Điểm danh 5+ thói quen xấu khiến website WordPress bị hack

Viết bởi TrungNgoc || Có 2880 từ và 11 phút để nắm hết nội dung!

Phần lớn người dùng WordPress gặp khó khăn trong việc nhận biết liệu trang web của mình có bị tin tặc tấn công hay không. Những cuộc tấn công thường khởi đầu bằng cách sử dụng bot để thử nghiệm hàng trăm nghìn kết hợp tên đăng nhập và mật khẩu trên URL wp-login.php của trang web, nhằm tìm ra thông tin đăng nhập hợp lệ. Đây được gọi là các cuộc tấn công brute-force hoặc dictionary. Tuy nhiên, WordPress không cung cấp thông báo về các sự kiện này, vậy làm sao bạn có thể nhận biết khi những cuộc tấn công như vậy đang diễn ra? Đâu là những thói quen xấu khiến website WordPress bị hack? Cùng TNDigi Digital Marketing tìm hiểu trong bài viết này nhé!

Vấn đề khi website WordPress bị hack

Nếu bạn không cài đặt tường lửa hoặc plugin để theo dõi các cuộc tấn công, bạn sẽ khó nhận biết trang web của mình có bị tấn công hay không cho đến khi quá muộn và tin tặc đã chiếm quyền truy cập. Một viễn cảnh tuy khá tiêu cực, nhưng thực tế là các cuộc tấn công nhằm vào trang web WordPress có khả năng gia tăng. Lý do chủ yếu là kinh tế: số lượng trang web WordPress ngày càng tăng, khiến nó trở thành mục tiêu hấp dẫn cho tin tặc. Hầu hết các vụ tấn công đều được thực hiện bởi phần mềm tự động, do đó việc viết một bot có khả năng tấn công hàng trăm nghìn trang web cùng lúc là một việc làm có thể mang lại lợi nhuận.

Trang web WordPress không được bảo mật mặc định, và các công ty lưu trữ web uy tín thường có biện pháp bảo vệ hiệu quả cho khách hàng. Điều này cũng tương tự như cách các máy tính chạy Windows bị tấn công theo thời gian: nếu không được bảo trì đúng cách (chẳng hạn như không cài đặt các bản cập nhật hoặc không gỡ bỏ phần mềm không cần thiết), hệ thống sẽ dễ bị tổn thương. WordPress cũng đòi hỏi một chút nỗ lực để duy trì bảo mật. Nhưng nếu bạn thực hiện các biện pháp bảo vệ cần thiết, trang web của bạn sẽ an toàn.

>> Website Wordpess có tệ như mọi người vẫn hay nghĩ?

Những nguyên nhân lớn nhất khiến website WordPress bị hack

Điều đầu tiên mình muốn nói là không chỉ WordPress mà tất cả các trang web có hệ thống quản lý nội dung (CMS) trên Internet đều dễ bị hack.

Lý do WordPress là một mục tiêu bị hack phổ biến nhất vì WordPress là mã nguồn phổ biến nhất thế giới. Với hơn 60% các trang web trên toàn thế giới sử dụng WordPress.

Các tin tặc dễ dàng tìm thấy nhiều website kém an toàn, không được cập nhật các bản vá lỗi nên các lỗ hổng bảo mật được công bố trước trước đó để tiến hành tấn công hàng loạt website có cùng đặc điểm bảo mật.

Có một quan niệm sai lầm là tin tặc sẻ lấy dữ liệu cá nhân trên các website nhưng hơn 95% các cuộc tấn công chỉ muốn phát tán thư rác! Họ truy cập vào máy chủ, chiếm quyền điều khiển để chia sẻ một số liên kết (backlinks cho SEO), chèn quảng cáo vào website v.v

>> Cách hạn chế bị spam from chỉ với 1 dòng code đơn giản mà không cần thêm plugin nào

Tại sao xảy ra vấn đề này? Chúng ta hãy xem top lý do quan trọng làm website của bạn dễ trở thành mục tiêu bị hạ bệ và làm thế nào để ngăn chặn các cuộc tấn công ấy.

#1. Phiên bản Plugins và Theme lỗi thời

Các plugin và theme WordPress lỗi thời hoặc không xác định là lý do đầu tiên làm các website kém bảo mật. Khi một lỗ hổng bảo mật tồn tại trong theme hoặc plugin thì các hacker sẻ tiến hành khai thác hàng loạt các website sử dụng plugin hoặc theme nào đó.

Để đối phó với vấn đề này bạn nên cập nhật plugin và chủ đề thường xuyên vì các nhà phát triển sẽ cập nhật các bản vá lỗi giúp hệ thống bạn an toàn hơn. Bạn cũng nên chọn các plugin và chủ đề bởi các nhà phát triển uy tín, tránh mua plugin qua các kênh mua bán lại plugin. Nhiều người dùng thích các theme hay plugin lậu hay còn gọi là Nulled, thì điều này cực kỳ nguy hiểm bởi bạn sẻ không thể kiểm soát được toàn bộ mã nguồn đó có bị chèn vào mã độc hay không.

#2. Mật khẩu tài khoản dễ đoán

Đôi khi, người dùng vô tình nhờ TNDigi fix lỗi trên website và họ cung cấp thông tin tài khoản quản trị viên vô cùng hài hước. Hầu hết tài khoản quản trị viên kiểu rất thô sơ như: Admin | Admin123 , Admin | 123456123

Mật khẩu cần được đặt mạnh cho tất cả các tài khoản:

• Tài khoản quản trị WordPress
• Cơ sở dữ liệu MySQL
• Tài khoản FTP
• Tài khoản email
• …

Tất cả các mật khẩu nên sử dụng mật khẩu mạnh (bao gồm chữ hoa và chữ thường, số, ký hiệu đặc biệt…) và không sử dụng cùng một mật khẩu cho tất cả các tài khoản.

#3. Cập nhật phiên bản WordPress thường xuyên

Theo báo cáo danh sách các trang web bị tấn công của Sucuri, khoảng 55-61% website sử dụng WordPress phiên bản cũ. Có 2 kiểu nếu như webiste không được cập nhật:

• Trường phái không quan tâm, không biết cách cập nhật, không ý thức được việc cập nhật WordPress
• Trường phái lo ngại, lo sợ rằng bản cập nhật sẽ làm website của họ bị lỗi
• Còn trường phái nữa: mặc kệ, có khi cả tháng họ còn không thèm nhìn website 1 lần

WordPress phát hành các bản cập nhật vì một lý do nào đó có thể là tăng trải nghiệm, tối ưu hiệu suất hoặc fix lỗi bảo mật vì vậy cập nhật WordPress lên bản mới nhất là điều vô cùng cần thiết để website của bạn an toàn hơn.

>> Dịch vụ quản trị và chăm sóc website tại TNDigi trọn gói, tối ưu

#4. Kỹ thuật từ liên kết xã hội

Chúng ta đều quen thuộc với kỹ thuật xã hội qua những email lừa đảo giả danh các dịch vụ như PayPal, với lỗi chính tả hoặc URL đáng ngờ. Tin tặc dùng cách này để thu thập thông tin đăng nhập.

Điều tương tự có thể xảy ra với trang web của bạn, khi tin tặc quét địa chỉ email người dùng và gửi email lừa đảo, giả danh các dịch vụ như WordPress hoặc công ty lưu trữ. Ngay cả khi bạn là người duy nhất sử dụng trang web, điều này vẫn có thể ảnh hưởng đến khách hàng của bạn, đặc biệt nếu bạn quản lý một cửa hàng WooCommerce với nhiều tài khoản người dùng.

#5. Phiên bản PHP lỗi thời

PHP là ngôn ngữ lập trình chính mà WordPress sử dụng, và nó chạy trên máy chủ web của bạn để chuyển đổi mã thành trang web hiển thị trên trình duyệt. Dù bạn không viết mã, việc sử dụng phiên bản PHP cập nhật vẫn rất quan trọng.

Kể từ phiên bản WordPress 5.7, bạn đã thấy cảnh báo về các phiên bản PHP cũ trong bảng điều khiển, và yêu cầu bạn cập nhật PHP lên phiên bản mới nhất. Điều này nhấn mạnh tầm quan trọng của việc cập nhật.

Vấn đề nằm ở việc nhiều trang web vẫn dùng PHP 5, phát hành từ năm 2004. Vào cuối năm 2018, PHP 5.6 và 7.0 chính thức hết hạn, nghĩa là không còn nhận được bản vá bảo mật nào nữa. Nếu bạn vẫn dùng những phiên bản này, trang web của bạn dễ bị tấn công.

Việc nâng cấp lên PHP 7.2, 7.3, hoặc 8.0 sẽ cải thiện tốc độ và bảo mật. Dù có thể bạn cần một nhà phát triển để làm cho các tính năng cũ tương thích, việc nâng cấp PHP là cần thiết để duy trì một trang web an toàn và ổn định.

Vậy làm thế nào để tránh việc website bị tấn công

Bạn vừa tìm hiểu về 5 cách các trang web WordPress có thể bị tấn công. Hãy trang bị cho bạn những kiến ​​thức cần thiết để tránh việc hack đó xảy ra trên trang web của bạn. Đặc biệt nếu bạn không phải là nhà phát triển web, những mẹo này có thể cứu trang web của bạn theo đúng nghĩa đen.

Hãy thử danh sách kiểm tra đơn giản này để luôn được bảo vệ:

• Áp dụng mật khẩu mạnh cho bạn và tất cả người dùng của bạn. WordPress có một cơ chế tích hợp để tạo mật khẩu mạnh và trình quản lý mật khẩu giúp bạn quản lý mật khẩu một cách an toàn
• Đầu tư vào máy chủ lưu trữ an toàn và yêu cầu máy chủ lưu trữ của bạn cập nhật PHP lên ít nhất là phiên bản 7.1. Hoặc chọn đơn vị cung cấp lưu trữ Hosting uy tín
• Bật cập nhật tự động. Đây cũng là một phần trong danh sách kiểm tra bảo trì WordPress. Hãy yên tâm là luôn có bản Backup website, trường hợp website bị lỗi không thể khôi phục được thì có thể Backup về phiên bản trước đó
• Nâng cao nhận thức về các cuộc tấn công kỹ thuật xã hội trong số người dùng của bạn bằng cách giải thích cách hoạt động của các cuộc tấn công đó. Không tự ý nhấn vào liên kết lạ
• Xóa các plugin và chủ đề bạn không còn sử dụng nữa
• Cài đặt các công cụ như WordFence để ngăn chặn, bảo vệ các cuộc cố gắng truy cập vào website bạn bất hợp pháp

Hầu hết mọi người thường bỏ qua việc bảo mật website, khi xây dựng trang web họ quan tâm nhất đến vẻ bề ngoài của website và chức năng của trang web. Họ tập trung vào xuất bản nội dung và SEO, nhưng bỏ qua vấn đề bảo mật nên khi gặp sự cố họ đều hoảng loạn. Rõ ràng, đây là một sai lầm rất lớn!

Vì vậy, từ bây giờ, hãy chú ý hơn đến bảo mật trang web của bạn! Bởi vì cho dù bạn có nỗ lực bao nhiêu để SEO hoặc phát triển web mà không chú ý đến bảo mật thì có thể bạn sẻ mất tất cả.