Khách báo trang chủ tự động chuyển sang một website lạ, hoặc Google gắn cảnh báo “trang này có thể gây hại” ngay dưới kết quả tìm kiếm. Đây là lúc bạn biết website bị hack — và việc đầu tiên không phải hoảng loạn xoá hết mọi thứ, mà là xác định đúng vấn đề trước khi sửa.
Bài này đi theo đúng trình tự nên làm: nhận diện dấu hiệu, xử lý từng bước, đọc báo cáo Security Issues trên Google Search Console, gửi yêu cầu xem xét lại, rồi phòng để không bị lần hai.
Dấu hiệu website WordPress bị hack
Không phải lúc nào website bị hack cũng dễ nhận ra ngay. Một số dấu hiệu hay gặp:
- Trang tự chuyển hướng (redirect) sang một website khác, đặc biệt khi vào từ kết quả tìm kiếm Google.
- Google hoặc trình duyệt hiển thị cảnh báo “trang web này có thể chứa nội dung gây hại” trước khi cho vào trang.
- Xuất hiện bài viết, trang, hoặc liên kết lạ mà không ai trong nhóm bạn đăng — thường là nội dung quảng cáo thuốc, cờ bạc, hàng giả, chèn bằng chữ ẩn hoặc liên kết ẩn trong mã nguồn.
- Tốc độ trang chậm bất thường, hoặc có tài khoản quản trị lạ mà không ai tạo.
- Google Search Console gửi email báo “phát hiện vấn đề bảo mật” trên website của bạn.
- Khách hàng hoặc đồng nghiệp báo nhận được email/tin nhắn lạ có vẻ gửi từ website của bạn, dù bạn không gửi gì.
Vì sao website WordPress bị hack: những đường vào phổ biến
Hiểu đường vào giúp bạn vá đúng chỗ, không chỉ xoá triệu chứng. Những nguyên nhân hay gặp nhất không phải lỗi hệ thống WordPress nói chung, mà là lỗ hổng ở từng mảnh cụ thể:
- Plugin hoặc theme đã lâu không cập nhật, chứa lỗ hổng đã được công bố công khai (kẻ tấn công quét hàng loạt website dùng bản cũ để khai thác tự động).
- Mật khẩu yếu hoặc dùng lại ở nhiều nơi, bị đoán ra hoặc lộ từ một dịch vụ khác rồi dùng để đăng nhập thử vào WordPress.
- Tải theme/plugin từ nguồn không chính thức (bản “crack”, không qua WordPress.org hoặc nhà phát triển gốc), có thể đã bị chèn mã độc sẵn từ trước khi bạn cài.
- Quyền tệp để quá rộng trên hosting dùng chung nhiều website, khiến một website khác bị hack trên cùng server ảnh hưởng lan sang.
Việc đầu tiên cần làm khi phát hiện website bị hack
Trước khi sửa bất cứ gì, hãy làm theo thứ tự này để không làm mất dấu vết cần thiết cho việc xử lý:
- Đổi toàn bộ mật khẩu: tài khoản quản trị WordPress, tài khoản hosting/cPanel, tài khoản cơ sở dữ liệu. Nếu dùng chung mật khẩu ở nơi khác, đổi luôn cả những nơi đó.
- Tạm đưa website về chế độ bảo trì hoặc hạn chế truy cập, tránh khách tiếp tục thấy nội dung lạ trong lúc bạn xử lý.
- Kiểm tra file core có bị sửa đổi bằng lệnh WP-CLI
wp core verify-checksums— lệnh này so file WordPress đang cài với bản gốc trên WordPress.org, báo ra file nào bị thêm hoặc sửa khác bản chuẩn. - Rà danh sách plugin và theme, gỡ những cái không rõ nguồn gốc hoặc đã lâu không cập nhật.
Xử lý từng bước: lấy lại website WordPress bị hack
| Bước | Mục đích |
|---|---|
| Khôi phục từ bản sao lưu sạch gần nhất (nếu có) | Nhanh nhất nếu bản sao lưu còn nguyên và đủ mới — xem thêm cách sao lưu đúng ở bài {_a(“cs-backup”, “sao lưu website WordPress”)} |
| Nếu không có bản sao lưu sạch: cài lại core WordPress từ bản gốc, giữ nguyên thư mục uploads và cơ sở dữ liệu sau khi đã rà sạch | Loại bỏ mã độc chèn vào file core mà không mất nội dung |
| Soát toàn bộ cơ sở dữ liệu tìm đoạn mã lạ chèn vào bài viết, widget, hoặc bảng cài đặt | Mã độc không chỉ nằm trong file, có thể chèn thẳng vào dữ liệu |
| Đổi lại toàn bộ mật khẩu một lần nữa sau khi dọn sạch | Phòng trường hợp kẻ tấn công vẫn giữ thông tin cũ từ trước khi bạn đổi lần đầu |
| Cập nhật WordPress, plugin, theme lên bản mới nhất | Vá lỗ hổng đã bị lợi dụng, tránh bị hack lại ngay bằng đường cũ |
Lưu ý quan trọng: xử lý phải làm triệt để toàn bộ website, không chỉ xoá một bài viết lạ rồi coi như xong — nếu lỗ hổng gốc chưa được vá, nội dung lạ sẽ xuất hiện lại.
Google Search Console báo “Security Issues”: đọc và xử lý thế nào
Nếu Google phát hiện website của bạn có nội dung bị hack chèn vào, mã độc, hoặc trang lừa đảo, mục Security Issues (Vấn đề bảo mật) trong Google Search Console sẽ hiển thị chi tiết: loại vấn đề (nội dung bị hack, mã độc, trang lừa đảo người dùng…), và một vài URL mẫu bị ảnh hưởng để bạn biết bắt đầu kiểm tra từ đâu.
Theo hướng dẫn chính thức của Google, sau khi xử lý xong, bạn cần kiểm tra lại các URL mẫu đó (có thể dùng công cụ kiểm tra URL ngay trong Search Console) để chắc chắn vấn đề đã hết trước khi gửi yêu cầu xem xét lại.
Gửi yêu cầu xem xét lại (Request Review) sau khi đã xử lý xong
Khi chắc chắn toàn bộ vấn đề đã được dọn sạch trên toàn site, vào mục Security Issues trong Search Console và bấm Request Review (Yêu cầu xem xét). Trong phần mô tả, viết rõ bạn đã phát hiện vấn đề gì và đã sửa như thế nào — mô tả cụ thể giúp quá trình xem xét thuận lợi hơn.
Theo Google, việc xem xét có thể mất vài ngày đến vài tuần, Google sẽ báo qua email khi có kết quả. Trong lúc chờ, không nên gửi lại yêu cầu nhiều lần — việc này không giúp xử lý nhanh hơn, chỉ nên chờ kết quả của yêu cầu trước.
Website đang bị Google gắn cảnh báo bảo mật?
VIDCO rà soát và xử lý theo đúng quy trình: dọn sạch toàn site trước, rồi mới gửi yêu cầu xem xét lại — không hứa thời hạn Google phản hồi.
Phòng lại để không bị hack lần hai
- Cập nhật WordPress, plugin, theme đều đặn — phần lớn lỗ hổng bị lợi dụng là lỗ hổng đã có bản vá nhưng chưa cập nhật. Xem chi tiết cách làm an toàn ở bài cập nhật WordPress/plugin an toàn.
- Áp dụng các bước bảo mật website WordPress theo hướng dẫn hardening chính thức: giới hạn quyền tệp, tắt sửa file ngay trong trang quản trị, xác thực hai lớp.
- Giữ bản sao lưu sạch, cập nhật thường xuyên — để nếu có sự cố, bạn khôi phục nhanh thay vì phải dò từng file.
- Nếu website lưu dữ liệu cá nhân khách hàng (tên, số điện thoại, địa chỉ) và nghi ngờ dữ liệu đó bị lộ trong sự cố, cần đối chiếu nghĩa vụ theo Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 hiện hành, không áp dụng văn bản cũ đã hết hiệu lực.
Nguồn tham khảo
Thông tin trong bài được đối chiếu với các nguồn chính thức dưới đây tại thời điểm biên soạn; văn bản và chính sách có thể thay đổi.
- Security Issues Report – Google Search Console Help
- Hardening WordPress – Hướng dẫn bảo mật chính thức
- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (Quốc hội Việt Nam)
Câu hỏi thường gặp
Làm sao biết chắc website WordPress đã bị hack, không phải lỗi thường?
Dấu hiệu rõ nhất là redirect lạ, cảnh báo “trang gây hại” từ Google/trình duyệt, nội dung lạ xuất hiện mà không ai đăng, hoặc email báo Security Issues từ Google Search Console.
Có nên xoá hết file rồi cài lại từ đầu khi bị hack không?
Nên khôi phục từ bản sao lưu sạch nếu có. Nếu không có bản sao lưu sạch, cài lại core WordPress từ bản gốc nhưng vẫn phải rà kỹ cơ sở dữ liệu và thư mục uploads, vì mã độc có thể nằm ở đó, không chỉ trong file core.
Request Review trên Search Console mất bao lâu?
Theo Google, quá trình xem xét có thể mất vài ngày đến vài tuần, kết quả báo qua email. Không nên gửi lại yêu cầu nhiều lần trong lúc chờ.
wp core verify-checksums dùng để làm gì?
Lệnh WP-CLI này so file WordPress core đang cài với checksum gốc trên WordPress.org, giúp phát hiện file core nào đã bị sửa hoặc thêm bất thường — chỉ kiểm tra core, không kiểm tra plugin/theme/uploads.
Sau khi dọn sạch, có cần đổi mật khẩu lại lần nữa không?
Nên đổi lại một lần nữa sau khi dọn sạch toàn bộ, vì kẻ tấn công có thể vẫn giữ thông tin đăng nhập cũ từ trước khi bạn đổi lần đầu.
Không chắc đã dọn sạch hết hay chưa?
VIDCO kiểm tra lại toàn site trước khi bạn gửi yêu cầu xem xét cho Google, tránh bị từ chối vì xử lý chưa triệt để.
Xem thêm: dịch vụ chăm sóc website, kiểm tra bảo mật website, dịch vụ quản trị website nếu muốn có người theo dõi định kỳ thay bạn.
Nguồn đối chiếu: developer.wordpress.org/advanced-administration/security/hardening/ (“Hardening WordPress”), developer.wordpress.org/advanced-administration/security/backup/, developer.wordpress.org/cli/commands/db/export/ và …/core/verify-checksums/, support.google.com/webmasters/answer/9044101 (báo cáo Security Issues) — kiểm tra ngày 11/10/2026. Các bước kỹ thuật có thể thay đổi theo phiên bản WordPress hoặc theo hosting bạn đang dùng; nên đối chiếu lại tài liệu chính thức trước khi áp dụng.
