Восстановление сайта после взлома - вопрос не "если", а "когда". По нашим инцидентам за 2024-2025 годы каждый седьмой проект малого бизнеса в СПб хотя бы раз подвергался успешной атаке. Цена решения зависит от скорости реакции: восстановление за 24 часа с нуля - 30-60 тысяч, через неделю с потерей позиций в Яндексе - 250-500 тысяч плюс полгода на возврат трафика.
План составлен по 200+ инцидентам, которые разбирала студия Сайты2.рф из Кронштадта (СПб) с 2008 года. NPS 9,2 на технической поддержке - результат слаженной работы команды в кризисных ситуациях. Внутри: признаки взлома, 9 шагов восстановления, типичные ошибки владельцев сайтов, как мы помогаем клиентам в Санкт-Петербурге, Гатчине, Выборге, Всеволожске.
Признаки взлома сайта
Чем раньше обнаружили проблему, тем дешевле решение. Шесть индикаторов компрометации - проверять при любом подозрении на инцидент.
1. Редирект на чужие домены. Открываете сайт - перебрасывает на казино, фарма-магазин, сайт знакомств. Часто редирект срабатывает только при определённом User-Agent (для пользователей Яндекса, не для админа). Проверить через сторонний сервис: web-sniffer.net, redirect-checker.org.
2. Спам в выдаче Яндекса и Google. В поиске по бренду появляются страницы вида /cheap-viagra/, /casino-online/, /loans/. Это так называемый "японский кейворд-спам": атакующий заливает сотни мусорных страниц для продвижения сторонних доменов через ваш авторитет.
3. Страницы-фишинги. В корне или поддиректориях появились файлы вроде bank-login.html, paypal-secure.php. Сайт стал хостингом для фишинга чужих банков. Если Яндекс или Google заметит - санкции на весь домен, удаление из выдачи.
4. Аномальная нагрузка на сервер. Хостер шлёт уведомления о превышении лимитов CPU, памяти, трафика. Скрипты майнят криптовалюту, рассылают спам или участвуют в DDoS как часть ботнета. Бэкенд работает на 100% даже ночью при нулевой посещаемости.
5. Письма от хостера и Яндекс.Вебмастера. "На вашем сайте обнаружено вредоносное ПО". Хостер блокирует сайт автоматически, Вебмастер выдаёт предупреждение в выдаче типа "Сайт может угрожать безопасности". Минус 80-95% трафика за сутки.
6. Жалобы клиентов и партнёров. Пишут в почту и Telegram: "у вас на сайте странная реклама", "не могу зайти", "пришло письмо с вашего адреса со ссылкой на казино". Жалоба от внешнего пользователя - сигнал к немедленной проверке.
Дополнительная диагностика - через бесплатный инструмент аудита сайта или проверку скорости. Аномальный отклик сервера - косвенный признак заражения.
9 шагов восстановления
Восстановление сайта после взлома идёт строго по порядку. Пропуск шагов = повторный взлом через 7-14 дней. Используем этот регламент на проектах поддержки и на одноразовых обращениях.
Шаг 1. Изоляция: перевод сайта в офлайн
Первое действие - закрыть сайт от посетителей. Поднять страницу-заглушку "Технические работы" через .htaccess или nginx-конфиг. Если сайт активно вредит пользователям (фишинг, малварь) - полная блокировка по IP допуска. Цель - остановить распространение и зафиксировать состояние "как было" для расследования.
Параллельно - закрыть административный доступ всем сотрудникам. Использовать сайт нельзя до окончания восстановления.
Шаг 2. Инвентаризация ущерба
Снять полный слепок: файловая система, дамп базы данных, логи nginx/Apache, логи CMS, логи доступа в админку. Эти данные нужны для расследования и возможной передачи в МВД (если установлен злоумышленник).
Параллельно - проверить: украдены ли ПДн (база клиентов, заказы), есть ли несанкционированный исходящий трафик, изменены ли учётные данные. Если утекли ПДн - в течение 24 часов уведомить РКН по 152-ФЗ. Молчание = штраф до 3 миллионов рублей.
Шаг 3. Чистка от вредоносного кода
Два подхода: ручная чистка опытным специалистом или развёртывание из чистого бэкапа. Ручная чистка дольше (1-3 дня), но сохраняет последние изменения контента. Бэкап быстрее (2-4 часа), но теряются все правки с момента последней копии.
Чистка вручную включает: сканирование файлов на сигнатуры малвари (ClamAV, ai-bolit, Maldet), сравнение с эталонными хэшами CMS, удаление подозрительных файлов (.htaccess в нестандартных директориях, php-файлы в /wp-content/uploads/, веб-шеллы наподобие xmrlpc.php, wp-config.bak).
Шаг 4. Восстановление из бэкапа
Если ручная чистка не даёт уверенности - разворачиваем последний "чистый" бэкап (до даты компрометации). Определить дату удара помогают логи: первое обращение к подозрительному URL, первая модификация системного файла, первый исходящий запрос на C&C-сервер.
Регулярные бэкапы по правилу 3-2-1 - страховка от таких инцидентов. Подробнее в материале бэкап сайта. У клиентов на нашей поддержке - ежедневные копии с хранением 30 дней.
Шаг 5. Смена паролей и ключей
Полная ротация всех учётных данных: админка CMS, FTP/SFTP, SSH, панель хостинга, база данных, API-ключи (платёжки, рассылки, аналитика), пароли почтовых ящиков, привязанных к домену. Любой непросмотренный пароль = повторный взлом.
Дополнительно: отозвать все активные сессии в CMS, перевыпустить SSL-сертификат, поменять секретные ключи в wp-config.php или bitrix/.settings.php, проверить список администраторов и удалить незнакомых пользователей.
Шаг 6. Обновление CMS, плагинов, ядра
Поднять CMS до актуальной версии, обновить все плагины и темы. Удалить плагины, которые не обновлялись 2+ года или прекратили поддержку. Если взлом шёл через известную CVE-уязвимость - заменить уязвимый компонент на безопасный аналог. Подробнее в гайде обновление CMS без падения.
Параллельно - закрыть точки входа: ограничить доступ к /wp-admin/, /bitrix/admin/ по IP, включить 2FA, поставить лимит на попытки входа.
Шаг 7. Проверка антивирусным сканером
После восстановления и чистки - финальный аудит: повторный скан ClamAV + ai-bolit + сервис Sucuri SiteCheck. Дополнительно - проверка в Яндекс.Вебмастере и Google Search Console на статус "сайт безопасен". Если флаги остались - искать пропущенный бэкдор.
Параллельно настраиваем мониторинг изменений файлов: алерт на любую модификацию системных файлов CMS вне планового обновления. Страховка на следующие 2-4 недели, пока не появятся новые признаки компрометации.
Шаг 8. Восстановление позиций в Яндексе
После восстановления сайта - подача заявки в Яндекс.Вебмастер на пересмотр санкций. В заявке: описание инцидента, что сделано, скрины проверки антивирусом. Срок пересмотра - 7-30 дней. Параллельно - подача запроса на повторное индексирование, удаление мусорных страниц через инструмент "Удаление URL".
В Google Search Console - аналогичная процедура: "Security Issues" → "Request Review". Если сайт был в выдаче 12+ месяцев до взлома - позиции возвращаются за 2-6 недель. Если был молодой - до 6 месяцев. Тонкости - в материалах технический SEO-аудит и региональное SEO в СПб.
Шаг 9. Профилактика и план реагирования
После восстановления - обязательный аудит безопасности по 14 пунктам из материала защита сайта от взлома. Внедрить недостающие меры: WAF, 2FA, регламент бэкапов, мониторинг 24/7. Один раз пропустили - второй раз должна сработать защита.
Документировать инцидент: дата, способ проникновения, ущерб, время восстановления, выводы. Через 3-6 месяцев - повторный пентест: проверить, что аналогичные дыры закрыты.
Типичные ошибки владельцев
Семь самых частых ошибок, которые превращают инцидент в катастрофу. По нашей статистике повторных обращений за 2024-2025 годы.
1. Удалить вредоносные файлы и продолжить работу. Без поиска точки входа атакующий вернётся через ту же дыру за 3-7 дней. Чистка без анализа причины - симптоматическое лечение.
2. Не делать бэкап до восстановления. Часто перед чисткой не снимают слепок текущего состояния. Если что-то пойдёт не так - откатывать некуда. Дамп всегда перед любыми действиями.
3. Не сменить пароли хостинга и почты. Чаще всего меняют только пароль CMS. Атакующий мог украсть учётку панели хостинга или почты - и через неделю снова получит доступ к серверу.
4. Игнорировать уведомление РКН. При утечке ПДн 24 часа на уведомление - это не рекомендация, а норма закона. Молчание = штраф минимум 1 миллион рублей по части 4 ст. 13.11 КоАП РФ.
5. Спешка с возвращением сайта в онлайн. Запустили после поверхностной чистки - через час получили блокировку от хостера, потому что атакующий ещё внутри. Сайт держим в офлайне до подтверждения от двух независимых антивирусов.
6. Использовать тот же хостинг и инфраструктуру. Если взлом шёл через уязвимость хостинга (общий IP с другими сайтами, незакрытые порты) - надо мигрировать. Удобный мостик - перенос сайта на другой хостинг на проверенного провайдера в РФ.
7. Не уведомить клиентов. Если утекли ПДн - закон обязывает уведомить субъектов. Если рассылка от вашего имени попала к подписчикам - честно написать о взломе. Молчание ломает репутацию сильнее самого инцидента.
Как мы помогаем клиентам
Студия Сайты2.рф предлагает три формата работы по восстановлению сайта после взлома. Все три - с фиксированным результатом и гарантией повторного аудита через 30 дней.
1. Экспресс-помощь (24-48 часов): изоляция + чистка от вирусов + базовый аудит. Подходит, если нужно срочно вернуть сайт в онлайн. Стоимость 25 000-45 000 ₽.
2. Полное восстановление (5-10 дней): все 9 шагов + смена хостинга + аудит безопасности + 30 дней наблюдения. Подходит для коммерческих сайтов с риском санкций РКН и Яндекса. Стоимость 60 000-150 000 ₽.
3. Подключение к поддержке: разовое восстановление + перевод на техническую поддержку с защитой по 14 правилам. Минимизирует риски на дистанции 12+ месяцев. От 6 000 ₽/мес после восстановления.
За 11 лет работы (с 2008 года) у клиентов на расширенной поддержке - средний рост заявок x2,4 и CR 4,8% без потерь от инцидентов. 92% повторных обращений - продление контракта именно после первой удачной чистки.
FAQ
Сколько времени занимает восстановление сайта после взлома?
В среднем 1-3 рабочих дня для простого корпоративного сайта, 5-10 дней для интернет-магазина с базой клиентов, 2-3 недели для крупного портала с миллионом страниц. Скорость зависит от глубины компрометации и наличия чистых бэкапов.
Можно ли восстановить сайт самому без специалистов?
Если есть навыки администрирования Linux, опыт работы с CMS, понимание сигнатур малвари - да. Для большинства владельцев бизнеса это сложно: одна пропущенная директория с веб-шеллом обнуляет работу. Стоимость самостоятельной попытки часто выше стоимости подрядчика.
Что делать, если у меня нет бэкапа?
Возможно ручное восстановление через сканирование файлов и сравнение с эталонной CMS. Дольше и дороже (от 50 000 ₽), результат не гарантирован на 100%. После восстановления первое действие - настройка автоматических бэкапов по правилу 3-2-1.
Вернутся ли позиции в Яндексе после взлома?
Если санкции наложены не дольше 30 дней - возвращаются на 80-95% за 2-6 недель после подачи заявки на пересмотр. Если сайт был под санкциями 3+ месяца - часть запросов теряется навсегда, нужен повторный SEO-аудит и продвижение.
Обязательно ли менять CMS после взлома?
Нет, если CMS актуальной версии. Менять стоит, если использовали устаревшую неподдерживаемую систему (старый Joomla, кастомный движок). Тогда параллельно с восстановлением - миграция на современную CMS. Варианты в материале open source CMS 2026.
Может ли хостер помочь с восстановлением?
Базовая помощь есть у всех российских хостеров: восстановление из их бэкапа, базовая антивирусная чистка. Глубокое восстановление с поиском точки входа - чаще нет, или за отдельную плату. Лучше работать со специализированной студией.
Как защитить сайт после восстановления?
Внедрить все 14 правил из материала защита сайта от взлома. Подключить SSL, WAF, 2FA, регулярные бэкапы, мониторинг 24/7, ограничение прав доступа. Один аудит безопасности раз в полгода экономит десятки часов восстановления.
Что в итоге
Восстановление сайта после взлома идёт по 9 шагам: изоляция, инвентаризация, чистка кода, бэкап, смена паролей, обновление CMS, антивирус, возврат позиций в Яндексе, профилактика. Пропуск шагов - повторный инцидент через 1-2 недели. Скорость реакции определяет цену: 24 часа = 30-60 тысяч, неделя - до полумиллиона рублей с учётом потери позиций.
Студия Сайты2.рф из Кронштадта (СПб) с 2008 года помогает клиентам по экстренному восстановлению сайтов. 550+ проектов, NPS 9,2, средний рост заявок x2,4. Работаем по Санкт-Петербургу и Ленинградской области: Гатчина, Выборг, Сосновый Бор, Всеволожск, Тосно, Кировск, Луга, Тихвин, Колпино, Пушкин. Звоните +7 (812) 942-47-44, пишите в Telegram @t9424744, MAX @sites2rf или на 9424744@gmail.com. Адрес: Кронштадт, ул. Карла Либкнехта 15б/6. Рассчитаем стоимость восстановления и аудита за 1 рабочий день.
