Cách kiểm tra website có bị hack không (5 phút, không cần kỹ thuật)
- 8 bước kiểm tra, làm theo thứ tự, mỗi bước chưa đến một phút, chỉ cần điện thoại, trình duyệt và tài khoản hosting.
- Bước nào ra kết quả lạ thì đánh dấu lại. Một dấu hiệu rõ ràng là đủ để xử lý ngay.
- Cuối bài có việc cần làm nếu phát hiện vấn đề.
Bài 9 dấu hiệu website bị hack giải thích từng dấu hiệu nghĩa là gì. Bài này là phần thực hành: một danh sách kiểm tra bạn có thể làm ngay bây giờ, không cần biết lập trình. Hãy mở sẵn một tờ giấy hoặc ghi chú để đánh dấu từng bước.
Bước 1: Tìm website của bạn trên Google (1 phút)
Gõ vào ô tìm kiếm Google, thay tenmien.vn bằng tên miền của bạn:
site:tenmien.vnLướt 2–3 trang kết quả. Ổn nếu chỉ thấy trang và sản phẩm của bạn. Đáng lo nếu thấy tiêu đề về cá cược, thuốc, hàng hiệu giá rẻ, hoặc chữ nước ngoài bạn không viết. Thử thêm site:tenmien.vn casino và site:tenmien.vn nhà cái. Nếu có, đọc bài website bị chèn link cờ bạc.
Bước 2: Xem cảnh báo của Google Search Console (1 phút)
Nếu đã có Search Console, mở mục Vấn đề bảo mật và Thao tác thủ công. Dòng “Không phát hiện vấn đề nào” là tốt. Có bất kỳ cảnh báo nào thì Google đã thấy vấn đề trước bạn.
Chưa có Search Console? Đây là lúc nên đăng ký — miễn phí, và là kênh chính để Google báo cho bạn khi website bị hack.
Bước 3: Xem trình duyệt có cảnh báo không (30 giây)
Mở website bằng Chrome hoặc Safari. Màn hình đỏ cảnh báo trang lừa đảo, hoặc dòng “Trang web này có thể đã bị tấn công” dưới kết quả Google, là dấu hiệu nghiêm trọng. Bạn cũng có thể tra tên miền ở trang Safe Browsing của Google Transparency Report.
Để ý biểu tượng ổ khoá trên thanh địa chỉ. Lỗi chứng chỉ thường không phải do bị hack, nhưng cũng làm khách bỏ đi — kiểm tra nhanh tại Kiểm tra SSL.
Bước 4: Mở website trên điện thoại như một khách lạ (1 phút)
Mã độc chuyển hướng hay né chủ website: chỉ nhắm người dùng điện thoại, người vào từ Google, hoặc người vào lần đầu. Vì vậy:
- Tắt Wi-Fi, dùng 4G.
- Mở tab ẩn danh.
- Tìm tên website trên Google, bấm vào kết quả (đừng gõ thẳng địa chỉ).
Đáng lo nếu bị đưa sang trang khác, hiện quảng cáo lạ, hoặc thông báo “trúng thưởng”. Nhờ thêm một người thân thử trên máy của họ.
Bước 5: Kiểm tra danh sách tài khoản quản trị (1 phút)
Đăng nhập trang quản trị website. Với WordPress: Thành viên → Tất cả, lọc vai trò Quản trị viên. Với Shopify, Haravan, Sapo hay nền tảng khác: xem mục nhân viên hoặc phân quyền.
Đáng lo nếu có tài khoản bạn không tạo, kể cả tên nghe có vẻ “hệ thống” như admin2 hay support. Đừng xoá vội — chụp màn hình lại trước, rồi làm tiếp phần cuối bài.
Bước 6: Xem file mới bị sửa trong hosting (1 phút)
Bước này dành cho website tự cài trên hosting (như WordPress). Website trên Shopify, Haravan, Sapo thì bỏ qua.
- Đăng nhập cPanel hoặc DirectAdmin, mở Trình quản lý file (File Manager).
- Vào thư mục website (thường là
public_html), bấm cột Ngày sửa (Last Modified) để xếp file mới nhất lên đầu. - Mở thư mục
wp-content/uploads: thư mục này chỉ nên chứa ảnh.
Đáng lo nếu có file .php bị sửa vào ngày bạn không làm gì, file tên ngẫu nhiên như x7k2.php, hoặc file .php nằm trong thư mục ảnh.
Bước 7: Hỏi khách và xem hộp thư (30 giây)
- Email bạn gửi cho khách gần đây có hay bị vào thư rác không?
- Hosting có gửi thông báo “gửi quá nhiều email” hoặc “dùng quá tài nguyên” không?
- Có khách nào phản ánh nhận email lạ mang tên shop không?
Email vào thư rác hoặc bị giả mạo nhiều khi là do tên miền thiếu SPF, DMARC chứ không phải do bị hack. Kiểm tra nhanh tại Kiểm tra SPF, DMARC.
Bước 8: Quét miễn phí bằng WebsiteScanner (15 giây)
Nhập tên miền tại trang chủ WebsiteScanner. Công cụ đọc trang chủ của bạn như một khách truy cập và báo bằng tiếng Việt nếu thấy:
- Đoạn JavaScript bị làm rối (kiểu
eval(atob(…)),document.write(unescape(…)),String.fromCharCodedài). - Mã chuyển hướng sang tên miền lạ ngay trong trang.
- Mã đào tiền ảo.
- WordPress phiên bản cũ, file nhạy cảm bị lộ (như
.env,.git/config, file sao lưu), thư mục bị liệt kê công khai. - Cấu hình HTTPS, Security Headers, SPF, DMARC.
Quét từ bên ngoài không thấy được file ẩn trên máy chủ hay nội dung chỉ hiện cho Googlebot. Vì vậy hãy làm cả 8 bước, không chỉ bước này.
Quét miễn phí, không cần đăng ký, báo cáo tiếng Việt kèm cách sửa.
Không có thời gian tự dọn? Khi bản quét phát hiện link cờ bạc hoặc mã độc, báo cáo có nút đặt dịch vụ dọn website bị hack: 1.490.000đ/website, gồm gỡ mã độc, xoá trang rác, đổi mật khẩu, cập nhật plugin, yêu cầu Google xem xét lại và tặng 1 tháng PRO để kiểm tra lại.
Có dấu hiệu lạ: làm gì tiếp?
- Sao lưu toàn bộ file và cơ sở dữ liệu ở hiện trạng.
- Đổi mật khẩu hosting, quản trị website, FTP, cơ sở dữ liệu, email; bật xác thực hai lớp.
- Cập nhật CMS, plugin, theme; gỡ thứ không dùng.
- Dọn mã độc hoặc khôi phục bản sạch, rồi yêu cầu Google xem xét lại trong Search Console.
Hướng dẫn chi tiết từng bước ở phần cuối bài 9 dấu hiệu website bị hack. Nếu website có dữ liệu thanh toán hoặc thông tin khách hàng, nên nhờ chuyên gia.
Không thấy gì lạ: giữ cho website sạch
- Lặp lại danh sách này mỗi tháng, hoặc ngay khi có khách phản ánh.
- Bật cập nhật tự động, dùng mật khẩu riêng và xác thực hai lớp — xem 10 việc bảo mật WordPress cơ bản.
- Xác minh tên miền trên WebsiteScanner để được quét tự động hằng tuần và nhận email khi có lỗi mới.
Câu hỏi thường gặp
Website dùng Shopify, Haravan hay Sapo có cần kiểm tra không?
Có, nhưng ít bước hơn. Nền tảng lo phần máy chủ, nên bạn bỏ qua bước xem file trong hosting. Vẫn nên kiểm tra kết quả Google, tài khoản nhân viên, ứng dụng hoặc đoạn mã bên thứ ba đã thêm vào cửa hàng.
Tôi làm hết 8 bước không thấy gì, vậy chắc chắn an toàn?
Không thể chắc chắn hoàn toàn. Danh sách này bắt được các dấu hiệu phổ biến nhất. Một số mã độc ẩn rất kỹ; nếu vẫn nghi ngờ, hãy nhờ người có chuyên môn kiểm tra máy chủ.
Bao lâu nên kiểm tra một lần?
Mỗi tháng một lần là hợp lý với website nhỏ, và ngay khi có khách phản ánh điều bất thường. Xác minh tên miền trên WebsiteScanner để được quét tự động hằng tuần.
Bài này khác gì bài 9 dấu hiệu website bị hack?
Bài 9 dấu hiệu giải thích từng dấu hiệu nghĩa là gì và cách xử lý chi tiết. Bài này là danh sách kiểm tra từng bước để bạn tự làm nhanh, không cần kiến thức kỹ thuật.