נוזקה באתר (malware) היא קוד שהוחדר לאתר בלי רשות כדי לפגוע בגולשים, בבעל האתר או במנועי החיפוש: הפניה לאתרי הונאה, הורדת קבצים מזיקים, עמודי ספאם, גניבת פרטי תשלום, או שימוש בשרת לשליחת דואר זבל. רוב הנוזקות באתרים לא "מכריזות" על עצמן — הן מסתתרות בקבצים או במסד הנתונים, ולפעמים מוצגות רק לחלק מהגולשים. במאמר הזה: אילו סוגים יש, איך מזהים, ואיך מונעים חזרה.
סוגי הבעיות שגוגל מזהה
דוח בעיות האבטחה של גוגל מחלק את הבעיות לשלוש קבוצות:
| קבוצה | ההגדרה של גוגל | איך זה נראה באתר |
|---|---|---|
| תוכן פרוץ | תוכן שהוצב באתר בלי רשות בגלל פרצת אבטחה | עמודי ספאם, קישורים מוסתרים, טקסט מוזרק |
| תוכנה זדונית ותוכנה לא רצויה | תוכנה שנועדה לפגוע במכשיר או במשתמש | הורדות אוטומטיות, סקריפטים שמנצלים את הדפדפן |
| הנדסה חברתית | תוכן שמטעה גולשים לעשות משהו מסוכן | עמודי התחברות מזויפים, "עדכן את הדפדפן", פישינג |
כשגוגל מזהה בעיה כזו, היא עלולה להציג תווית אזהרה בתוצאות החיפוש, או דף אזהרה בדפדפן לפני הכניסה לאתר. בפועל, זה מחסל את התנועה עד שהבעיה נפתרת.
סימנים שכדאי לחשוד בהם
- הפניות מוזרות — גולשים שמגיעים מגוגל או מהטלפון מועברים לאתר אחר, אבל כשאתם נכנסים ישירות הכל נראה תקין. זה דפוס נפוץ: הנוזקה מסתתרת מבעל האתר.
- עמודים שלא יצרתם בגוגל — חיפוש
site:עם הדומיין שלכם מראה עמודים בשפות זרות או על מוצרים שאין לכם. כך מתגלה, למשל, פריצת מילות המפתח היפניות. - משתמשים חדשים בממשק הניהול או בעלים חדשים ב-Search Console שאתם לא מכירים — לפי גוגל, זה סימן חזק לפריצה.
- האתר נהיה איטי פתאום או שהשרת עמוס בלי סיבה — לפעמים הוא משמש לשליחת ספאם או לתקיפת אתרים אחרים.
- מיילים מהדומיין נחסמים — כתובת השרת נכנסה לרשימות חסימה.
- חברת האחסון מודיעה על קבצים חשודים או משביתה את האתר.
איפה נוזקה מסתתרת
לפי התיעוד של וורדפרס, המקומות הנפוצים הם קובץ .htaccess (שאפשר להשתמש בו להפניות מותנות), וקבצים שנטענים בכל עמוד — index.php, header.php, footer.php, functions.php. מעבר לזה:
- קבצי PHP בתיקיית ההעלאות, שבה אמורות להיות רק תמונות ומסמכים.
- קבצים עם שמות שנראים "רשמיים" אבל לא שייכים לגרסה של וורדפרס.
- קוד מקודד (base64 ודומיו) בתוך קבצי התבנית או התוספים.
- תוכן מוזרק במסד הנתונים — בפוסטים, בווידג'טים ובהגדרות.
איך סורקים
וורדפרס ממליצה לשלב שני סוגי סריקה, כי כל אחד רואה דברים אחרים:
- סורק בתוך האתר (תוסף) — משווה קבצים לגרסאות המקוריות ומחפש דפוסים חשודים.
- סורק חיצוני — בודק את האתר כמו שגולש רואה אותו, ומשווה לרשימות חסימה.
ובנוסף: לסרוק את המחשבים של מי שמתחבר לאתר, כי גניבת סיסמאות ממחשב נגוע היא דרך נפוצה להיכנס. סורק אינו תחליף לבדיקה ידנית — הוא מוצא דפוסים מוכרים, ונוזקה חדשה או מותאמת עלולה לחמוק ממנו. מה תוספי האבטחה עושים ומה לא, כתבתי במאמר תוסף אבטחה לוורדפרס.
ניקוי — ולמה הוא לא נגמר בקבצים
ניקוי מלא כולל החלפת קבצי הליבה בעותק נקי של אותה גרסה, מעבר על התבנית והתוספים, ניקוי מסד הנתונים, החלפת כל הסיסמאות והמפתחות — ובעיקר סגירת הדרך שבה הנוזקה נכנסה. את הסדר המלא פירטתי במאמר אתר נפרץ — מה עושים. אחרי הניקוי, אם גוגל סימנה את האתר, מבקשים בדיקה חוזרת דרך Search Console.
מניעה: מה באמת מוריד את הסיכון
| צעד | מה הוא מונע |
|---|---|
| עדכון שוטף של ליבה, תוספים ותבנית | ניצול חולשות ידועות — הדרך הנפוצה ביותר |
| מעט תוספים, רק ממקורות מוכרים | פחות קוד שיכול להכיל חולשה |
| סיסמאות ייחודיות ואימות דו-שלבי | כניסה עם סיסמה גנובה |
| הרשאות מינימליות למשתמשים | נזק גדול ממשתמש אחד שנפרץ |
| חומת אש לאפליקציה (WAF) | חלק מניסיונות הניצול לפני שהם מגיעים לאתר |
| גיבויים קבועים, מחוץ לשרת | אובדן האתר אם הניקוי נכשל |
| ניהול הקוד בגרסאות | שינויים בקבצים שלא שמים לב אליהם |
על חלק מהצעדים הרחבתי בנפרד: הרשאות משתמשים בוורדפרס, מה זה WAF וגיבוי אתר וורדפרס.
שאלות נפוצות
אני לא רואה שום דבר חריג באתר — אולי גוגל טועה?
ייתכן, אבל לרוב לא. נוזקות רבות מוצגות רק לגולשים שמגיעים מגוגל, רק בטלפון, או רק בביקור הראשון. כלי בדיקת הכתובות ב-Search Console מראה מה גוגל רואה בפועל.
האם אתר קטן באמת מעניין פורצים?
כן. רוב הפריצות אוטומטיות: בוטים סורקים אתרים בחיפוש אחר תוסף עם חולשה ידועה, בלי קשר לגודל או לתחום של העסק.
באתרים שאני בונה ומתחזק, הקוד מנוהל בגרסאות, התוספים מצומצמים, והעדכונים קבועים — ראו תחזוקת אתרים. חושדים שיש נוזקה באתר שלכם? שלחו לי את הכתובת.
אהבתם את המאמר?
