Bạn mở website của mình và thấy chữ Trung Quốc, quảng cáo cá cược, hoặc trình duyệt hiện màn hình đỏ "Trang web lừa đảo phía trước". Khách gọi hỏi "sao web anh chuyển sang trang lạ vậy". Đây là tình huống rất phổ biến với website WordPress lâu không cập nhật. Tin tốt: hầu hết đều xử lý được trong một hai ngày nếu làm đúng thứ tự.
Trước hết: đừng hoảng, đừng xoá
Hai phản xạ sai thường gặp:
- Xoá luôn website rồi làm lại từ đầu. Bạn mất toàn bộ bài viết, sản phẩm, và mất luôn thứ hạng Google đã tích luỹ.
- Cứ để đó vài ngày vì "chắc tự hết". Trong lúc đó Google gắn nhãn cảnh báo, khách mất niềm tin, và kẻ tấn công cài thêm cửa hậu.
Việc đúng là cô lập, sao lưu hiện trạng, rồi làm sạch. Bảy bước dưới đây theo đúng thứ tự đó.
Bước 1. Đưa website vào chế độ bảo trì (10 phút)
Mục tiêu: khách và Google không nhìn thấy nội dung độc hại trong lúc bạn xử lý.
- Nếu bạn vào được trang quản trị hosting (cPanel, DirectAdmin, Plesk): tìm mục "Bảo trì" hoặc tạm đổi tên thư mục website.
- Nếu không vào được: gọi nhà cung cấp hosting, yêu cầu họ tạm khoá website với thông báo "Đang bảo trì".
Đừng tắt hẳn hosting. Bạn còn cần vào để lấy sao lưu và dọn dẹp.
Bước 2. Sao lưu hiện trạng, kể cả khi đã nhiễm (15 phút)
Nghe ngược đời, nhưng bản sao lưu "đang nhiễm" là bằng chứng để kỹ thuật tìm ra lỗ hổng, và là phao cứu sinh nếu bước làm sạch lỡ tay xoá nhầm. Tải về máy toàn bộ mã nguồn và cơ sở dữ liệu, đặt tên rõ ràng, ví dụ `backup-nhiem-2026-09-13`.
Bước 3. Đổi toàn bộ mật khẩu (20 phút)
Đổi theo thứ tự này, mỗi cái một mật khẩu khác nhau, dài trên 14 ký tự:
- Tài khoản hosting và email quản trị hosting.
- Tài khoản quản trị WordPress (và xoá mọi tài khoản admin lạ bạn không tạo).
- Mật khẩu cơ sở dữ liệu (nhớ cập nhật lại trong file cấu hình `wp-config.php`).
- Tài khoản FTP/SFTP.
- Tài khoản đăng ký tên miền.
Nếu bạn dùng chung một mật khẩu cho nhiều nơi, hãy coi như mật khẩu đó đã lộ và đổi ở mọi nơi khác.
Bước 4. Tìm bản sao lưu sạch gần nhất (30 phút)
Đây là bước quyết định thời gian xử lý. Hỏi hosting: "Bản sao lưu tự động gần nhất của tôi là ngày nào?" Hầu hết hosting tại Việt Nam giữ 7 đến 30 ngày.
Nếu có bản sao lưu từ trước ngày website bắt đầu lạ, việc nên làm trước là khôi phục bản đó, rồi làm ngay bước 5 để bịt lỗ hổng. Bạn sẽ mất bài viết và đơn hàng phát sinh sau ngày sao lưu, nhưng thường ít hơn nhiều so với công dọn tay.
Nếu không có sao lưu sạch, phải làm sạch thủ công. Đây là việc cần kỹ thuật: quét toàn bộ file tìm mã lạ, so với bản gốc của WordPress và từng plugin, dọn cơ sở dữ liệu. Với một website trung bình mất từ hai đến sáu giờ.
Bước 5. Bịt lỗ hổng: cập nhật mọi thứ (30 phút)
Website bị tấn công gần như luôn qua một trong ba cửa: WordPress cũ, plugin cũ, hoặc theme cũ. Sau khi có website sạch:
- Cập nhật WordPress lên bản mới nhất.
- Cập nhật mọi plugin và theme. Plugin nào không dùng nữa: xoá, không chỉ tắt.
- Xoá theme và plugin tải từ nguồn lạ (bản "null", bản "crack"). Đây là nguồn mã độc phổ biến nhất ở Việt Nam.
- Kiểm tra phiên bản PHP trên hosting: dưới 8.1 là đã hết hỗ trợ bảo mật.
Bước 6. Quét lại và bật lớp bảo vệ (30 phút)
- Cài một plugin bảo mật có quét mã độc (Wordfence, Solid Security hoặc tương đương), chạy quét toàn bộ.
- Giới hạn số lần đăng nhập sai, bật xác thực hai lớp cho tài khoản quản trị.
- Tắt XML-RPC nếu không dùng ứng dụng WordPress trên điện thoại.
- Mở lại website.
Bước 7. Gỡ cảnh báo của Google (1 đến 3 ngày)
Nếu Google đã gắn nhãn, vào Google Search Console, mục "Bảo mật và thao tác thủ công", bấm Yêu cầu xem xét sau khi đã làm sạch. Google thường gỡ trong một đến ba ngày. Cảnh báo đỏ trên trình duyệt (Safe Browsing) cũng theo đó mà biến mất.
Việc nào tự làm được, việc nào cần kỹ thuật?
| Việc | Tự làm được? |
|---|---|
| Đưa website vào bảo trì, gọi hosting | Có |
| Đổi mật khẩu | Có |
| Khôi phục bản sao lưu của hosting | Thường có, hosting hướng dẫn |
| Làm sạch thủ công khi không có sao lưu sạch | Cần kỹ thuật |
| Tìm lỗ hổng để không tái diễn | Cần kỹ thuật |
| Yêu cầu Google xem xét lại | Có, nếu bạn có quyền Search Console |
Sau khi xử lý xong: làm gì để không lặp lại
Website bị hack lần hai trong vòng vài tháng là chuyện thường, vì lỗ hổng gốc chưa được bịt hoặc cửa hậu còn sót. Ba việc giảm rủi ro rõ rệt:
- Cập nhật hàng tháng WordPress, plugin, theme. Không phải một lần rồi thôi.
- Sao lưu tự động hàng ngày ở nơi khác hosting, và mỗi quý thử khôi phục một lần.
- Có người theo dõi: uptime, quét mã độc định kỳ, cảnh báo khi có đăng nhập lạ.
Ba việc này chính là nội dung của gói bảo trì website. Nếu website của bạn đang có dấu hiệu lạ mà chưa chắc là bị hack, hãy gửi link để chúng tôi kiểm tra miễn phí. Báo cáo sẽ chỉ ra WordPress đang ở phiên bản nào, có lộ file nhạy cảm không, và có bị Google gắn nhãn hay chưa.
