Thiết Kế Website
Website bị hack phải làm gì? Thứ tự xử lý và nghĩa vụ khi lộ dữ liệu
Khi phát hiện website bị hack, phản xạ thường gặp là xóa ngay file lạ hoặc khôi phục bản sao lưu cũ nhất tìm được. Cả hai đều có thể làm mất dấu vết cần để tìm cửa vào, và website bị nhiễm lại sau vài ngày.
Website không vào được vì lỗi máy chủ? Xem thêm lỗi 500 trên WordPress.
Website bị hack cần xử lý theo thứ tự: xác nhận đúng là bị hack, cô lập để khách không bị ảnh hưởng, sao lưu nguyên hiện trạng, đổi mật khẩu từ một máy sạch, rồi mới làm sạch và vá lỗ hổng. Nếu website có dữ liệu khách hàng, cần đánh giá nghĩa vụ thông báo theo Luật Bảo vệ dữ liệu cá nhân. Cuối cùng là xử lý cảnh báo trên Google.
Có thật là website bị hack không?
Không phải mọi hiện tượng lạ đều là bị hack. Trước khi hoảng, loại trừ các khả năng sau:
- Quảng cáo bật lên hoặc chuyển trang chỉ trên một máy: có thể là tiện ích trình duyệt hoặc phần mềm quảng cáo trên máy đó. Thử bằng điện thoại dùng 4G và một trình duyệt khác.
- Website không vào được: có thể do tên miền hết hạn, hosting quá hạn thanh toán, lỗi máy chủ như 502 Bad Gateway hoặc đang bị tấn công làm quá tải (xem bài DDoS là gì).
- Giao diện vỡ sau khi cập nhật: thường là xung đột plugin, không phải xâm nhập.
Ngược lại, đây là các dấu hiệu gần như luôn có nghĩa là đã bị xâm nhập: tài khoản quản trị không ai tạo; chủ sở hữu lạ trong Google Search Console; trang tiếng Nhật, trang cá độ khi tìm site:tenmien; file .php trong thư mục ảnh; khách vào từ Google bị chuyển sang trang khác trong khi bạn gõ thẳng tên miền thì không thấy gì; nhà cung cấp hosting báo website đang gửi thư rác. Riêng từ khóa cờ bạc hiện dưới tên miền còn có nguồn không phải do xâm nhập, như spam trang tìm kiếm nội bộ; cách phân biệt có ở bài website bị chèn từ khóa cờ bạc.
Website bị hack kiểu gì? Mỗi kiểu một mức ưu tiên
| Kiểu sự cố | Biểu hiện | Rủi ro lớn nhất | Ưu tiên |
|---|---|---|---|
| Chuyển hướng độc hại | Khách bị đưa sang trang cá độ, lừa đảo, tải phần mềm | Google cảnh báo đỏ, khách bị lừa dưới tên bạn | Cô lập ngay |
| Chèn trang spam SEO | Hàng nghìn URL lạ được Google lập chỉ mục | Mất thứ hạng, tên miền bị coi là spam | Cao, nhưng website vẫn có thể chạy trong khi xử lý |
| Đánh cắp dữ liệu | Thường không thấy gì; phát hiện qua log, qua khách báo bị lừa bằng thông tin đơn hàng | Trách nhiệm pháp lý với dữ liệu khách hàng | Cao nhất, cần ghi nhận thời điểm phát hiện |
| Chiếm tài khoản | Bị đổi email quản trị, mất quyền đăng nhập | Mất quyền kiểm soát website hoặc tên miền | Lấy lại quyền qua hosting và nhà đăng ký tên miền |
| Thay giao diện (deface) | Trang chủ bị thay bằng thông điệp của kẻ tấn công | Uy tín; thường kèm cửa hậu | Cô lập ngay |
Việc cần làm trong vài giờ đầu
- Ghi lại hiện trạng. Chụp màn hình, ghi thời điểm phát hiện, đường dẫn bị ảnh hưởng, ai phát hiện. Thông tin này cần cho kỹ thuật viên và, nếu có lộ dữ liệu, cho nghĩa vụ báo cáo.
- Cô lập. Nếu website đang chuyển hướng hoặc phát tán mã độc tới khách, bật chế độ bảo trì hoặc nhờ hosting tạm chặn truy cập công khai. Website chỉ bị chèn trang spam có thể để chạy trong lúc chuẩn bị xử lý.
- Sao lưu nguyên trạng cả file và database, lưu tách riêng, đặt tên rõ “bản bị nhiễm”. Không ghi đè lên các bản sao lưu cũ, vì có thể cần tìm bản sạch.
- Đổi mật khẩu từ một máy sạch, theo thứ tự: email nhận thông báo của hosting và tên miền, tài khoản nhà đăng ký tên miền, tài khoản hosting, FTP/SFTP, database, rồi các tài khoản quản trị website. Nếu máy tính quản trị có thể đã nhiễm phần mềm đánh cắp mật khẩu, đổi trên máy đó là vô ích.
- Báo nhà cung cấp hosting. Họ thường có log truy cập, có thể biết website khác cùng máy chủ cũng bị ảnh hưởng.
- Không xóa vội. Xóa file lạ khi chưa biết nó vào bằng đường nào thường chỉ xóa phần nhìn thấy, cửa hậu vẫn còn.
Làm sạch: tự làm hay cần kỹ thuật viên?
Việc làm sạch gồm ba phần bắt buộc: gỡ mã độc và cửa hậu trong cả file lẫn database, tìm và vá lỗ hổng đã bị khai thác, đổi mọi thông tin đăng nhập kể cả khóa bảo mật của WordPress. Thiếu một phần là có nguy cơ bị lại.
Chủ website có thể tự làm khi: website nhỏ, biết rõ thời điểm bị nhiễm, có bản sao lưu sạch trước thời điểm đó và không phát sinh đơn hàng từ đó đến nay. Khi đó khôi phục bản sạch, cập nhật toàn bộ, đổi mật khẩu, xóa tài khoản lạ.
Nên giao cho kỹ thuật viên khi: có cửa hậu hoặc bị nhiễm lại sau khi đã dọn, Google đang cảnh báo, website bán hàng có dữ liệu đơn hàng không thể quay về bản cũ, hoặc nhiều website chung một hosting. Quy trình bốn bước và giá tham khảo 1,5 triệu hoặc 3 triệu mỗi website có trong trang xử lý mã độc WordPress.
Website lộ dữ liệu khách hàng: nghĩa vụ pháp lý
Từ 01/01/2026, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP có hiệu lực. Theo Điều 23 của Luật, khi phát hiện vi phạm có thể xâm phạm quyền lợi của người có dữ liệu, bên kiểm soát hoặc xử lý dữ liệu phải thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất 72 giờ kể từ khi phát hiện. Thời hạn tính từ lúc phát hiện, nên việc ghi lại thời điểm ở bước 1 rất quan trọng.
Website lưu họ tên, số điện thoại, địa chỉ giao hàng, email của khách là đang xử lý dữ liệu cá nhân. Nghị định 356/2025 có miễn trừ một số nghĩa vụ cho doanh nghiệp nhỏ, hộ kinh doanh; phạm vi miễn trừ cụ thể nên hỏi luật sư thay vì tự suy ra. Bài viết này không thay cho tư vấn pháp lý.
Gỡ cảnh báo của Google sau khi làm sạch
- Vào Google Search Console, mục Vấn đề bảo mật, xem Google ghi nhận loại vấn đề gì và ví dụ URL bị ảnh hưởng. Cách dùng công cụ có trong bài hướng dẫn Google Search Console.
- Gỡ chủ sở hữu lạ, xóa sitemap do kẻ tấn công gửi.
- Kiểm tra các URL spam trả về mã 404 hoặc 410, không chuyển hướng chúng về trang chủ.
- Khi đã kiểm tra lại và website sạch, gửi yêu cầu xem xét lại kèm mô tả việc đã làm. Google tự quyết định thời gian xem xét; gửi lại nhiều lần khi chưa có kết quả không làm nhanh hơn. Nếu trình duyệt đang hiện màn hình đỏ, xem gỡ cảnh báo trang nguy hiểm của Google từng bước.
- Trang spam đã bị lập chỉ mục có thể còn hiện một thời gian; công cụ Xóa URL giúp ẩn tạm những URL gây hại nhất.
Sau sự cố: ba việc để không lặp lại
- Viết lại một trang ghi chú: bị vào bằng đường nào, phát hiện lúc nào, mất bao lâu để xử lý, thiếu gì (sao lưu, người phụ trách, mật khẩu). Đây là tài liệu quý nhất của cả sự cố.
- Sửa đúng nguyên nhân: plugin bỏ hoang, mật khẩu dùng chung, hosting chung nhiều website. Danh sách phòng ngừa có trong bài cách bảo mật website tránh bị hack.
- Giao cho một người cụ thể việc cập nhật và sao lưu định kỳ, trong công ty hoặc qua gói bảo trì WordPress. Nếu lượng truy cập đã giảm, audit website giúp xác định trang cần khôi phục trước.
Căn cứ pháp lý tra cứu tháng 10/2026: Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (Điều 23), Nghị định 356/2025/NĐ-CP ngày 31/12/2025.
Câu hỏi thường gặp
Website bị hack có nên báo công an không?
Nên cân nhắc khi có thiệt hại cụ thể như bị tống tiền, lộ dữ liệu khách hàng hoặc khách bị lừa tiền bằng thông tin lấy từ website. Với vụ lộ dữ liệu cá nhân, việc thông báo cho cơ quan chuyên trách còn là nghĩa vụ trong 72 giờ theo Luật Bảo vệ dữ liệu cá nhân. Lưu đầy đủ bằng chứng trước khi dọn dẹp.
Có nên trả tiền khi hacker đòi tiền chuộc website không?
Không nên. Trả tiền không đảm bảo lấy lại dữ liệu hay việc kẻ tấn công không quay lại. Phương án đáng tin hơn là khôi phục từ bản sao lưu ngoài hosting, vá lỗ hổng và báo cơ quan chức năng.
Website bị hack có cần báo cho khách hàng không?
Nếu dữ liệu khách hàng có thể đã bị lộ thì có, và Nghị định 356/2025 yêu cầu thông báo cho người bị ảnh hưởng trong thời hạn quy định. Thông báo nên nói rõ dữ liệu nào bị ảnh hưởng, khách cần cảnh giác điều gì (cuộc gọi giả danh, tin nhắn đòi chuyển khoản) và kênh liên hệ chính thức.
Đổi hosting có hết bị hack không?
Không, nếu chuyển nguyên website đang nhiễm sang. Mã độc và cửa hậu đi theo file và database. Chỉ nên chuyển hosting sau khi đã làm sạch, hoặc khi nguyên nhân thật sự nằm ở hosting như nhiều website dùng chung không cô lập.
Mất quyền đăng nhập quản trị WordPress thì lấy lại thế nào?
Đăng nhập tài khoản hosting, vào phpMyAdmin hoặc dùng WP-CLI để đặt lại mật khẩu và email cho tài khoản quản trị của bạn, rồi xóa các tài khoản lạ. Nếu mất cả quyền vào hosting, liên hệ nhà cung cấp hosting với giấy tờ chứng minh là chủ dịch vụ.
Cần người làm giúp phần này?
Mô tả ngắn nhu cầu hoặc gửi link website. Chúng tôi phản hồi bằng đánh giá cụ thể trước khi báo giá.
