Site Hacklendi mi Nasıl Anlaşılır? WordPress'te 8 Belirti ve Kontrol Yolu

Tarayıcıda Kırmızı Ekran: Tehlikeli veya Yanıltıcı Site Uyarısı

Siteye girerken tam ekran kırmızı bir uyarı çıkıyorsa Google Güvenli Tarama, sitede kimlik avı, kötü amaçlı yazılım ya da sosyal mühendislik içeriği tespit etmiştir. Chrome Yardım sayfası, Güvenli Tarama’nın varsayılan olarak açık olduğunu ve bu tür sitelerde “Tehlikeli site” uyarısı gösterildiğini yazar. Google’ın sosyal mühendislik belgesinde ise uyarı “Yanıltıcı bir siteye girmek üzeresiniz” ifadesiyle geçer; halk arasında “aldatıcı site uyarısı” olarak da bilinir.

Bu uyarı site sahibinin kendi kurduğu bir dolandırıcılık anlamına gelmez. Google’ın aynı belgesi, aldatıcı içeriğin bazen saldırganların sitenin kontrolünü ele geçirmesiyle ortaya çıktığını belirtir.

Nasıl kontrol edilir: Google Şeffaflık Raporu’ndaki Güvenli Tarama site durumu aracına alan adı yazılır; araç, siteye girmeden Güvenli Tarama’nın son analiz sonucunu gösterir. Sonuç “güvenli değil” çıkıyorsa ayrıntılı tanı Search Console’daki Güvenlik sorunları raporundadır.

Mobilde ya da Google’dan Gelince Başka Siteye Yönlendirme

Site doğrudan adres yazınca normal açılıp Google sonucundan ya da telefondan tıklanınca bahis, ilaç veya sahte ödül sitesine gidiyorsa büyük olasılıkla gizli yönlendirme kodu vardır. Google’ın spam politikaları, saldırıya uğramış sitelerde kullanıcıların Google sonuçlarından tıklayınca şüpheli sayfaya gönderilmesini ve mobil kullanıcıların tamamen farklı bir alana yönlendirilmesini örnek olarak verir. Arama motoruna ve ziyaretçiye farklı içerik gösterilmesine ise gizleme (cloaking) denir.

Bu tür kodlar çoğu zaman site sahibinden saklanır: oturum açmış yöneticiye ya da aynı ziyaretçiye ikinci kez yönlendirme yapılmaz. Sahibin “bende açılıyor” demesi bu yüzden yanıltıcı olabilir.

Nasıl kontrol edilir: Siteye mobil veriyle, oturum açılmamış bir telefondan ve gizli sekmeden Google sonucuna tıklanarak girilir. Search Console’daki URL Denetimi aracı Google’ın sayfada gördüğü içeriği gösterir; Google’ın Japonca saldırı kılavuzu da gizlemeyi bu araçla kontrol etmeyi önerir. Ayrıntılı onarım için WordPress hacklenmiş site kurtarma sayfasındaki süreç izlenebilir.

Tanınmayan Yönetici Hesabı ve Search Console Sahibi

WordPress panelinde kimsenin açmadığı bir yönetici kullanıcı varsa bu, hack’in en net işaretlerinden biridir. WordPress’in resmi belgesi, yetkisiz yeni kullanıcı oluşturulmasını açık belirtiler arasında sayar. Google’ın Japonca saldırı kılavuzu ise saldırganın kendisini Search Console’a mülk sahibi olarak ekleyip site haritası gibi ayarlarla oynayabildiğini anlatır.

Nasıl kontrol edilir: WordPress panelinde Kullanıcılar ekranında rol filtresi “Yönetici” yapılır ve her hesabın kime ait olduğu tek tek doğrulanır. Search Console ayarlarındaki kullanıcılar ve izinler bölümünde tanınmayan sahip veya kullanıcı aranır; tanınmayan bir site doğrulama bildirimi e-postası gelmişse bu da ciddiye alınır. Ajans ya da eski geliştirici hesapları da bu sırada gözden geçirilir; kullanılmayan hesap ileride açık kapı olabilir.

Hosting Uyarısı, Spam E-posta ve Ani Yavaşlama

Hosting firması sitede kötü amaçlı dosya bulunduğunu bildirmiş, hesabı askıya almış ya da sunucudan toplu spam gönderildiğini söylemişse bu bildirim ciddiye alınmalıdır. WordPress belgesi, hosting firmasının siteyi kapatmasını açık belirtiler arasında sayar ve hacklenen sitelerin spam e-posta göndermek için kullanılabildiğini, bunun sunucunun IP adresinin kara listeye girmesine yol açabildiğini yazar. Belge, paylaşımlı hostingde sorunun tek bir siteyle sınırlı kalmayabileceğini de belirtir.

Ani yavaşlama ise tek başına zayıf bir belirtidir. Sunucu kaynağının açıklanamayan biçimde dolması, gece saatlerinde yoğun trafik ya da e-posta kuyruğunun şişmesi diğer belirtilerle birlikte görülürse anlam kazanır; yavaşlığın çoğu zaman eklenti, görsel veya hosting kaynaklı olduğu WordPress sitesi yavaş açılıyor yazısında ayrıca anlatılır.

Nasıl kontrol edilir: Hosting panelinde kaynak kullanımı grafikleri, e-posta gönderim sayıları ve varsa kötü amaçlı yazılım tarayıcısının raporu açılır. Uyarı e-postası geldiyse içindeki dosya yolları not edilir ve hosting firmasının destek kanalından teyit istenir; e-postadaki bağlantıya tıklamak yerine panele doğrudan girilir.

Dosyalarda Tanınmayan Kod: Hangi Dosyalara Bakılır?

Hiç kimsenin eklemediği uzun, anlamsız karakter dizileri ya da karmaşıklaştırılmış kod parçaları sitenin ele geçirildiğini gösteren somut kanıttır. WordPress’in resmi belgesi, enfeksiyon türü ne olursa olsun en sık değiştirilen dosyanın .htaccess olduğunu yazar. Belgeye göre index.php, header.php, footer.php ve functions.php de her sayfa isteğini etkilediği için saldırganların hedefindedir.

Nasıl kontrol edilir: Hosting’in dosya yöneticisinde dosyalar son değiştirilme tarihine göre sıralanır; site sahibinin bir şey yapmadığı tarihte değişmiş çekirdek dosyalar dikkat çeker. wp-content/uploads klasöründe .php uzantılı dosya bulunması da genellikle olağan değildir, çünkü bu klasör görseller içindir. Kod okumak teknik bilgi ister; yanlış dosyanın silinmesi siteyi tamamen kapatabileceği için bu adımda değişiklik yapmadan yalnızca not almak daha güvenlidir.

Hack Sanılan Yanlış Alarmlar

Her bozulma hack değildir; eklenti çakışması, süresi dolan SSL sertifikası ve süresi dolan alan adı da sitenin aniden tuhaf görünmesine yol açar. Bu ayrımı yapmadan temizliğe girişmek hem zaman hem para kaybettirir. Sık karşılaşılan durumlar ve onları hack’ten ayıran işaretler şöyledir:

Alan adı süresi dolduğunda site ve e-postanın neden birlikte durduğu, alan adı süresi dolarsa ne olur yazısında aşama aşama anlatılır. Eklenti çakışmasında ise çakışan eklentinin hosting dosya yöneticisinden geçici olarak devre dışı bırakılmasıyla site çoğu zaman geri gelir.

10 Dakikalık Kontrol Listesi

Site hacklendi mi nasıl anlaşılır sorusuna hızlı bir ilk cevap için aşağıdaki on adım sırayla uygulanabilir; adımların hiçbiri sitede değişiklik yapmaz. Her adımın sonucu ekran görüntüsüyle ve saatiyle not edilir, çünkü WordPress belgesi de ilk iş olarak bu tür bir olay kaydı tutulmasını önerir.

1. Google’da site:alanadi.com araması yapılır, sonuçlar birkaç sayfa boyunca taranır.
2. Aynı arama “casino”, “viagra” gibi bir kelimeyle tekrarlanır.
3. Google Şeffaflık Raporu’nda Güvenli Tarama site durumu sorgulanır.
4. Search Console’da Güvenlik sorunları raporu açılır.
5. Search Console’da Kullanıcılar ve izinler listesi kontrol edilir.
6. Site, oturum açılmamış bir telefondan Google sonucuna tıklanarak açılır.
7. WordPress panelinde yönetici rolündeki kullanıcılar sayılır.
8. Eklentiler listesinde kurulumu hatırlanmayan eklenti aranır.
9. Hosting panelinde kaynak kullanımı ve e-posta gönderim sayıları incelenir.
10. Dosya yöneticisinde son değişen dosyalar ve uploads klasöründeki .php dosyaları kontrol edilir.

İki ya da daha fazla adımda olumsuz sonuç çıkıyorsa sitenin ele geçirilmiş olma olasılığı yüksektir. Tek bir adımda şüphe varsa yanlış alarm tablosuna dönülür ya da ücretsiz ön değerlendirme istenir.

Site Hacklendiyse İlk Adımlar: Yedek ve Şifre Sırası

Site hacklendi ise ilk iş panik yapmadan mevcut halin yedeğini almak ve erişimleri doğru sırayla kilitlemektir. WordPress’in resmi belgesi sakin kalmayı ilk adım olarak sayar ve virüslü olsa bile temizlikten önce ortamın bir kopyasının alınmasını önerir; bu kopya, giriş yolunu bulmak için kanıt işlevi görür. Genel uygulamada ilk refleks dosya silmek ya da yalnızca WordPress şifresini değiştirmek olur, ama bu iki hareket de sorunu çoğu zaman geri getirir.

Şifre değişikliğinde izlediğimiz sıra resmi belgedeki önerilere dayanır:

1. Bilgisayarın taranması: Belge, saldırının çoğu zaman yerel bilgisayardaki bir truva atının FTP ve panel şifrelerini çalmasıyla başladığını yazar; şifre virüslü cihazdan değiştirilirse yeni şifre de çalınabilir.
2. Bütün erişim noktaları: Hosting paneli, FTP/SFTP, WordPress yönetici hesapları ve veritabanı şifresi değiştirilir; panele erişimi olan diğer kullanıcılar da buna dahildir.
3. Açık oturumların kapatılması: wp-config.php dosyasındaki gizli anahtarlar yenilenerek oturum açık kalan herkes sistemden çıkarılır.
4. Temizlikten sonra ikinci değişiklik: Belge, şifrelerin site temizlendikten sonra bir kez daha değiştirilmesini ister.

Temizlik, çekirdek dosyaların yeniden yüklenmesi, veritabanı taraması ve Google inceleme isteği ayrı bir uzmanlık işidir; adımların ayrıntısı hacklenmiş WordPress sitesini kurtarma sayfasında yer alır. Search Console’a göre inceleme isteklerinin sonuçlanması birkaç gün veya birkaç hafta sürebilir. Sitenin yeniden hacklenmemesi için alınabilecek önlemler WordPress güvenliği rehberinde, düzenli güncelleme ve yedekleme ise yıllık WordPress bakım hizmeti kapsamında ele alınır; bakım ücreti aylık 500–2.000 TL aralığındadır. Hack sonrası Google görünürlüğünde kayıp varsa SEO analizi ile hangi sayfaların etkilendiği ayrıca incelenebilir.