ไม่รวม VAT ไม่มีขั้นต่ำ ไม่ต้องนัดคุยก่อน เราล้างเว็บ ปิดช่องโหว่ บันทึกเหตุการณ์ไว้สำหรับเอกสารของคุณและการแจ้ง สคส. และส่งคำขอตรวจสอบไปยัง Google เราสัญญาไม่ได้ว่า Google จะใช้เวลานานแค่ไหน แต่เราจะบอกตรงๆ ว่าพบอะไร อยากคุยก่อน? ติดต่อเรา เป็นภาษาไทยได้เลย