Website bị hack: 9 dấu hiệu và cách kiểm tra

WebsiteScanner · 3/11/2026 · khoảng 8 phút đọc

Nhiều chủ website nhỏ chỉ biết mình bị hack khi khách nhắn “sao vào web lại ra trang cá cược?” hoặc khi Google hiện cảnh báo đỏ. Lúc đó, mã độc có thể đã nằm trên máy chủ nhiều tuần. Kẻ tấn công thường không muốn bạn phát hiện: website càng chạy bình thường với chủ, họ càng khai thác được lâu.

Dưới đây là 9 dấu hiệu phổ biến, kèm cách tự kiểm tra từng dấu hiệu.

1. Chuyển hướng sang trang lạ

Khách bấm vào website của bạn từ Google, nhưng lại bị đưa sang trang cá cược, quảng cáo hay “trúng thưởng”. Mã độc thường chỉ chuyển hướng một số khách: người vào từ Google, người dùng điện thoại, hoặc lần đầu truy cập. Bạn gõ thẳng địa chỉ trên máy tính quen thuộc thì không thấy gì.

Cách kiểm tra: dùng điện thoại bằng mạng 4G, mở tab ẩn danh, tìm tên website trên Google rồi bấm vào kết quả. Hoặc giả làm trình duyệt điện thoại bằng lệnh:

curl -sI -A "Mozilla/5.0 (iPhone)" -e "https://www.google.com/" https://tenmien.vn/

Nếu dòng location: trỏ sang tên miền không phải của bạn, đó là dấu hiệu rõ ràng.

2. Mã lạ được chèn vào trang

Mở trang, bấm chuột phải chọn “Xem nguồn trang” (Ctrl+U) và tìm những thứ bạn không tự thêm vào:

• Thẻ <script> tải từ tên miền lạ.
• Đoạn mã bị làm rối: eval(, atob(, String.fromCharCode(, document.write( với chuỗi ký tự dài vô nghĩa.
• <iframe> có kích thước 0 hoặc bị ẩn.
• Mã đào tiền ảo: trang làm máy khách nóng lên và quạt quay to.

3. Trang spam lạ trên Google

Gõ site:tenmien.vn trên Google và lướt các kết quả. Nếu thấy tiêu đề về cá cược, thuốc, hàng hiệu giả hoặc chữ tiếng Nhật, tiếng Trung mà bạn chưa từng đăng, website đang bị chèn trang spam để lợi dụng thứ hạng của bạn. Có thể thêm từ khoá để lọc nhanh, ví dụ site:tenmien.vn casino.

4. Google hoặc trình duyệt cảnh báo

Màn hình đỏ “Trang web lừa đảo phía trước” hoặc dòng “Trang web này có thể đã bị tấn công” dưới kết quả tìm kiếm là dấu hiệu nghiêm trọng: khách gần như chắc chắn sẽ bỏ đi. Kiểm tra trong Google Search Console, mục Vấn đề bảo mật, và tra tên miền tại trang Safe Browsing của Google Transparency Report.

5. File lạ trên hosting

Đăng nhập trình quản lý file của hosting (cPanel, DirectAdmin…) hoặc SSH và tìm:

• File .php nằm trong thư mục ảnh tải lên, ví dụ wp-content/uploads của WordPress — thư mục này lẽ ra chỉ chứa ảnh.
• File tên ngẫu nhiên như x7k2.php, hoặc tên giả làm file hệ thống.
• File .htaccess có dòng chuyển hướng bạn không viết.
• File bị sửa gần đây trong khi bạn không cập nhật gì.

Nếu có SSH, hai lệnh hữu ích:

find . -name "*.php" -mtime -7          # file PHP bị sửa trong 7 ngày
find wp-content/uploads -name "*.php"   # PHP trong thư mục ảnh

6. Tài khoản quản trị lạ

Vào danh sách người dùng của website và lọc theo vai trò quản trị. Một tài khoản admin bạn không tạo, dù tên nghe rất “hệ thống”, gần như chắc chắn là cửa hậu. Kiểm tra thêm tài khoản FTP, tài khoản cơ sở dữ liệu và tác vụ định kỳ (cron job) trong hosting. Với WordPress có WP-CLI:

wp user list --role=administrator
wp core verify-checksums

Lệnh thứ hai so file lõi WordPress với bản gốc và báo file nào bị sửa.

7. Email bất thường

Hosting báo tài khoản đang gửi quá nhiều email, email của bạn bắt đầu vào thư rác, hoặc địa chỉ IP máy chủ bị đưa vào danh sách đen. Mã độc hay dùng form liên hệ hoặc hàm gửi mail của website để phát tán spam.

Lưu ý một trường hợp khác: khách nhận email giả mạo mang tên miền của bạn. Đó thường không phải do website bị hack, mà do tên miền thiếu SPF, DKIM, DMARC — xem bài chống giả mạo email tên miền.

8. Website chậm, hosting bị khoá

CPU hoặc băng thông tăng vọt dù lượng khách không đổi, hosting tạm khoá tài khoản vì “dùng quá tài nguyên” — có thể máy chủ đang chạy mã đào tiền ảo, gửi spam, hoặc tấn công website khác.

9. Giao diện, plugin hoặc mật khẩu bị thay đổi

Trang chủ bị thay bằng thông điệp lạ, xuất hiện plugin hoặc theme bạn không cài, hay bạn không đăng nhập được bằng mật khẩu cũ. Đây là dấu hiệu dễ thấy nhất nhưng thường đến muộn nhất.

Nghi ngờ bị hack: làm gì trước tiên?

1. Đừng vội xoá lung tung. Tải về một bản sao lưu toàn bộ file và cơ sở dữ liệu ở hiện trạng — cần để tìm điểm xâm nhập.
2. Đổi mọi mật khẩu: hosting, quản trị website, FTP/SSH, cơ sở dữ liệu, email tên miền. Bật xác thực hai lớp ở nơi có hỗ trợ. Xoá tài khoản admin lạ.
3. Bật chế độ bảo trì nếu website đang chuyển hướng hoặc phát tán mã độc tới khách.
4. Tìm điểm xâm nhập: thường là plugin, theme hoặc CMS lâu không cập nhật, hoặc mật khẩu yếu bị dò. Không vá điểm này thì mã độc sẽ quay lại.
5. Dọn từ bản sạch: khôi phục bản sao lưu trước thời điểm bị hack, hoặc cài lại lõi CMS và plugin từ nguồn chính thức, rồi so sánh nội dung còn lại.
6. Cập nhật mọi thứ và gỡ plugin, theme không dùng.
7. Yêu cầu Google xem xét lại trong Search Console khi đã chắc chắn sạch.
8. Theo dõi trong vài tuần để chắc mã độc không quay lại.

Nếu website có dữ liệu khách hàng hoặc thanh toán, hãy cân nhắc thuê chuyên gia điều tra và đánh giá dữ liệu có bị lộ không.

Câu hỏi thường gặp