เว็บ WordPress โดนแฮก ต้องทำอะไรก่อน?

เมื่อเว็บ WordPress ของคุณถูกแฮก ทุกวินาทีที่ผ่านไปมีความหมาย ผู้ไม่หวังดีอาจกำลังฝังโค้ดอันตราย ขโมยข้อมูลลูกค้า หรือใช้เว็บคุณแพร่มัลแวร์ต่อ บทความนี้จะแนะนำขั้นตอนที่ควรทำ ทันที เมื่อรู้ว่าเว็บโดนแฮก เพื่อลดความเสียหายและเริ่มกระบวนการฟื้นฟูอย่างถูกต้อง

nn

สัญญาณที่บอกว่าเว็บ WordPress ของคุณอาจถูกแฮก

n

ก่อนเริ่มแก้ไข ให้ยืนยันก่อนว่าเว็บถูกแฮกจริง สัญญาณที่พบบ่อยได้แก่:

n

n
• เว็บ เด้งไปหน้าแปลกปลอม เช่น เว็บพนันหรือเว็บลามก โดยที่คุณไม่ได้ตั้งค่า (อ่านเพิ่มเติม: เว็บ WordPress เด้งไปเว็บพนัน เกิดจากอะไร แก้ยังไง)

n

• Google แสดงคำเตือน “This site may harm your computer” หน้าลิงก์เว็บคุณ

n

• Hosting แจ้งเตือนพบไฟล์อันตรายหรือระงับการใช้งานบัญชี

n

• มีบัญชีแอดมินใหม่ที่คุณไม่ได้สร้างปรากฏใน WordPress

n

• เว็บช้าผิดปกติ หรือมีการส่ง spam email จากโดเมนคุณ

n

n

หากพบอาการเหล่านี้ ให้อ่านบทความ อาการ WordPress ติดมัลแวร์ และวิธีตรวจสอบด้วยตัวเอง เพื่อยืนยันอีกครั้งก่อนดำเนินการ

nn

nn

สิ่งแรกที่ต้องทำทันที: 4 ขั้นตอนเร่งด่วน

n

เมื่อมั่นใจว่าเว็บถูกแฮกแล้ว ให้ทำตามลำดับต่อไปนี้โดยเร็ว:

nn

1. เปิด Maintenance Mode หรือปิดเว็บชั่วคราว

n

ป้องกันไม่ให้ผู้เยี่ยมชมได้รับอันตรายจากมัลแวร์ที่ฝังอยู่ ถ้า Hosting มีตัวเลือก Maintenance Mode ให้เปิดทันที หรือล็อกไฟล์ .htaccess ให้รับการเชื่อมต่อเฉพาะ IP ของคุณก่อน

nn

2. เปลี่ยนรหัสผ่านทั้งหมดที่เกี่ยวข้อง

n

ทำพร้อมกันทุกจุดเพื่อตัดการเข้าถึงของแฮกเกอร์:

n

n
• รหัสผ่าน WordPress Admin ทุกบัญชี

n

• รหัสผ่าน cPanel / Hosting Control Panel

n

• รหัสผ่านฐานข้อมูล MySQL (แล้วอัปเดต wp-config.php ให้ตรงกัน)

n

• รหัสผ่าน FTP/SFTP

n

• รหัสผ่านอีเมลที่ผูกกับโดเมน

n

nn

3. สำรองข้อมูล (Backup) ทันที — แม้จะติดมัลแวร์อยู่

n

สำรองไฟล์และฐานข้อมูลทั้งหมดในสภาพที่เป็นอยู่ก่อนแก้ไขใดๆ เพราะหากการแก้ไขเกิดปัญหาหรือลบไฟล์ผิด คุณยังมีข้อมูลกลับมาตรวจสอบได้ อย่าเขียนทับ Backup เก่าที่สะอาดหากมี

nn

4. ลบบัญชีผู้ดูแลที่ไม่รู้จัก

n

เข้า WordPress Dashboard → ผู้ใช้งาน แล้วลบบัญชี Administrator ที่คุณไม่ได้สร้างทิ้ง โดยเฉพาะบัญชีที่มีชื่อแปลกหรือใช้อีเมลฟรีที่ไม่คุ้นเคย

nn

nn

ตรวจสอบและระบุขอบเขตความเสียหาย

n

หลังจากทำขั้นตอนเร่งด่วนแล้ว ให้ประเมินความเสียหายเพิ่มเติม:

n

n
• สแกนด้วย Plugin: ใช้ Wordfence หรือ Sucuri Security เพื่อสแกนหาไฟล์ที่ถูกแก้ไข ไฟล์แปลกปลอม และมัลแวร์ที่รู้จัก (อ่านเพิ่ม: วิธีเช็กไฟล์แปลกปลอมใน WordPress เบื้องต้น)

n

• ตรวจ Google Search Console: เช็คแท็บ “ปัญหาด้านความปลอดภัย” ว่า Google ตรวจพบหน้าที่ติดมัลแวร์กี่หน้า

n

• ตรวจ Log ไฟล์: ดู access log และ error log ใน Hosting เพื่อหา IP และ URL ที่น่าสงสัยที่แฮกเกอร์ใช้เข้าถึง

n

• ตรวจ wp-config.php และ .htaccess: สองไฟล์นี้เป็นเป้าหมายหลักที่มักถูกฝังโค้ดอันตราย

n

nn

nn

ล้างมัลแวร์และฟื้นฟูเว็บ

n

หลังระบุขอบเขตแล้ว เริ่มกระบวนการทำความสะอาด:

n

n
• ติดตั้ง WordPress Core ใหม่: ดาวน์โหลดไฟล์ WordPress เวอร์ชั่นล่าสุดจาก wordpress.org แล้วเขียนทับไฟล์ core เดิม (ยกเว้น wp-content/ และ wp-config.php)

n

• ติดตั้ง Theme และ Plugin ใหม่: ลบ Theme/Plugin ที่ใช้อยู่ทั้งหมดแล้วติดตั้งใหม่จากแหล่งทางการ ห้ามใช้ไฟล์ nulled หรือ cracked เพราะเป็นแหล่งมัลแวร์ที่พบบ่อยที่สุด (อ่าน: ทำไม WordPress ถึงติดไวรัสบ่อย)

n

• ตรวจและทำความสะอาดฐานข้อมูล: ค้นหาโค้ด JavaScript แปลกๆ หรือลิงก์สแปมที่ถูกฝังในตาราง wp_posts และ wp_options

n

• ลบ Backdoor ทั้งหมด: ค้นหาฟังก์ชั่นอันตราย เช่น eval(base64_decode(...)) หรือไฟล์ PHP ที่ซ่อนตัวใน wp-content/uploads/ (อ่านเพิ่ม: Backdoor ใน WordPress คืออะไร ทำไมล้างไวรัสแล้วกลับมาติดซ้ำ)

n

nn

วิธีป้องกันไม่ให้โดนแฮกซ้ำ

n

หลังทำความสะอาดเสร็จแล้ว ต้องปิดช่องโหว่ด้วย:

n

n
• อัปเดต WordPress Core, Theme และ Plugin ให้เป็นเวอร์ชั่นล่าสุดอยู่เสมอ

n

• ติดตั้ง Security Plugin เช่น Wordfence พร้อมเปิด Firewall และการสแกนอัตโนมัติ

n

• ใช้รหัสผ่านที่แข็งแกร่งและเปิด Two-Factor Authentication (2FA) สำหรับบัญชี Admin

n

• จำกัดการเข้าถึงหน้า /wp-admin/ ด้วย IP Whitelist หรือ HTTP Authentication

n

• ตั้งค่า Backup อัตโนมัติทุกวัน และเก็บ Backup ไว้นอก Hosting (เช่น Google Drive หรือ S3)

n

• ใช้ Hosting ที่มี Web Application Firewall (WAF) และสแกนมัลแวร์ในตัว

n

nn

เมื่อไหร่ควรจ้างผู้เชี่ยวชาญแก้ให้

n

หากคุณไม่แน่ใจว่าล้างได้สะอาดหมดหรือไม่ หรือเว็บกลับมาติดซ้ำหลังจากแก้แล้ว ควรพิจารณาใช้บริการผู้เชี่ยวชาญ เพราะมัลแวร์ที่ซับซ้อนมักทิ้ง Backdoor หลายจุดที่หาเจอได้ยากด้วยตาเปล่า บริการ ล้างไวรัส WordPress โดยผู้เชี่ยวชาญจะช่วยค้นหาและกำจัดมัลแวร์ได้อย่างละเอียด พร้อมให้คำแนะนำป้องกันระยะยาว หากอยากเปรียบเทียบก่อนตัดสินใจ อ่านได้ที่ เปรียบเทียบล้างไวรัส WordPress เอง vs จ้างผู้เชี่ยวชาญ

คำถามที่พบบ่อย

เว็บ WordPress โดนแฮก ควรปิดเว็บก่อนแก้ไหม?

ควรปิดหรือเปิด Maintenance Mode ก่อนเสมอ เพื่อป้องกันไม่ให้ผู้เยี่ยมชมได้รับมัลแวร์ระหว่างที่คุณกำลังแก้ไขปัญหา

ถ้าเปลี่ยนรหัสผ่านทุกอย่างแล้ว เว็บจะปลอดภัยไหม?

ยังไม่เพียงพอ เพราะแฮกเกอร์มักฝัง Backdoor ไว้ในไฟล์ PHP ที่ให้เข้าถึงได้โดยไม่ต้องใช้รหัสผ่าน ต้องค้นหาและลบ Backdoor ด้วยจึงจะปลอดภัยจริง

ต้องสำรองข้อมูลก่อนล้างไวรัสไหม ทั้งๆ ที่ติดมัลแวร์อยู่?

ควรสำรองไว้เสมอ แม้จะมีมัลแวร์ก็ตาม เพราะ Backup ที่มีมัลแวร์ยังดีกว่าไม่มีข้อมูลเลย หากลบไฟล์ผิดพลาดระหว่างแก้ไข คุณยังมีข้อมูลกลับมาตรวจสอบได้

เว็บกลับมาติดซ้ำหลังแก้แล้ว เกิดจากอะไร?

สาเหตุหลักคือยังมี Backdoor ที่ยังไม่ได้ลบออก หรือยังใช้ Plugin/Theme เวอร์ชั่นเก่าที่มีช่องโหว่อยู่ ควรสแกนไฟล์ทั้งหมดอีกครั้งและอัปเดต WordPress ให้เป็นปัจจุบัน