--- title: "Web bị hack: nhận biết sớm và việc cần làm trong 24 giờ đầu" url: https://phatdev.net/vi/blog/website-hacked-what-to-do lang: vi updated: 2026-10-21 alternate: en: https://phatdev.net/en/blog/website-hacked-what-to-do markdown: https://phatdev.net/vi/blog/website-hacked-what-to-do.md --- # Web bị hack: nhận biết sớm và việc cần làm trong 24 giờ đầu > Dấu hiệu web bị xâm nhập và trình tự 24 giờ đầu: cô lập, đổi mật khẩu, khôi phục bản sao lưu sạch, tìm lỗ hổng và báo Google, viết cho người không rành kỹ thuật. Chuyên mục: Bảo mật | Đăng: 2026-10-21 | Cấp độ: Cơ bản | 7 phút đọc Tags: hack, malware, incident-response, wordpress, search-console Một khách nhắn cho bạn: "Web của anh mở ra thấy toàn quảng cáo cờ bạc." Bạn thử vào, trang chủ vẫn bình thường. Nhưng lần sau mở bằng điện thoại, nó nhảy sang một trang lạ. Lúc đó tim bạn chùng xuống: web bị hack rồi. Điều đầu tiên cần biết là hoảng loạn làm mọi chuyện tệ hơn. Điều thứ hai là 24 giờ đầu có một thứ tự việc rõ ràng, và bạn làm theo được ngay cả khi không rành kỹ thuật. Bài này chỉ nói về phòng thủ và khắc phục cho web của chính bạn. ![Cô lập máy chủ bị lỗi, giữ một bản sao lưu sạch bên cạnh và soi tìm chỗ hở](https://phatdev.net/uploads/blog/website-hacked-what-to-do/contain-1920.webp) ## Dấu hiệu nhận biết Web bị xâm nhập không phải lúc nào cũng hiện chữ "bị hack" to đùng. Kẻ xấu thường muốn bạn không biết, để dùng web của bạn lâu nhất có thể. Một số dấu hiệu hay gặp: Trang tự chuyển sang web lạ, nhất là khi vào từ Google hoặc từ điện thoại. Kết quả tìm kiếm Google hiện tiêu đề kỳ lạ, tiếng nước ngoài hoặc nội dung quảng cáo bạn chưa từng viết. Trình duyệt hoặc Google cảnh báo "trang này có thể gây hại". Có tài khoản quản trị mà bạn không tạo. Có file lạ trong thư mục web, hoặc file cũ bị sửa ngày giờ gần đây. Web đột nhiên chậm, máy chủ tải cao mà lượng khách không tăng. Bạn nhận mail báo từ nhà cung cấp hosting về việc gửi thư rác. Có một dấu hiệu tinh tế: bạn tự vào web thấy bình thường, nhưng khách thì thấy khác. Một số mã độc cố tình giấu mình với chủ web đang đăng nhập. Vì vậy hãy thử mở web ở cửa sổ ẩn danh và trên điện thoại dùng 4G, đừng chỉ tin vào máy của mình. ## Việc cần làm trong 24 giờ đầu ### Giờ đầu tiên: cô lập Mục tiêu là ngăn thiệt hại lan rộng. Nếu web có thể tạm đóng được, hãy bật trang bảo trì hoặc nhờ nhà cung cấp hosting tạm khoá truy cập. Nếu là web bán hàng, nên đóng thanh toán trước, vì khách có thể bị lấy thông tin. Ghi lại những gì bạn thấy trước khi sửa gì: chụp màn hình trang lạ, ghi giờ, ghi tên các file khả nghi. Những ghi chép này giúp bạn tìm ra nguyên nhân sau đó, và giúp người hỗ trợ không phải đoán. Đừng xoá hết rồi cài lại ngay. Làm vậy bạn mất luôn dấu vết, và nếu lỗ hổng vẫn còn, web sẽ bị vào lại. ### Giờ thứ hai đến thứ sáu: đổi chìa khoá Đổi mật khẩu theo thứ tự này: tài khoản hosting, tài khoản quản trị web, mật khẩu cơ sở dữ liệu, tài khoản FTP hoặc SSH (cách đăng nhập để chép file), và cuối cùng là mail gắn với tài khoản quản trị. Mỗi chỗ một mật khẩu dài, khác nhau. Dùng trình quản lý mật khẩu cho đỡ nhớ. Xoá hoặc khoá mọi tài khoản quản trị bạn không nhận ra. Nếu web có khoá bí mật (WordPress có bộ khoá riêng nằm trong file cấu hình), hãy tạo bộ khoá mới. Việc này buộc mọi phiên đăng nhập hiện có phải đăng nhập lại, kể cả phiên của kẻ xấu. Nếu có bật đăng nhập hai bước thì giữ, chưa bật thì bật ngay sau khi đổi mật khẩu. ### Từ giờ thứ sáu: khôi phục bản sao lưu sạch Nếu bạn có sao lưu từ trước thời điểm bị xâm nhập, đây là con đường nhanh và chắc nhất. Chọn bản cũ vừa đủ: sau ngày chắc chắn web còn sạch, trước ngày xuất hiện dấu hiệu đầu tiên. Nếu chọn bản quá gần, bạn có thể đang khôi phục luôn cả mã độc. Trước khi ghi đè, hãy giữ lại bản hiện tại (đã bị nhiễm) ở một chỗ riêng, không mở lên chạy. Nó là bằng chứng để tìm nguyên nhân. Rồi khôi phục bản sạch trên web đã được cô lập, kiểm tra kỹ, và chỉ mở lại khi đã vá lỗ hổng. Nếu không có bản sao lưu nào, bạn cần người có chuyên môn dọn mã độc từng file. Việc này tốn thời gian và dễ sót, nên đây cũng là lý do mình viết riêng bài [Sao lưu website đúng cách: quy tắc 3-2-1 và thử khôi phục định kỳ](https://phatdev.net/vi/blog/website-backup-3-2-1). ### Trong cùng ngày: tìm lỗ hổng Khôi phục xong mà chưa biết kẻ xấu vào bằng đường nào thì nhiều khả năng sẽ bị vào lại. Những nguyên nhân thường gặp: plugin hoặc giao diện cũ có lỗ hổng chưa vá, mật khẩu yếu hoặc bị lộ từ nơi khác, máy tính cá nhân bị nhiễm phần mềm đánh cắp mật khẩu, phần mềm cài từ nguồn không chính thống. Cách làm cho người không rành kỹ thuật: cập nhật mọi thứ lên bản mới nhất, gỡ plugin và giao diện không dùng, và chỉ giữ thứ đến từ nguồn chính thức. Xem nhật ký truy cập (log) của máy chủ quanh thời điểm đầu tiên để biết ai làm gì. Nếu bạn có người phụ trách kỹ thuật, nhờ họ làm bước này. Nếu cần rà soát lỗ hổng có hệ thống thì tham khảo [Tự kiểm tra bảo mật website với OWASP Top 10 (2025)](https://phatdev.net/vi/blog/owasp-top10-audit-checklist). ### Báo Google nếu web bị gắn cảnh báo Nếu Google hiện cảnh báo bên cạnh web của bạn, hãy dùng Google Search Console. Mục "Vấn đề bảo mật" (Security issues) cho bạn biết Google thấy vấn đề gì. Sau khi dọn sạch và vá xong, bạn gửi yêu cầu xem xét lại trong chính mục đó. Cảnh báo sẽ được gỡ khi Google kiểm tra và thấy web đã sạch. Việc này cần thời gian, nên bạn đừng chờ đến phút cuối mới gửi. Đừng bấm yêu cầu xem xét khi chưa dọn xong. Bị từ chối nhiều lần chỉ làm mất thêm thời gian. ## Cho bạn nào viết code Một vài kiểm tra nhanh cho web chạy PHP trên Linux, chỉ để quan sát, không sửa gì: ```bash # file mã nguồn bị sửa trong 3 ngày gần đây find /đường/dẫn/web -type f -name '*.php' -mtime -3 -ls # tìm các hàm hay bị mã độc dùng để giấu mã grep -rIl --include='*.php' -E 'eval\(base64_decode|gzinflate\(base64' /đường/dẫn/web ``` Kết quả chỉ là gợi ý, vì có plugin hợp lệ cũng dùng các hàm này. Hãy so với bản gốc từ nguồn chính thức rồi mới kết luận. Với WordPress, lệnh `wp core verify-checksums` so file lõi với bản chuẩn. ## Lỗi hay gặp Kịch bản mình hay thấy nhất: web bị hack, chủ web khôi phục bản sao lưu rất nhanh rồi mừng rỡ mở lại. Vài ngày sau web lại bị chuyển hướng. Plugin cũ vẫn chưa được cập nhật, nên kẻ xấu vào lại bằng đúng cửa cũ. Khôi phục mà không vá thì chỉ là dọn nhà trong khi cửa vẫn mở. Lỗi thứ hai là chỉ đổi mật khẩu quản trị web, quên mật khẩu cơ sở dữ liệu và FTP. Lỗi thứ ba là xoá bản bị nhiễm ngay, mất luôn manh mối. ## Nên làm gì tiếp theo Sau khi mọi thứ ổn, dành một buổi để dựng phần bảo vệ lâu dài: bật cập nhật tự động cho phần vá lỗi, bật đăng nhập hai bước, giới hạn quyền cho từng tài khoản, và thiết lập sao lưu tự động. Nếu bạn muốn có người rà soát và gia cố giúp, bạn cứ liên hệ mình, mình sẽ xem tình trạng web của bạn trước rồi mới nói nên làm gì. ## Nguồn tham khảo - [WordPress.org - FAQ: My site was hacked](https://wordpress.org/documentation/article/faq-my-site-was-hacked/) - [WordPress.org - Hardening WordPress](https://wordpress.org/documentation/article/hardening-wordpress/) - [Google Search Console Help - Security issues report](https://support.google.com/webmasters/answer/9044101) - [WP-CLI - wp core verify-checksums](https://developer.wordpress.org/cli/commands/core/verify-checksums/) - [WordPress.org - Security](https://wordpress.org/about/security/) ## Bài liên quan - [Tự kiểm tra bảo mật website với OWASP Top 10 (2025)](https://phatdev.net/vi/blog/owasp-top10-audit-checklist.md) - [Làm website chạy Nginx an toàn hơn, từng bước](https://phatdev.net/vi/blog/nginx-web-hardening.md) - [Sao lưu website đúng cách: quy tắc 3-2-1 và thử khôi phục định kỳ](https://phatdev.net/vi/blog/website-backup-3-2-1.md)