Web Siteniz Hacklendi mi? İlk 24 Saatte Yapılması Gerekenler

Bir sabah müşteriniz arıyor: "Sitenize girdim, bambaşka bir sayfaya yönlendirdi." Ya da Google arama sonuçlarında sitenizin altında "Bu site saldırıya uğramış olabilir" uyarısı beliriyor. Belki de hosting firmanızdan hesabınızın zararlı yazılım nedeniyle askıya alındığını bildiren bir e-posta geliyor. Web sitesi hacklendi dediğimiz durum, çoğu işletme için hem teknik hem de itibar açısından stresli bir andır. İlk refleks genellikle panikle her şeyi silmek ya da yedekten geri yüklemektir; ama yanlış sırayla yapılan bir müdahale, saldırganın birkaç gün sonra geri dönmesine yol açabilir.

Bu rehberde hacklenmenin belirtilerini, ilk 24 saatte yapılması gerekenleri sırasıyla ve tekrar yaşanmaması için alınacak önlemleri anlatıyoruz. Anlattıklarımızın önemli bir kısmı, kendi yönettiğimiz sunucularda yaşadığımız ve temizlediğimiz gerçek olaylardan çıkan derslere dayanıyor.

Siteniz Hacklendi mi? Belirtiler

Her saldırı kendini açıkça göstermez. Bazı saldırganlar özellikle fark edilmemeye çalışır, çünkü sitenizi uzun süre spam göndermek, başka sitelere saldırmak ya da ziyaretçileri dolandırıcılık sayfalarına yönlendirmek için kullanmak ister. Şu belirtilere dikkat edin:

• Ziyaretçilerin (özellikle mobilden ya da Google'dan gelenlerin) alakasız sitelere yönlendirilmesi
• Google arama sonuçlarında sitenize ait olmayan, yabancı dilde ya da ilaç, kumar gibi konularda sayfalar görünmesi
• Tarayıcı ya da Google'dan "güvenli olmayan site" uyarısı
• Yönetim panelinde tanımadığınız kullanıcı hesapları
• Sunucuda tanımadığınız dosyalar, özellikle rastgele isimli PHP dosyaları
• Sitenin belirgin şekilde yavaşlaması ya da sunucu kaynaklarının sebepsiz yere dolması
• Alan adınızdan gönderildiği görünen spam e-postalar ya da e-postalarınızın aniden spam'e düşmeye başlaması
• Hosting firmanızdan gelen kötüye kullanım ya da zararlı yazılım bildirimleri

Bu belirtilerden biri bile varsa, durumu ciddiye alın ve aşağıdaki adımlara geçin.

İlk Saat: Paniği Durdurun, Hasarı Sınırlayın

İlk saatin amacı her şeyi çözmek değil, durumun kötüleşmesini durdurmaktır.

1. Hiçbir şeyi silmeyin. Şüpheli dosyaları hemen silmek içgüdüsel bir tepkidir, ama bu dosyalar saldırının nasıl gerçekleştiğini anlamanızı sağlayacak kanıtlardır. Önce kayıt altına alın.
2. Mevcut durumun bir kopyasını alın. Hacklenmiş hâliyle bile olsa site dosyalarının ve veritabanının bir kopyasını ayrı bir yere alın. Bu kopya, incelemede ve gerekirse yasal süreçte işinize yarar.
3. Gerekirse siteyi bakım moduna alın. Ziyaretçileriniz zararlı sayfalara yönlendiriliyorsa ya da ödeme bilgileri risk altındaysa, siteyi geçici olarak kapatmak itibarınızı korur.
4. Ekibinizi ve sağlayıcılarınızı bilgilendirin. Hosting firmanıza, varsa web ajansınıza ve IT sorumlunuza haber verin. Kimin neye dokunduğunu bilmek, karışıklığı önler.

İlk 24 Saatte Yapılması Gerekenler

İlk saatten sonra sistematik bir temizlik ve güvenlik süreci başlar. Aşağıdaki kontrol listesini sırasıyla uygulayın:

• Tüm şifreleri değiştirin: hosting paneli, FTP/SFTP, veritabanı, site yönetim paneli, alan adı hesabı ve e-posta hesapları. Şifre değişikliğini temiz olduğundan emin olduğunuz bir cihazdan yapın.
• İki adımlı doğrulamayı açın: özellikle hosting paneli, alan adı hesabı ve yönetim paneli için.
• Kullanıcı hesaplarını gözden geçirin: tanımadığınız ya da artık kullanılmayan yönetici hesaplarını kaldırın.
• Zamanlanmış görevleri kontrol edin: sunucuda ya da hosting panelinde tanımadığınız cron görevleri var mı?
• Son değişen dosyaları inceleyin: son günlerde değiştirilmiş dosyaları listeleyip şüpheli olanları belirleyin.
• Erişim loglarını saklayın ve inceleyin: saldırganın hangi sayfadan, hangi açıktan girdiğine dair ipuçları burada olabilir.
• Temiz bir yedeğin olup olmadığını kontrol edin: saldırıdan önceki bir tarihe ait, sunucu dışında tutulan bir yedek var mı?
• Google Search Console'u kontrol edin: güvenlik sorunları bölümünde uyarı var mı, sitenize ait olmayan sayfalar dizine eklenmiş mi?
• Kişisel veri etkilenmiş olabilir mi değerlendirin: müşteri bilgileri, form kayıtları ya da üyelik verileri erişilmiş olabilir mi?

Son madde özellikle önemlidir. Kişisel veriler etkilenmişse, KVKK kapsamında bildirim yükümlülükleriniz doğabilir. Bu yükümlülüklerin kapsamı ve süreleri hakkında mutlaka bir hukukçuya danışın. Teknik tedbirler konusunda genel bir çerçeve için KVKK teknik tedbirler rehberimize göz atabilirsiniz.

Temizlikte Sıra Neden Önemli?

Hacklenmiş bir siteyi temizlerken en sık yapılan hata, görünen zararlı dosyayı silip işin bittiğini sanmaktır. Deneyimli saldırganlar tek bir kapıdan girip çıkmaz; arkalarında kendilerini yeniden kuran mekanizmalar bırakırlar.

Kendi deneyimimizden: Beş ayrı kalıcılık mekanizması

Yönettiğimiz sunuculardan birinde yaşadığımız bir olayda saldırgan, sistemde kalmak için tek bir yönteme güvenmemişti. Zamanlanmış görevler (cron), kendini "System Health Check" gibi masum görünen bir isimle gizleyen sahte bir sistem servisi ve sunucu her açıldığında çalışan bir komut dahil olmak üzere, toplam beş ayrı kalıcılık mekanizması kurmuştu. Bunlardan birini temizleseniz diğeri onu geri getiriyordu.

Bu yüzden temizliği belirli bir sırayla yaptık:

1. Önce yeniden kurulum mekanizmalarını devre dışı bıraktık: zamanlanmış görevler, sahte servisler ve açılışta çalışan komutlar.
2. Ardından zararlı dosyaları ve arka kapıları temizledik.
3. En son saldırganın kullandığı kullanıcı hesabını kaldırdık.

Sırayı tersine çevirseydik, yani önce hesabı silip dosyaları temizleseydik, arkada kalan zamanlanmış görevler birkaç dakika içinde her şeyi yeniden kurabilirdi.

Başka bir olayda ise bir hosting hesabında zararlı yazılım tespit ettik ve temizledik. Her iki olayın ortak dersi şuydu: Temizlik yalnızca görünen dosyaları silmek değil, saldırganın geri dönüş yollarını tek tek kapatmaktır.

Yedekten geri yüklemek yeterli mi?

Temiz bir yedekten geri dönmek çoğu zaman en hızlı yoldur, ama tek başına yeterli değildir. Saldırgan bir açık üzerinden girdiyse ve o açık kapatılmadıysa, aynı açıktan tekrar girer. Ayrıca yedeğin gerçekten temiz olduğundan emin olmanız gerekir; bazı saldırılar aylarca fark edilmeden kalır ve son yedekler de enfekte olabilir. Yedekten geri döndükten sonra mutlaka yazılımları güncelleyin, şifreleri değiştirin ve giriş noktasını bulmaya çalışın.

Kanıtı Kaybetmeyin: Loglar ve Uyarılar

Bir saldırıyı anlamanın en önemli kaynağı sistem kayıtlarıdır (loglar). Aynı olayda karşılaştığımız bir sorun, sunucunun sistem loglarını kalıcı diskte değil RAM'de tuttuğu için yeniden başlatmalarda kanıtın bir kısmının kaybolmuş olmasıydı. Saldırganın ilk ne zaman ve nasıl girdiğini tam olarak yeniden kuramadık.

Bu olaydan sonra şu önlemleri aldık:

• Logları kalıcı hale getirdik, böylece yeniden başlatmalarda kayıtlar silinmiyor.
• Kritik dosya ve klasörlerdeki değişiklikleri izleyen denetim kuralları kurduk; önemli bir sistem dosyası değiştiğinde kayıt düşüyor.
• Saatlik çalışan bir nöbetçi script kurduk; şüpheli servis, zamanlanmış görev ya da kullanıcı eklendiğinde uyarı veriyor.

Ama belki de en öğretici ders şuydu: Sunucu aslında bazı şüpheli durumlar için uyarı e-postaları gönderiyordu, ancak bu e-postalar spam klasörüne düştüğü için kimse görmemişti. Uyarı sisteminiz ne kadar iyi olursa olsun, uyarıların doğru kişiye ve gelen kutusuna ulaştığını düzenli olarak test etmezseniz işe yaramaz. Uyarı e-postalarının gönderildiği adresin SPF, DKIM ve DMARC kayıtlarının doğru kurulu olması bu yüzden yalnızca pazarlama e-postaları için değil, güvenlik için de önemlidir.

Tekrar Yaşanmaması İçin Alınacak Önlemler

Temizlik bittikten sonra asıl soru şudur: Bir daha nasıl önleriz? Aşağıdaki tablo, kendi sunucularımızda uyguladığımız sertleştirme adımlarını ve bunların ne işe yaradığını özetliyor:

Önlem	Ne İşe Yarar?
Yazılım, tema ve eklentileri güncel tutmak	Bilinen açıkların kapatılmasını sağlar
Panellerde SSL zorunluluğu	Şifrelerin ağ üzerinde açık metin olarak gitmesini engeller
Şifresiz (cleartext) e-posta girişini kapatmak	E-posta şifrelerinin ele geçirilme riskini azaltır
Uygulama portlarını dışarıya kapatmak	Yalnızca gerekli hizmetlerin internete açık olmasını sağlar
Kaba kuvvet (brute-force) korumasını sıkılaştırmak	Şifre deneme saldırılarını engeller
Yönetim erişimini VPN üzerinden vermek	Yönetim panellerini herkese açık olmaktan çıkarır
Sunucu dışında, test edilmiş yedek	Saldırı ya da arıza durumunda geri dönüşü garanti eder
Kalıcı loglar ve uyarı sistemi	Saldırıyı erken fark etmeyi ve sonradan incelemeyi sağlar

Bunlara ek olarak, gereksiz eklenti ve modülleri kaldırmak saldırı yüzeyini küçültür. Sunucu tarafında çalışan kod ve veritabanı barındırmayan statik yapılarda, saldırganın hedef alabileceği yüzey de belirgin biçimde küçülür. İçeriği sık değişmeyen kurumsal siteler için bu yaklaşım değerlendirilmeye değer.

Sık Sorulan Sorular

Web sitesi hacklendi, hemen yedekten geri yüklemeli miyim? Önce mevcut durumun bir kopyasını alın ve şifreleri değiştirin. Yedekten geri dönmek iyi bir adımdır, ama giriş noktası kapatılmazsa saldırgan aynı yoldan tekrar girer. Yedeğin saldırıdan önceye ait ve temiz olduğundan emin olun.

Google'daki "bu site saldırıya uğramış olabilir" uyarısı nasıl kalkar? Siteyi tamamen temizledikten sonra Google Search Console üzerinden inceleme talebinde bulunabilirsiniz. Google siteyi yeniden kontrol eder ve sorun giderildiyse uyarıyı kaldırır.

Hosting firmam temizliği yapmaz mı? Bazı hosting firmaları tarama yapar ve zararlı dosyaları bildirir; ama sitenizin kendi kodundaki açıkları kapatmak, şifreleri yönetmek ve saldırganın kalıcılık mekanizmalarını temizlemek genellikle sizin ya da teknik ekibinizin sorumluluğundadır.

Küçük bir siteyi neden hacklesinler? Saldırıların çoğu hedefli değil, otomatiktir. Botlar internetteki siteleri bilinen açıklar için tarar; sitenizin büyüklüğü değil, güncellenmemiş bir eklenti ya da zayıf bir şifre belirleyicidir. Ele geçirilen siteler spam, yönlendirme ya da başka saldırılar için kullanılır.

Sonuç

Web sitesi hacklendi diye fark ettiğiniz an, sakin kalmanın ve doğru sırayla hareket etmenin en önemli olduğu andır. Önce kanıtı koruyun ve hasarı sınırlayın, ardından şifreleri değiştirip kalıcılık mekanizmalarını kapatın, en son temizliği tamamlayıp giriş noktasını bulun. Ardından güncellemeler, sunucu dışında test edilmiş yedekler, kalıcı loglar ve gerçekten ulaşan uyarılarla tekrarını önleyin. Kendi müdahalelerimizden çıkardığımız en net ders şu oldu: Saldırgan çoğu zaman tek bir kapı bırakmaz ve uyarılar okunmuyorsa hiç yok sayılır.

Sitenizin ya da sunucunuzun güvenlik durumunu değerlendirmek, temizlik ve sertleştirme süreçlerinde destek almak için IT çözümleri hizmetimizi inceleyebilir, acil bir durum için doğrudan bize ulaşabilirsiniz.