Web Sitem Hacklendi Ne Yapmalıyım?

İçindekiler

Web sitenizin hacklendiğini fark etmek korkutucu ve stresli bir durumdur. Ziyaretçilerinizin verileri, marka itibarınız ve işinizin sürekliliği tehlikeye girebilir. Ancak paniklemek yerine hızlı, sistematik ve doğru adımlar atmak saldırının etkisini azaltır ve sitenizi daha sağlam hâle getirir. Bu rehberde “ilk müdahale”, “temizlik ve kurtarma”, “teknik detaylar”, “yasal/iletişim adımları” ve “gelecekte benzer saldırıları önleme” başlıkları altında uygulanabilir, önceliklendirilmiş adımları bulacaksınız.

1. Panik Yapmayın — Önceliklerinizi Belirleyin

İlk kural: panik yok. Hızlı ve organize davranmak gerekir. Öncelikler:

Saldırının kapsamını belirlemek — Sadece tek bir sayfa mı etkilendi yoksa tüm site mi?
Kullanıcı ve iş verilerinin durumu — Kredi kartı, kişisel bilgiler, müşteri veritabanı tehlikede mi?
Hemen alınması gereken acil önlemler — Siteyi geçici olarak çevrimdışı almak, parola değiştirmek gibi.

2. İlk Müdahale — Acil Yapılacaklar (İlk 60-120 dakika)

Aşağıdaki adımları mümkün olan en kısa sürede uygulayın. Öncelik: zarar yayılımını durdurmak ve kanıt toplamak.

2.1. Siteyi geçici olarak “bakım/özür” moduna alın

Eğer bir kontrol paneliniz (cPanel, Plesk, WordPress yönetici, vs.) varsa, siteyi bakım moduna alın veya bakım sayfası göstererek ziyaretçi erişimini kesebilirsiniz. Bu, saldırganın yeni zararlar eklemesini zorlaştırır ve kullanıcıları kötü içerikten korur.

2.2. Sunucu ve yönetici erişimlerini güvene alın

Hosting kontrol paneli, FTP/SFTP, SSH ve CMS yönetici hesabı gibi tüm erişim bilgilerini hemen değiştirin. (Bilgisayarınızın ve kullandığınız ağın güvenli olduğundan emin olun — eğer bilgisayarınızda kötü amaçlı yazılım varsa yeni şifreler de ele geçirilebilir.)
İmkan varsa, erişimleri geçici olarak kapatın veya IP beyaz listesi (whitelist) uygulayın.

2.3. Ekip ve paydaşları bilgilendirin

Siteyi yöneten ekip üyelerini, geliştiricileri ve hosting sağlayıcınızı hemen haberdar edin.
Eğer ödeme/sensitif veri varsa, üst yönetim ve hukuk departmanını bilgilendirin.

2.4. Yedeklemeyi kontrol edin — hemen geri yükleme yapılmayacak ama gerekli

Elinizdeki en güncel sağlam yedeğin hangisi olduğunu tespit edin. Ancak yedeği geri yüklemeden önce yedeğin temiz olduğundan emin olun—aksi halde aynı zararlı yazılım yeniden yayılır.

2.5. Kanıtları toplayın

Log dosyalarını (sunucu erişim logları, hata logları, FTP/SSH logları), web sunucusu kayıtlarını ve varsa saldırı izlerini saklayın. Bu bilgiler daha sonra adli inceleme ve root cause analysis için kritik olacaktır.
Logları kopyalayın ve güvenli bir yerde saklayın (yerel güvenli makine veya güvenli paylaşım alanı).

3. Saldırının Türünü ve Kapsamını Belirleyin

Saldırının türünü anlamak, doğru müdahaleyi seçmede yardımcı olur. Yaygın saldırı tipleri:

Defacement (sayfa değiştirme): Anasayfa veya bazı sayfalar değiştirilmiş.
Backdoor / Shell yüklenmesi: Saldırgan sunucuda arka kapı bırakmış.
Malware dağıtımı / drive-by: Site ziyaretçilerine kötü amaçlı yazılım bulaştırıyor.
Veri sızıntısı: Veritabanı ele geçirilmiş, kullanıcı verileri çalınmış.
SEO Spam / Pharma hack: Gizli spam sayfaları veya yönlendirmeler eklenmiş.
DDoS: Hizmet aksatma saldırısı (performans düşüşü, site çökmesi).

3.1. Hangi dosyalar değişmiş? Hangi tablolar etkilendi?

Dosya tarihlerini ve hash değerlerini inceleyin (varsa önceden tuttuğunuz hashlerle karşılaştırın).
Veritabanında olağan dışı tablolar ya da sorgular var mı kontrol edin.

4. Temizlik ve Kurtarma Adımları

4.1. Taşınabilir bir temizleme alanı (clean room) oluşturun

Üretim sunucusunda doğrudan değişiklik yapmak yerine bir izolasyon / test ortamında temizlik yapın.
Üretimini durdurup (maintenance) test ortamında temizleme ve doğrulama yapmanız daha güvenli olabilir.

4.2. Dosyaları temizleyin veya yeniden yükleyin

Eğer CMS (ör. WordPress) kullanıyorsanız: çekirdek dosyalarını, tema ve eklentileri orijinallerinden yeniden yükleyin.
Değişiklik yapılmış dosyaları orijinal ile karşılaştırın; şüpheli dosyaları silin veya temizleyin.
Bilinmeyen PHP dosyaları, eval(), base64_decode(), gzuncompress() gibi şifrelenmiş/dinamik kod içeren dosyalar dikkatlice incelenmeli.

4.3. Veritabanını kontrol edin ve temizleyin

Şüpheli kullanıcı hesapları, admin yetkili eklentiler, gizli içerik/SEO spam sayfalarını temizleyin.
Kullanıcı şifrelerini sıfırlayın; gerekirse tüm kullanıcıların şifre reseti yapmasını zorunlu kılın.

4.4. Tüm şifreleri ve anahtarları değiştirin

Yönetici parolaları, FTP/SFTP/SSH parolaları, veritabanı parolaları, API anahtarları, e-posta parolaları — hepsi güvenli bir şekilde değiştirilmeli.
Parolalarda karmaşık ve benzersiz kombinasyonlar kullanın ve mümkünse iki faktörlü kimlik doğrulama (2FA) aktif edin.

4.5. Backdoor / web shell taraması yapın

Sunucuda şüpheli PHP/PERL/ASP dosyalarını arayın. Özellikle uploads klasörleri ve geçici dizinler hedeflenir.
Otomatik tarama araçları yardımcı olabilir; ancak manuel inceleme de önemlidir.

4.6. Malware temizliği sonrası yükleme (restore)

Temiz bir yedekten geri yükleme yapıyorsanız, önce geri yükleme yedeğinin temiz olduğundan emin olun.
Temizleme sonrası siteyi kapalı tutup kapsamlı testler yapın: formlar, ödeme akışı, giriş/log-in, dosya yükleme, vb.

5. Teknik Detaylar — Kontrol Listesi ve Komutlar (Genel Rehber)

Aşağıdaki adımlar ortamınıza göre uyarlandıktan sonra uygulanmalı:

Sunucu loglarını inceleyin: access.log, error.log, auth.log.
Dosya izinlerini doğrulayın: web sunucusu dizinleri için güvenli izinler (ör. 755 klasör, 644 dosya).
crontab ve zamanlanmış görevleri kontrol edin.
Özellikle wp-config.php veya benzeri konfigürasyon dosyalarında yeni/şüpheli PHP kodu arayın.
Veritabanı kullanıcı izinlerini kontrol edin; gereksiz geniş izinleri azaltın.
SSH anahtarlarını kontrol edin; tanımadığınız anahtarları kaldırın.
Güvenlik duvarı (iptables, ufw) ve ağ kurallarını gözden geçirin.
Sunucu yazılımlarını güncelleyin (OS, web server, PHP, DB).
HTTPS sertifikası, HSTS ve güvenli header ayarlarını doğrulayın.

6. SEO ve Güvenlik İtibarını Onarma

Hack sonrası site kötü amaçlı içerik barındırıyorsa arama motorları sitenizi kara listeye alabilir veya “bu site tehlikeli” uyarısı gösterebilir. Hızlı adımlar:

Google Search Console, Bing Webmaster Tools gibi araçlara giriş yapın ve güvenlik sorunları (Security Issues) bildirimlerini kontrol edin.
Kötü URL’leri ve spam sayfaları tespit edip kaldırın. Kaldırdıktan sonra Search Console üzerinden yeniden değerlendirme (review) isteği gönderin.
Eğer kullanıcı verisi sızdıysa (kullanıcı şifreleri, kredi kartı vb.) ilgili kurumları ve kullanıcıları bilgilendirin. Yasal gerekliliklere uyun (Kişisel Verilerin Korunması Kanunu veya ilgili mevzuat çerçevesinde bildirim gerekebilir).
Siteyi temizledikten sonra arama motorlarına temizlendiğine dair talepte bulunun ve indeksleme hatalarını düzeltin.

7. İletişim ve Hukuki Adımlar

Eğer saldırı ciddi ve veri sızıntısı söz konusu ise:

Hukuk departmanınızı veya dışarıdan bir bilişim hukuku danışmanını hemen devreye sokun.
Gerekirse ilgili regülatörlere ve veri koruma otoritelerine bildirimde bulunun.
Müşterilerinizi/ziyaretçilerinizi şeffaf şekilde bilgilendirin: ne oldu, hangi veriler etkilendi, hangi adımlar atıldı, kullanıcılardan ne bekleniyor (ör. şifre reseti). Açık ve zamanında iletişim itibar yönetimi açısından önemlidir.

8. Profesyonel Yardım Ne Zaman Alınmalı?

Küçük, sınırlı değişiklikler kendi ekibinizle çözülebilir. Ancak aşağıdaki durumlarda profesyonel destek alın:

Veritabanı ele geçirildiyse veya hassas veri sızıntısı varsa.
Backdoor tespit ettiyseniz ve sunucuda kök yetkili erişim şüphesi varsa.
Saldırının kaynağı veya kapsamı belirsizse.
Sürekli tekrarlayan saldırılar veya karmaşık, birden fazla zafiyeti içeren bir saldırı varsa.

Deneyimli bir siber güvenlik uzmanı veya güvenlik firması:

Adli bilişim (forensic) inceleme yapar,
Root cause analysis (saldırının kök nedenini) ortaya koyar,
Kalıcı backdoor’ları tespit edip temizler,
Gerekirse hukuki delil hazırlığı yapar.

9. Saldırı Sonrası İyileştirme ve Önleme Stratejileri

Siteden kurtulduktan sonra aynı şeyin tekrar olmaması için sistematik önlemler alın:

9.1. Yazılımları sürekli güncel tutun

CMS, tema, eklenti ve sunucu yazılımlarını düzenli güncelleyin.

9.2. Yedekleme stratejisi oluşturun

Otomatik, düzenli ve versiyonlu yedekleme yapın. Yedekleri farklı bir altyapıda güvenle saklayın.

9.3. Güçlü kimlik doğrulama ve yetkilendirme

Yönetici hesapları için 2FA zorunlu kılın.
En az ayrıcalık (principle of least privilege) prensibini uygulayın.

9.4. Web Uygulama Güvenlik Duvarı (WAF) ve güvenlik eklentileri

WAF ile bilinen kötü istekleri engelleyin.
CMS’ler için güvenlik eklentileri ile tarama ve koruma sağlayın.

9.5. Düzenli güvenlik taramaları ve penetrasyon testleri

Otomatik taramalar; ayrıca yılda en az bir kez profesyonel pentest yaptırın.

9.6. Dosya bütünlüğü ve izleme

Önemli dosyalar için hash kontrolü (dosya bütünlüğü izleme) yapın ve değişikliklerde uyarı alın.

9.7. Güvenlik eğitimleri

Ekip üyelerine phishing, sosyal mühendislik ve güvenlik farkındalığı eğitimi verin.

10. Sık Yapılan Hatalar — Hızlı Uyarılar

Sadece dosyaları temizlemek: Backdoor bırakıldıysa aynı saldırı tekrar olur. Root cause (giriş yöntemi) bulunmalı.
Güvenli olmayan yedeği geri yüklemek: Yedeğin temiz olup olmadığını doğrulamadan geri yüklemek tehlikelidir.
Parolaları değiştirmemek: Saldırgan erişim bilgilerini ele geçirmiş olabilir; tüm ilgili parolalar derhal değiştirilmeli.
Kullanıcıları bilgilendirmemek: Veri sızıntısı varsa yasal ve itibar riskleri artar.
Güncellemeleri ertelemek: Eski eklentiler ve temalar sık tercih edilen giriş noktalarıdır.

11. Örnek Yol Haritası — Hızlı Müdahale Checklist (Kısa)

Siteyi bakım moduna al.
Ekip, hosting ve geliştiricileri bilgilendir.
Tüm erişim şifrelerini ve anahtarları değiştir.
Logları güvenli bir yere kopyala.
Yedeği doğrula; temiz ortamda restore planla.
Dosya ve DB taraması yap; backdoor ara.
Temizleme sonrasında kapsamlı test yap.
SEO/arama motoru sağlığını kontrol et; Search Console’a başvur.
Kullanıcıları/ilgili kurumları bilgilendir (gerekiyorsa).
Güçlendirme planı uygula (WAF, 2FA, güncellemeler, pentest).

12. Hızlı, Sistematik ve Şeffaf Olun

Siteniz hacklendiğinde en önemli şeyler: hızlı hareket etmek, yayılan zararı durdurmak, delilleri korumak ve sonrasında benzer saldırıların tekrarlanmaması için kalıcı önlemler almaktır. Panik yerine planlı bir müdahale; teknik temizlikten hukuki ve iletişim adımlarına kadar kapsamlı bir yaklaşım gerektirir. Gerekli durumlarda profesyonel destek almak, hem saldırının etkilerini azaltır hem de uzun vadede maliyetleri düşürür.