Χακαρίστηκε το WordPress site σας; Τα πρώτα βήματα.

Ένα πρωί ένας πελάτης σάς γράφει ότι το site σας τον έστειλε σε σελίδα με καζίνο. Ή ψάχνετε την επιχείρησή σας στη Google και βλέπετε δεκάδες σελίδες με ιαπωνικούς χαρακτήρες και ονόματα φαρμάκων που δεν φτιάξατε ποτέ. Ένα χακαρισμένο WordPress site είναι αγχωτική υπόθεση, αλλά σπάνια είναι καταστροφή, αν οι πρώτες κινήσεις γίνουν με τη σωστή σειρά.

Παρακάτω είναι η σειρά που ακολουθούμε κι εμείς στα sites που συντηρούμε: πώς επιβεβαιώνετε το πρόβλημα, τι κάνετε αμέσως, τι αποφεύγετε, πώς γίνεται ο καθαρισμός, τι ισχύει για τη Google και τον GDPR, και τι αλλάζει μετά.

01Πώς καταλαβαίνετε ότι το site χακαρίστηκε

Η λέξη «χακαρίστηκε» λέει λίγα. Η τεκμηρίωση του WordPress.org ζητά πρώτα να περιγράψετε με ακρίβεια τα συμπτώματα, γιατί από αυτά εξαρτάται τι θα ψάξετε. Τα πιο συνηθισμένα:

• Ανακατευθύνσεις σε spam, καζίνο ή ψεύτικα καταστήματα. Συχνά συμβαίνουν μόνο στο κινητό ή μόνο σε όσους έρχονται από τη Google, ώστε ο ιδιοκτήτης να μην τις βλέπει.
• Σελίδες spam στη Google. Γράψτε στην αναζήτηση site: και το domain σας. Σελίδες στα ιαπωνικά ή με ονόματα φαρμάκων σημαίνουν ότι κάποιος δημιουργεί περιεχόμενο στο site σας.
• Άγνωστοι διαχειριστές στους χρήστες του WordPress ή plugins που δεν εγκαταστήσατε εσείς.
• Προειδοποιήσεις. Η Google δείχνει στα αποτελέσματα την ένδειξη «Αυτός ο ιστότοπος ενδέχεται να έχει παραβιαστεί» όταν πιστεύει ότι κάποιος άλλαξε σελίδες ή πρόσθεσε ανεπιθύμητες (Βοήθεια Αναζήτησης Google). Μπορεί επίσης να εμφανιστεί προειδοποίηση στον browser ή να μπλοκάρει το site το antivirus των επισκεπτών.
• Αναστολή από τον πάροχο hosting ή email που επιστρέφουν, επειδή ο server μπήκε σε λίστα αποστολέων spam.

02Η πρώτη ώρα: έξι κινήσεις με σειρά

1. Σημειώστε τι είδατε και πότε. Ώρα, συμπτώματα, και τι άλλαξε τις τελευταίες μέρες: νέο plugin, ενημέρωση, νέος χρήστης. Θα το χρειαστείτε εσείς, ο τεχνικός σας και, αν χρειαστεί, η Αρχή Προστασίας Δεδομένων.
2. Κρατήστε αντίγραφο της μολυσμένης κατάστασης. Αρχεία και βάση δεδομένων, όπως είναι. Ακούγεται παράξενο, αλλά το WordPress.org το συνιστά ρητά πριν από τον καθαρισμό: αν κάτι πάει στραβά, έχετε σημείο αναφοράς και στοιχεία για το πώς έγινε η επίθεση.
3. Ενημερώστε τον πάροχο hosting. Σε shared hosting η μόλυνση μπορεί να αφορά κι άλλα sites στον ίδιο λογαριασμό, και ο πάροχος έχει logs που εσείς δεν βλέπετε.
4. Αλλάξτε όλους τους κωδικούς, από καθαρό υπολογιστή. Όχι μόνο του WordPress, αλλά και του πίνακα hosting, του SFTP/FTP, της βάσης δεδομένων και του email του διαχειριστή. Το WordPress.org σημειώνει ότι συχνά η αρχή είναι ένας μολυσμένος υπολογιστής που υποκλέπτει κωδικούς, γι’ αυτό σκανάρετε και τον δικό σας.
5. Ελέγξτε τους χρήστες. Στους Χρήστες, με φίλτρο «Διαχειριστής», κάθε λογαριασμός πρέπει να είναι κάποιος που γνωρίζετε. Τους άγνωστους τους καταγράφετε (όνομα, email, ημερομηνία) και μετά τους αφαιρείτε.
6. Προστατέψτε τους επισκέπτες. Αν το site στέλνει κόσμο σε κακόβουλες σελίδες, βάλτε το σε maintenance mode ή κλείστε το προσωρινά από τον πίνακα hosting μέχρι τον καθαρισμό.

03Τι να μην κάνετε

• Μη σβήνετε αρχεία στα τυφλά. Χάνετε στοιχεία για το πώς έγινε η επίθεση, και η «πίσω πόρτα» (backdoor) συνήθως βρίσκεται κάπου αλλού.
• Μην επαναφέρετε ένα backup και το ξεχάσετε. Αν το κενό που εκμεταλλεύτηκαν, π.χ. ένα plugin χωρίς ενημέρωση, υπάρχει ακόμα, η μόλυνση θα επιστρέψει.
• Μη βασίζεστε στην επανεγκατάσταση από το wp-admin. Το WordPress.org εξηγεί ότι αντικαθιστά τα υπάρχοντα αρχεία, αλλά δεν σβήνει τα νέα που πρόσθεσε ο εισβολέας.
• Μην εγκαθιστάτε «καθαριστικά» από άγνωστες πηγές και ποτέ nulled, δηλαδή «σπασμένες», εκδόσεις premium plugins και themes. Συχνά έρχονται με κακόβουλο κώδικα ενσωματωμένο.
• Μη ζητήσετε επανέλεγχο από τη Google πριν τελειώσετε. Η Google προειδοποιεί ότι πρόωρα ή επαναλαμβανόμενα αιτήματα μπορεί να καθυστερήσουν τα επόμενα.

04Πώς καθαρίζεται ένα χακαρισμένο WordPress site

Υπάρχουν δύο δρόμοι, και συχνά συνδυάζονται.

Στον χειροκίνητο καθαρισμό, η σειρά είναι περίπου η εξής:

• Πυρήνας. Αντικαθιστάτε τους φακέλους wp-admin και wp-includes με καθαρά αρχεία της ίδιας έκδοσης, μέσω SFTP. Με το WP-CLI, η εντολή wp core verify-checksums συγκρίνει τα αρχεία με τα επίσημα checksums του WordPress.org, και με την επιλογή –include-root προειδοποιεί για ό,τι δεν ανήκει στο WordPress στον βασικό φάκελο.
• Plugins και themes. Τα ξανακατεβάζετε από το wordpress.org ή από τον λογαριασμό σας στον κατασκευαστή, ποτέ από «δωρεάν» αντίγραφα. Ό,τι δεν χρησιμοποιείτε, το διαγράφετε.
• Uploads και «αγαπημένα» αρχεία. Αρχεία PHP μέσα στο wp-content/uploads δεν έχουν δουλειά εκεί. Ιδιαίτερη προσοχή στο .htaccess, στο index.php και στα header.php, footer.php και functions.php του theme, που το WordPress.org αναφέρει ως συχνούς στόχους.
• Βάση δεδομένων. Scripts κρυμμένα σε άρθρα, widgets και ρυθμίσεις, και διαχειριστές που φτιάχτηκαν απευθείας στη βάση.
• Νέα κλειδιά ασφαλείας (salts). Τα αλλάζετε στο wp-config.php, ώστε να αποσυνδεθεί όποιος έχει ακόμη ενεργή σύνδεση, και μετά αλλάζετε ξανά όλους τους κωδικούς.

Στο τέλος ενημερώνετε WordPress, plugins και theme και ψάχνετε πώς μπήκε ο εισβολέας. Χωρίς αυτό το βήμα, ο καθαρισμός είναι προσωρινός.

05Google: προειδοποιήσεις και αίτημα επανελέγχου

Αν η Google εντόπισε το πρόβλημα, θα το δείτε στην αναφορά «Security issues» του Search Console. Οι κατηγορίες είναι τρεις: παραβιασμένο περιεχόμενο, malware και ανεπιθύμητο λογισμικό, και κοινωνική μηχανική, όπως ψεύτικες σελίδες σύνδεσης. Η αναφορά δίνει και παραδείγματα URL, χρήσιμα για τον καθαρισμό.

Όταν το site είναι καθαρό σε όλες τις σελίδες, όχι μόνο σε όσες αναφέρονται, πατάτε «Request Review» και περιγράφετε το πρόβλημα, τι κάνατε και ποιο ήταν το αποτέλεσμα. Σύμφωνα με τη Google, ο έλεγχος κρατά από λίγες ημέρες έως λίγες εβδομάδες. Μη στέλνετε νέο αίτημα όσο εκκρεμεί το προηγούμενο. Αν το site δεν ήταν επαληθευμένο στο Search Console, κάντε το τώρα: από εκεί περνά η αφαίρεση της προειδοποίησης.

Οι σελίδες spam που δημιουργήθηκαν πρέπει μετά τον καθαρισμό να επιστρέφουν σφάλμα 404 ή 410, ώστε να φύγουν σταδιακά από τα αποτελέσματα.

06GDPR: πότε ενημερώνετε την Αρχή

Αν το site κρατά προσωπικά δεδομένα, όπως λογαριασμούς πελατών, παραγγελίες, μηνύματα από φόρμες ή λίστα newsletter, και ο εισβολέας μπορεί να είχε πρόσβαση σε αυτά, πρόκειται για παραβίαση δεδομένων προσωπικού χαρακτήρα. Σύμφωνα με το άρθρο 33 του ΓΚΠΔ, η επιχείρησή σας ως υπεύθυνος επεξεργασίας τη γνωστοποιεί στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα εντός 72 ωρών από τη στιγμή που έλαβε γνώση, εκτός αν δεν είναι πιθανό να θέσει σε κίνδυνο τα πρόσωπα (οδηγός του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων).

• Αν δεν έχετε όλα τα στοιχεία μέσα στις 72 ώρες, κάνετε αρχική γνωστοποίηση και συμπληρώνετε σταδιακά.
• Κάθε παραβίαση καταγράφεται σε εσωτερικό αρχείο, ακόμη κι αν δεν χρειάζεται γνωστοποίηση.
• Αν ο κίνδυνος είναι υψηλός, ενημερώνετε και τα ίδια τα πρόσωπα (άρθρο 34), κατά προτίμηση ατομικά και όχι με μια γενική ανακοίνωση.

Η σελίδα γνωστοποίησης της Αρχής έχει και εργαλείο αυτοαξιολόγησης, που συνιστά να χρησιμοποιήσετε πριν από τη γνωστοποίηση. Σε e-shop όπου η πληρωμή γίνεται σε σελίδα της τράπεζας, τα στοιχεία καρτών κατά κανόνα δεν περνούν από το site σας. Ονόματα, διευθύνσεις και τηλέφωνα πελατών όμως βρίσκονται στη βάση. Η εκτίμηση του κινδύνου είναι νομική απόφαση, οπότε ενημερώστε από την πρώτη μέρα τον υπεύθυνο προστασίας δεδομένων ή τον νομικό σας. Ο τεχνικός σας δίνει τα στοιχεία: τι άλλαξε, πότε, και αν υπάρχουν ενδείξεις πρόσβασης στη βάση.

07Πώς να μην ξανασυμβεί

Τα στοιχεία δείχνουν καθαρά από πού έρχεται ο κίνδυνος. Σύμφωνα με την έκθεση της Patchstack για την ασφάλεια του WordPress, το 2025 βρέθηκαν 11.334 νέες ευπάθειες στο οικοσύστημα του WordPress: το 91% σε plugins, το 9% σε themes και μόλις 6, χαμηλής προτεραιότητας, στον πυρήνα. Για το 46% δεν υπήρχε διόρθωση από τον developer τη στιγμή της δημοσιοποίησης, και ο σταθμισμένος διάμεσος χρόνος ως την πρώτη εκμετάλλευση ήταν 5 ώρες. Ο ρυθμός δεν πέφτει: μόνο την εβδομάδα 28 Σεπτεμβρίου – 4 Οκτωβρίου 2026, η Wordfence κατέγραψε 510 ευπάθειες σε 370 plugins και 10 themes.

• Ενημερώσεις χωρίς καθυστέρηση, ιδανικά δοκιμασμένες πρώτα σε staging. Όταν οι επιθέσεις σε μια νέα ευπάθεια ξεκινούν μέσα σε ώρες, η ενημέρωση «μία φορά τον μήνα» δεν αρκεί για τα κρίσιμα.
• Λιγότερα plugins. Ό,τι δεν χρησιμοποιείτε, το διαγράφετε, δεν το απενεργοποιείτε απλώς. Όσα έχει εγκαταλείψει ο developer τους, τα αντικαθιστάτε.
• Έλεγχος ταυτότητας δύο παραγόντων (2FA) για κάθε διαχειριστή, με μοναδικούς και μακριούς κωδικούς.
• Ελάχιστα δικαιώματα. Όποιος γράφει άρθρα γίνεται Editor, όποιος διαχειρίζεται παραγγελίες Shop Manager. Διαχειριστές μόνο όσοι πραγματικά χρειάζονται.
• Firewall που «καταλαβαίνει» το WordPress. Στις δοκιμές της Patchstack σε παρόχους hosting, οι συνήθεις άμυνες του server μπλόκαραν μόλις το 12% έως 26% των επιθέσεων σε ευπάθειες, ανάλογα με το πείραμα. Ένα WAF σε επίπεδο εφαρμογής βοηθά, αλλά δεν αντικαθιστά τις ενημερώσεις.
• Backups εκτός server, δοκιμασμένα. Ένα backup που δεν έχετε επαναφέρει ποτέ είναι υπόθεση, όχι σχέδιο. Κρατήστε αρκετές ημέρες πίσω, γιατί μια μόλυνση μπορεί να εντοπιστεί εβδομάδες αργότερα.

Αν το site σας δείχνει ήδη κάποιο από τα σημάδια ότι χρειάζεται συντήρηση, μην περιμένετε το hack. Στα πακέτα συντήρησης, το Grow περιλαμβάνει staging και καθημερινά backups εκτός server, και το Scale απεριόριστο καθαρισμό από hack και απόκριση εντός 4 ωρών, 24/7, για τα κρίσιμα. Μπορείτε να επιλέξετε το πακέτο που σας ταιριάζει ή, αν θέλετε πρώτα μια εικόνα, να ζητήσετε τεχνική αξιολόγηση με έλεγχο ασφάλειας και malware.

08Συχνές ερωτήσεις

Θα χάσω τις θέσεις μου στη Google;

Όσο υπάρχουν προειδοποιήσεις και σελίδες spam, η επισκεψιμότητα συνήθως πέφτει, γιατί οι χρήστες αποφεύγουν το site. Μετά τον καθαρισμό και τον επανέλεγχο η εικόνα επανέρχεται σταδιακά. Πόσο γρήγορα, εξαρτάται κυρίως από το πόσο κράτησε το πρόβλημα.

Αρκεί ένα security plugin;

Βοηθά να εντοπίζονται και να μπλοκάρονται γνωστές επιθέσεις, αλλά δεν ενημερώνει ένα ευάλωτο plugin ούτε αλλάζει έναν κωδικό που διέρρευσε. Είναι ένα επίπεδο προστασίας, όχι η λύση.

Μπορώ να το καθαρίσω μόνος μου;

Αν η μόλυνση είναι απλή και έχετε καθαρό backup, ναι, με τα βήματα παραπάνω. Αν όμως έχετε e-shop, δεδομένα πελατών ή προειδοποίηση από τη Google, αξίζει να το δει κάποιος με εμπειρία. Ένα backdoor που ξέφυγε σημαίνει νέα μόλυνση σε λίγες μέρες. Για άμεση βοήθεια, επικοινωνήστε μαζί μας.