WordPress hacket? Slik fjerner du hacket og forebygger nye angrep

Er WordPress hacket?

WordPress er hacket når uautoriserte personer har fått tilgang til nettsiden, plantet skadelig kode eller fått ut data de ikke skulle hatt tilgang til. I praksis betyr det at noen kan vise reklame i ditt navn, omdirigere besøkende til svindelsider, stjele kundedata eller bruke serveren din til videre angrep.

For den løpende sikkerhetshygienen, se vår WordPress vedlikehold-pillarguide og oversikten over WordPress nettside.

Hvordan oppdager du at WordPress er hacket?

Ofte er WordPress hacket i dager eller uker før noen merker det, fordi angriperen ikke vil bli oppdaget. Her er de typiske varslene:

• Google viser advarsel i søkeresultatene (“This site may harm your computer”)
• Nettsiden omdirigerer til ukjente domener, særlig på mobil
• Ukjente admin-brukere har dukket opp i wp-admin
• Hostingleverandøren varsler om mistenkelig aktivitet eller suspenderer kontoen
• Sterk økning i serverbelastning uten økt trafikk
• Spam-innlegg eller spam-kommentarer dukker opp av seg selv
• Filer i wp-content har endringsdato uten at du har oppdatert noe
• Antivirus blokkerer siden hos besøkende

Skann med Wordfence, MalCare eller Sucuri SiteCheck for å bekrefte mistanken før du gjør store endringer. WordPress har også en egen side med råd når WordPress er hacket, som er verdt å lese før du begynner.

Skriv ned alt mens du jobber

Det høres byråkratisk ut midt i en krise, men en enkel logg sparer deg for mye. Når du har en hacket WordPress-side, skjer det mye på kort tid, og det er lett å glemme hva som er gjort og hva som gjenstår.

• Når du oppdaget problemet, og hva du så
• Hvilke passord som er byttet, og når
• Hvilke filer og brukere du fant som ikke hørte hjemme der
• Hvem du har varslet, for eksempel webhotellet

Loggen hjelper den som eventuelt skal hjelpe deg videre, og den er nyttig hvis du må melde fra om et avvik etter personvernreglene.

Steg 1: Begrens skaden umiddelbart

Reager raskt, men ikke i panikk. Det første målet er å hindre at skadelig kode sprer seg videre.

1. Sett siden i vedlikeholdsmodus eller ta den midlertidig offline
2. Bytt alle passord umiddelbart: wp-admin, FTP eller SFTP, hostingpanel, database og e-post tilknyttet domenet
3. Logg ut alle brukere ved å bytte SECRET_KEYS i wp-config.php
4. Varsle hostingleverandøren så de kan hjelpe med isolering og logger
5. Skru av alle ukjente admin-brukere og fjern dem helt
6. Stopp planlagte e-postutsendelser så du ikke spammer kundene dine

Ikke slett filer på dette stadiet. Du trenger sporene for å forstå hva som har skjedd.

Steg 2: Ta full backup av den infiserte siden

Det høres bakvendt ut, men du må ha en kopi av den infiserte tilstanden før du rydder. Den brukes til etterforskning og som siste utvei hvis oppryddingen sletter noe viktig.

Ta backup av filer og database separat, og lagre eksternt. Marker filen tydelig som “infisert backup, IKKE gjenopprett”. Se vår backup-guide for detaljer.

Steg 3: Identifiser angrepsflaten

Før du fjerner skadelig kode må du forstå hvordan angriperen kom inn. De vanligste angrepsflatene:

• Utdatert plugin med kjent sårbarhet
• Utdatert tema, særlig nulled premium-temaer fra ulovlige kilder
• Svakt admin-passord som er gjettet eller knekt med brute force
• Lekket FTP-passord fra en kompromittert lokal maskin
• Hosting-naboer på dårlig isolerte delte servere
• Eldre WordPress-kjerne med upatchet sårbarhet

Sjekk hvilke plugins som er utdatert, hvilke temaer som er aktive, og når siste oppdatering ble gjort. Ofte ser du at angrepet fant sted kort tid etter at en sårbarhet ble offentlig kjent og kunden ikke hadde oppdatert.

Steg 4: Fjern skadelig kode

Det finnes to hovedstrategier for å bli kvitt skadelig kode.

Alternativ A: Clean install (anbefalt)

Den tryggeste metoden er å erstatte all kode med rene filer:

1. Last ned siste WordPress-kjerne fra wordpress.org
2. Slett alle filer i WordPress-mappen unntatt wp-content/uploads og wp-config.php
3. Last opp den friske kjernen
4. Slett wp-content/plugins helt og installer alle plugins på nytt fra offisielle kilder
5. Slett wp-content/themes og last opp ren versjon av temaet
6. Skann wp-content/uploads for fremmede PHP-filer (det skal ikke ligge .php der i det hele tatt)
7. Eksportér databasen, søk gjennom for kjente injection-mønstre og rensk

Alternativ B: Gjenopprett fra ren backup

Hvis du har en fersk backup tatt før hacket skjedde:

1. Verifiser at backupen er fra før infeksjonen ved å sjekke datoer
2. Slett hele installasjonen
3. Gjenopprett filer og database fra backup
4. Oppdater alt umiddelbart etter gjenoppretting

Dette er raskt, men forutsetter at du vet sikkert når hacket skjedde. Hvis du gjenoppretter en backup som allerede inneholder bakdøren, er du tilbake til start.

Steg 5: Oppdater alt og styrk sikkerheten

Når siden er ren må du sørge for at angriperen ikke kommer inn samme vei igjen.

• Oppdater WordPress-kjernen til siste versjon
• Oppdater alle plugins og fjern dem du ikke aktivt bruker
• Oppdater temaet og slett alle inaktive temaer
• Bytt SECRET_KEYS i wp-config.php (api.wordpress.org/secret-key/1.1/salt/)
• Aktiver tofaktor-autentisering på alle admin-brukere
• Installer en sikkerhetsplugin som Wordfence, Solid Security eller MalCare
• Begrens innloggingsforsøk og blokker brute force-IP-er
• Aktiver en Web Application Firewall på hosting eller via Cloudflare

Les mer i hvorfor regelmessig oppdatering er kritisk og hva som skjer hvis WordPress ikke oppdateres.

Steg 6: Verifiser at siden er ren

Etter oppryddingen skanner du på nytt for å bekrefte at alt er rent og at skadelig kode er borte.

• Kjør Wordfence-skann eller MalCare-skann og vent til resultatet er grønt
• Send siden til Google Search Console og be om ny gjennomgang hvis Google har flagget den
• Sjekk Sucuri SiteCheck og VirusTotal for ekstern verifikasjon
• Overvåk serverloggene i minst 14 dager etter opprydding

Mange hack legger sovende bakdører som aktiveres dager eller uker senere. Tett overvåking i de første ukene fanger reinfeksjoner tidlig.

Slik får du bort advarselen i Google

Har Google oppdaget et WordPress hack, kan siden få en advarsel i søkeresultatene, og nettlesere kan vise en rød side før besøkende slipper inn. Advarselen forsvinner ikke av seg selv når du har ryddet. Du må be Google om å sjekke siden på nytt.

1. Logg inn i Google Search Console for domenet ditt.
2. Åpne rapporten for sikkerhetsproblemer og les hvilke sider og hvilken type problem Google har funnet.
3. Rett alt som står der, ikke bare det du fant selv.
4. Be om ny vurdering, og beskriv kort hva som var galt og hva du har gjort.

Google forklarer rapporten og vurderingen i hjelpeartikkelen om sikkerhetsproblemer i Search Console. Det kan ta noen dager før svaret kommer. Ber du om ny vurdering før siden faktisk er ren, får du avslag, og neste runde tar gjerne lengre tid.

Når en WooCommerce nettbutikk er hacket

En nettbutikk har mer å tape enn en vanlig bedriftsside. Databasen inneholder navn, adresser, e-post og telefonnummer til kundene, og angriperen kan ha hatt tilgang til alt sammen.

Kortnumre lagres som regel ikke i WooCommerce når du bruker betalingsløsninger som Vipps, Klarna eller Stripe, fordi betalingen skjer hos dem. Men et hack kan endre selve kassen, slik at kunder sendes til en falsk betalingsside. Sjekk derfor kassen og betalingsutvidelsene ekstra nøye etter oppryddingen, og gjennomfør en testbestilling før butikken åpnes igjen.

Kan kundenes personopplysninger ha kommet på avveie, er det et avvik etter personvernreglene. Avvik som kan gi risiko for kundene, skal meldes til Datatilsynet innen 72 timer etter at du ble kjent med dem. Datatilsynet har en egen side om avvikshåndtering som forklarer hva som skal meldes og hvordan.

Hva koster det å få fjernet et WordPress-hack?

Hva det koster å rydde opp når WordPress er hacket, avhenger av omfanget. En enkel oppjustering med backup-gjenoppretting og oppdatering kan koste fra noen tusen kroner. Et komplekst hack med flere injiserte filer, kompromittert database og Google-blokkering kan ende på et vesentlig høyere beløp.

Til sammenligning ligger en månedlig vedlikeholdsavtale i et helt annet kostnadssegment, og inkluderer typisk hack-fjerning hvis ulykken først er ute. Forebygging er nesten alltid mye billigere enn reaksjon. Se WordPress vedlikehold-pris for hva en helhetlig avtale typisk koster.

Hvordan unngår du at det skjer igjen?

Sikkerhet er ikke et engangsprosjekt. De som sjelden ender opp med en hacket WordPress-side, gjør dette kontinuerlig:

• Oppdaterer WordPress, plugins og temaer minst hver 14. dag
• Tar daglig backup som lagres eksternt (se backup-guiden)
• Bruker sterke, unike passord og tofaktor-autentisering
• Begrenser admin-brukere til de som faktisk trenger det
• Fjerner inaktive plugins og temaer
• Velger seriøs hosting med isolerte miljøer (se hosting vs vedlikehold)
• Følger en månedlig vedlikeholds-sjekkliste

Trenger du hjelp nå?

HjemmesideHelten har ryddet opp i hundrevis av WordPress-hack siden 2015. Vi gjør hurtig diagnose, full opprydding, oppdatering og overvåking i ettertid. Jobber du med en nettbutikk er rask responstid kritisk for å unngå tapte bestillinger og varig SEO-skade. Er WordPress hacket akkurat nå, start med steg 1 over mens du venter på hjelp.

Ta kontakt for akutthjelp eller les mer om hva en vedlikeholdsavtale inkluderer for å forebygge.