Web Siteniz Hacklendiyse: İlk 24 Saatte Yapılacaklar

Sabah bir müşteriniz arıyor: "Sitenize girince başka bir siteye yönlendiriliyorum." Ya da Google'da markanızı aratınca sonuçlarda Japonca ürün başlıkları, tarayıcıda kırmızı bir "Tehlikeli site" uyarısı görüyorsunuz. Böyle bir anda en büyük hata, panikle dosyaları silmeye ya da her şeyi baştan kurmaya girişmektir. Doğru sıra şudur: önce zararı durdurun (izolasyon), sonra erişimleri geri alın (şifreler), ardından ne olduğunu anlayın (tespit), temizleyin ya da temiz yedekten dönün ve en son Google'dan inceleme isteyin. Aşağıdaki kontrol listesini saat dilimlerine göre grupladık; her maddede neden önemli olduğunu da kısaca açıkladık.

Belirtiler: Gerçekten Hacklendiniz mi?

Bazı saldırılar bariz, bazıları ise yalnızca belirli koşullarda görünür. Saldırganlar sıklıkla site sahibinden saklanmak için zararlı içeriği yalnızca mobil cihazlardan, yalnızca Google'dan gelen ziyaretçilere ya da yalnızca oturum açmamış kullanıcılara gösterir. Bu nedenle "bende normal görünüyor" demek yeterli değildir.

• Beklenmedik yönlendirmeler: Ziyaretçiler kumar, ilaç ya da sahte ödül sitelerine gönderiliyor; özellikle telefondan girildiğinde.
• Arama sonuçlarında yabancı içerik: site:ornekfirma.com.tr aramasında tanımadığınız sayfalar, yabancı dilde ürün başlıkları.
• Tarayıcı ya da Google uyarısı: "Bu site saldırıya uğramış olabilir" etiketi veya tam sayfa kırmızı uyarı.
• Search Console bildirimleri: Güvenlik sorunları raporunda kayıt, e-posta ile gelen uyarı ya da sizin eklemediğiniz yeni mülk sahipleri.
• Hosting firmasından uyarı: Spam gönderimi, aşırı kaynak kullanımı ya da zararlı dosya tespiti nedeniyle hesabın askıya alınması.
• Yönetim panelinde tuhaflıklar: Tanımadığınız yönetici hesapları, kendiliğinden kurulmuş eklentiler, değişmiş e-posta ayarları.

Bu belirtilerden biri bile varsa, aşağıdaki listeyi baştan uygulamaya başlayın.

İlk 1 Saat: Zararı Durdurun ve Kanıtı Koruyun

• Siteyi karantinaya alın. Bakım moduna geçirin ya da sunucu düzeyinde erişimi yalnızca kendi IP adresinize açın. Amaç, ziyaretçilerin zararlı yazılıma maruz kalmasını ve saldırganın çalışmaya devam etmesini engellemek. Cloudflare gibi bir ara katman kullanıyorsanız geçici bir erişim kuralı en hızlı yöntemdir.
• Hosting firmasına haber verin. Paylaşımlı hosting'deyseniz sağlayıcı aynı sunucudaki diğer hesapları da korumak zorundadır. Erişim kayıtlarını (access log, error log) ve varsa sunucu tarafı tarama sonuçlarını isteyin; bazı sağlayıcılar günlükleri yalnızca kısa bir süre tutar.
• Hiçbir şeyi silmeden önce kopya alın. Dosyaların ve veritabanının o anki hâlinin tam bir kopyasını alıp sunucu dışına kaydedin. Bu kopya enfekte olduğu için asla geri yükleme amaçlı kullanılmaz; saldırının nasıl gerçekleştiğini anlamak için gereklidir.
• Günlükleri güvenceye alın. Web sunucusu, panel ve CMS günlükleri saldırının giriş noktasını gösteren en değerli kanıttır. Rotasyonla silinmeden önce indirin.
• Bir sorumlu ve iletişim kanalı belirleyin. Kim kararı veriyor, kim teknik işi yapıyor, müşteri soruları kime yönlendiriliyor? Herkesin aynı anda panele girip değişiklik yapması, iz sürmeyi imkânsız hâle getirir.

1–4 Saat: Tüm Erişimleri Geri Alın

Şifreleri, temiz olduğundan emin olduğunuz bir cihazdan değiştirin. Saldırı bir çalışanın bilgisayarındaki zararlı yazılım üzerinden yapıldıysa, aynı bilgisayardan girilen yeni şifreler de çalınır.

• Hosting kontrol paneli ve SSH/SFTP: Panel şifresi, FTP hesapları ve SSH anahtarları. Kullanılmayan FTP hesaplarını tamamen silin; düz FTP yerine SFTP kullanın.
• Veritabanı kullanıcısı: Şifreyi değiştirip uygulamanın yapılandırma dosyasında güncelleyin.
• CMS yönetici hesapları: Tüm yönetici ve editör şifreleri. Tanımadığınız kullanıcıları silmeden önce not alın; oluşturulma tarihleri saldırı zaman çizelgesi için ipucudur.
• Oturumları sonlandırın: Şifre değiştirmek, açık oturumları her zaman kapatmaz. WordPress'te wp-config.php içindeki güvenlik anahtarlarını (salt) yenilemek tüm oturumları geçersiz kılar.
• Alan adı ve DNS hesapları: Kayıt firması ve DNS sağlayıcısı hesabı ele geçirilmişse saldırgan siteyi ve e-postayı tamamen başka yere yönlendirebilir.
• E-posta ve bağlantılı servisler: Yönetici e-posta hesabı, ödeme altyapısı paneli, API anahtarları, SMTP şifreleri ve üçüncü taraf entegrasyon jetonları.
• İki adımlı doğrulamayı açın: Destekleyen her hesapta. Saldırganın elindeki şifre listesi, ikinci adım olmadan tekrar kullanılabilir.

4–12 Saat: Zararlı Dosyaları ve Giriş Noktasını Bulun

Temizliğin kalıcı olması için iki soruya cevap vermeniz gerekir: Saldırgan neleri değiştirdi ve içeri nereden girdi? İkinci sorunun cevabını bulmadan yapılan temizlik, birkaç gün içinde aynı saldırının tekrarlanmasıyla sonuçlanır.

• Son değişen dosyalar: SSH erişiminiz varsa find . -type f -mtime -10 komutu son 10 günde değişen dosyaları listeler. Çekirdek CMS dosyalarının değişmiş olması güçlü bir işarettir.
• Yükleme klasöründe çalıştırılabilir dosya: Görsellerin bulunduğu klasörde (wp-content/uploads ya da benzeri) .php dosyası olmamalı. Varsa büyük olasılıkla arka kapıdır.
• Şüpheli kod kalıpları: eval(, base64_decode(, gzinflate(, str_rot13( gibi fonksiyonların uzun, okunmaz metinlerle birlikte kullanıldığı satırlar. Bu fonksiyonlar meşru kodda da geçebilir; bağlamına bakın.
• Yönlendirme kuralları: .htaccess ya da Nginx yapılandırmasında, yalnızca belirli tarayıcı veya yönlendiren adreslere göre çalışan kurallar.
• Zamanlanmış görevler: Sunucudaki cron görevleri ve CMS'in kendi zamanlayıcısı. Silinen zararlı dosyayı her gece yeniden indiren bir görev sık görülür.
• Veritabanı enjeksiyonları: Sayfa ve yazı içeriklerinde <script> etiketleri, site adresi ayarlarının değişmiş olması, gizlenmiş spam bağlantıları.
• Spam sayfaları ve site haritası: Saldırganın eklediği binlerce sayfa ve bunları Google'a bildiren sahte site haritaları.
• Search Console kullanıcıları: Ayarlar altındaki kullanıcılar ve izinler bölümünde tanımadığınız doğrulanmış sahip varsa kaldırın ve doğrulama dosyasını ya da kaydını da silin.
• Giriş noktası adayları: Güncellenmemiş eklenti ya da tema, lisanssız ("nulled") tema, zayıf yönetici şifresi, eski bir test kurulumu, sızdırılmış FTP şifresi. Erişim günlüklerinde ilk şüpheli isteğin tarihine ve hedeflediği dosyaya bakın.

Google, zararlı yazılım ve istenmeyen yazılım türlerini Search Central dokümantasyonunda ayrıca açıklıyor; hangi tür saldırıyla karşı karşıya olduğunuzu anlamak temizlik yöntemini de belirler.

12–24 Saat: Temizleyin ya da Temiz Yedekten Dönün

• Enfeksiyon tarihini belirleyin. Günlükler ve dosya değişiklik tarihleri ilk müdahalenin ne zaman yapıldığını gösterir. Geri döneceğiniz yedek bu tarihten önceye ait olmalı.
• Yedeğin gerçekten temiz olduğunu kontrol edin. Saldırganlar çoğu zaman haftalarca sessiz bekler. "En son yedek" enfekte olabilir; yukarıdaki kalıplarla yedeği de tarayın.
• Kodu güvenilir kaynaktan yeniden kurun. CMS çekirdeğini, eklentileri ve temaları resmi kaynaklarından taze indirin. Yalnızca içerik (veritabanı ve yüklenen görseller) yedekten alınmalı, kod dosyaları değil.
• Açığı kapatmadan yayına almayın. Güncellemeleri yapın, kullanılmayan eklenti ve temaları silin, lisanssız bileşenleri kaldırın, dosya izinlerini düzeltin. Açık kapanmadan geri yüklenen site, aynı yoldan yeniden ele geçirilir.
• Yedek yoksa elle temizlik. Bu durumda değişmiş her dosya tek tek temiz sürümle karşılaştırılmalı, veritabanı taranmalı ve arka kapılar bulunmalıdır. Kapsamlı ve hata payı yüksek bir iştir; yeniden enfeksiyon riskine karşı profesyonel destek düşünün.
• Yeniden test edin. Siteyi farklı cihazlardan, oturum açmadan ve Google araması üzerinden ziyaret edin. Search Console'daki URL denetimi aracı, sayfanın Google'a nasıl göründüğünü gösterir.

Google'dan İnceleme İsteyin

• Güvenlik sorunları raporunu açın. Search Console'daki bu rapor; saldırıya uğramış içerik, zararlı yazılım ve sosyal mühendislik başlıklarında Google'ın tespit ettiği sorunları listeler. Raporun kullanımını Search Console rehberimizde ayrıntılı anlattık.
• Sorunu sitenin tamamında düzeltin. Google'ın yardım sayfası, yalnızca örnek gösterilen sayfaların değil, tüm sitenin temizlenmesi gerektiğini vurguluyor.
• İnceleme isteğinde ayrıntı verin. Sorunun ne olduğunu, hangi adımları attığınızı ve sonucu açıkça yazın.
• Sabırlı olun. Google'a göre incelemeler birkaç günden birkaç haftaya kadar sürebilir. Bekleyen bir istek varken yeni istek göndermek sonraki incelemeleri yavaşlatabilir.
• El ile işlemler raporunu da kontrol edin. Saldırgan sitenize spam içerik eklediyse ayrı bir el ile işlem uygulanmış olabilir; bunun da ayrıca düzeltilip incelemeye gönderilmesi gerekir.
• Spam sayfalarını dizinden çıkarın. Silinen spam sayfaları 404 ya da 410 döndürmeli; yalnızca kaldırma aracına güvenmeyin, bu araç geçici gizleme sağlar.

Bildirim ve İletişim Yükümlülükleri

• Kişisel veri sızmış olabilir mi? Üyelik, sipariş ya da form verileri saldırganın erişimine açıldıysa bu bir kişisel veri ihlali olabilir. Kişisel Verileri Koruma Kurulu'nun kararına göre veri sorumlusu, ihlali öğrendiği andan itibaren gecikmeksizin ve en geç 72 saat içinde Kurul'a bildirimde bulunmalı; etkilenen kişilere de makul en kısa sürede bilgi vermelidir. Bu bilgi genel bilgilendirmedir, hukuki danışmanlık değildir; somut durumunuzu bir hukukçuyla değerlendirin.
• Ödeme bilgileri: Ödeme sayfanıza müdahale edildiğinden şüpheleniyorsanız ödeme kuruluşunuza ya da bankanıza hemen haber verin.
• E-posta itibarı: Sunucunuz spam göndermek için kullanıldıysa IP adresiniz kara listelere girmiş olabilir. Kimlik doğrulama kayıtlarınızı da gözden geçirin; ayrıntılar SPF, DKIM ve DMARC rehberimizde.
• Müşteri iletişimi: Kısa, net ve dürüst bir açıklama; ne olduğunu, hangi önlemlerin alındığını ve müşterinin yapması gereken bir şey olup olmadığını (ör. şifre değişikliği) belirtin.

Bir Daha Yaşamamak İçin

Saldırıyı atlattıktan sonraki ilk hafta, kalıcı önlemleri almak için en uygun zamandır; konu hafızalardayken bütçe ve öncelik bulmak kolaydır.

• Otomatik ve sunucu dışı yedek: Günlük yedek, farklı bir konumda saklanan kopyalar ve düzenli geri yükleme testi. Yedek almak ile yedekten dönebilmek aynı şey değildir.
• Güncelleme düzeni: CMS, eklenti ve temalar için haftalık kontrol; kullanılmayan bileşenleri silin.
• Koruma katmanı: Web uygulama güvenlik duvarı, oturum açma denemelerine sınır ve yönetim paneline IP kısıtı. Cloudflare rehberimizde bu ayarların bir kısmını anlattık.
• En az yetki: Her çalışana yalnızca ihtiyacı olan yetki; yönetici hesabı sayısını en aza indirin.
• Dosya bütünlüğü ve çalışma süresi izleme: Dosya değişikliklerini ve sitenin erişilebilirliğini izleyen bir servis, bir sonraki saldırıyı müşteriden önce fark etmenizi sağlar.
• Altyapı tercihi: Paylaşımlı hosting ile VPS arasında güvenlik sorumluluğunun nasıl değiştiğini hosting türleri karşılaştırmamızda anlattık. Genel çerçeve için KOBİ siber güvenlik kontrol listesine göz atın.

Sık Sorulan Sorular

Siteyi tamamen silip yeniden kurmak en güvenli yol değil mi?

Kod tarafında evet, temiz kaynaktan yeniden kurmak en güvenilir yöntemdir. Ancak veritabanı ve yüklenen dosyalar da enfekte olabilir; giriş noktası kapatılmadan yapılan yeniden kurulum aynı saldırıya açıktır. Önce nasıl girildiğini anlamak gerekir.

Google uyarısı ne kadar sürede kalkar?

İnceleme isteği gönderildikten sonra Google'ın açıklamasına göre birkaç günden birkaç haftaya kadar sürebilir. Sitenin tamamen temizlenmiş olması ve inceleme isteğinde yapılanların net anlatılması süreci hızlandırır.

Hosting firması siteyi askıya aldı. Ne yapmalıyım?

Askıya alma nedenini ve tespit edilen dosyaların listesini isteyin. Çoğu sağlayıcı, temizlik için geçici erişim açar ya da siteyi yalnızca sizin IP'nize açık tutar. Temizlik sonrası yeniden açılış için sağlayıcının tarama onayı gerekebilir.

Antivirüs eklentisi siteyi temizler mi?

Bilinen kalıpları bulmada yardımcı olur, ama tek başına yeterli değildir. Ele geçirilmiş bir sitede eklentinin kendisi de devre dışı bırakılmış ya da atlatılmış olabilir. Sunucu düzeyinde tarama ve elle kontrol birlikte yapılmalıdır.

Küçük bir tanıtım sitesini neden hacklesinler?

Saldırıların büyük bölümü hedef seçmez; otomatik araçlar bilinen açıkları olan her siteyi tarar. Ele geçirilen siteler spam sayfaları barındırmak, e-posta göndermek ya da başka sitelere saldırı başlatmak için kullanılır. Sitenin küçük olması risk olmadığı anlamına gelmez.

Saldırıyı resmi bir kuruma bildirmeli miyim?

Kişisel veri ihlali varsa KVKK bildirimi gündeme gelir. Bunun dışında ulusal siber olay müdahale süreçleri ve suç duyurusu seçenekleri de vardır; özellikle maddi zarar ya da şantaj söz konusuysa hukuki destek alarak ilerleyin.

Sonuç

Hacklenen bir sitede ilk 24 saatin amacı her şeyi çözmek değil, doğru sırayla ilerlemektir: izole edin, erişimleri geri alın, giriş noktasını bulun, temiz kaynaktan geri dönün ve ancak açık kapandıktan sonra yayına alın. Bu adımlar sırasında kanıtları korumak hem tekrarı önlemek hem de olası yasal süreçler için önemlidir. Sitenizin temizlenmesi, giriş noktasının tespiti ve kalıcı güvenlik önlemlerinin kurulması için IT hizmetlerimizden destek alabilirsiniz; altyapısı eskimiş bir siteyi daha güvenli bir yapıda yeniden kurmak gerekiyorsa web geliştirme ekibimiz devreye girer. Şu anda bir saldırıyla uğraşıyorsanız hemen bize ulaşın.

Kaynaklar

• Search Console Yardımı – Güvenlik sorunları raporu
• web.dev – Help, I think I've been hacked
• Google Search Central – Malware and unwanted software
• KVKK – Kişisel Veri İhlali Bildirim Usul ve Esasları