WordPress hacket? Slik redder du nettsiden – steg for steg

Du åpner nettleseren, skriver inn adressen til din egen nettside – og møter en advarsel fra Google, et ukjent innhold eller bare en blank side. Første tanke: er vi hacket? Pust rolig. Det har skjedd for utallige bedrifter, og de fleste kommer seg gjennom det. Denne guiden gir deg en klar plan: hva du gjør de neste 30 minuttene, hvordan du rydder opp og hva du gjør for å unngå at det skjer igjen.

Hvordan vet du at WordPress er hacket?

Et hack er ikke alltid åpenbart. Hackere liker faktisk å holde seg skjult – en kompromittert side som ser normal ut kan spre spam eller stjele data i ukevis uten at du merker noe.

Her er de vanligste tegnene du bør kjenne til:

• Google viser en advarsel («This site may be hacked» eller «Deceptive site ahead») i søkeresultatene
• Nettleseren blokkerer siden med en rød sikkerhetsadvarsel
• Siden omdirigerer besøkende til et annet nettsted – ofte apoteker, kasinoer eller vokseninnhold
• Du ser ukjente annonser, lenker eller tekst du ikke har lagt inn selv
• Hostingleverandøren din sender e-post om mistenkelig aktivitet eller malware
• Du kan ikke lenger logge inn på wp-admin, selv med riktig passord
• Google Search Console viser en sikkerhetsadvarsel under «Sikkerhetsproblemer»
• Siden er plutselig mye tregere enn normalt

Kjenner du igjen ett eller flere av disse? Da er det på tide å handle. Ikke vent og se.

Førstehjelp: de første 30 minuttene

Målet akkurat nå er å begrense skaden og sikre bevisene – ikke å fikse alt på én gang. Her er prioriteringslisten:

1. Sett nettsiden i vedlikeholdsmodus

Aktiver vedlikeholdsmodus umiddelbart. Dette stopper besøkende fra å bli eksponert for ondsinnet innhold, og hindrer videre spredning av malware til dem som klikker seg inn. Du kan gjøre dette via en plugin som WP Maintenance Mode fra WordPress-dashbordet – eller be hostingleverandøren din om å midlertidig stenge tilgangen.

2. Ta en sikkerhetskopi av alt – også det kompromitterte

Virker det bakvendt å ta backup av en infisert side? Det er det ikke. Du trenger en kopi av nøyaktig hva som finnes der nå, slik at du kan dokumentere angrepet, finne ut hva som ble endret og bruke det som sammenligningsgrunnlag når du rydder.

Last ned en full kopi via FTP-klienten din (FileZilla er gratis og greit), eller via hostingleverandørens filtilgang. Ta også en eksport av databasen via phpMyAdmin.

3. Bytt alle passord

Bytt umiddelbart disse:

• WordPress-administratorpassord (alle adminbrukere)
• Passordet til e-postkontoen knyttet til nettstedet
• FTP/SFTP-passord
• Databasepassord (MySQL)
• Passord til hostingkontoen din

Bruk lange, tilfeldige passord (minst 16 tegn, med tall og spesialtegn). En passordbehandler som Bitwarden eller 1Password gjør dette enkelt.

4. Varsle hostingleverandøren

Gi beskjed med én gang. Mange hostingleverandører har dedikerte sikkerhetsteam som kan hjelpe deg med å isolere infeksjonen på servernivå – og noen tilbyr gratis malware-skanning som del av abonnementet. Bruker bedriften din en norsk hostingpartner, er dette ofte ekstra nyttig siden de kjenner det norske regelverket rundt personvern og hosting.

Opprydding steg for steg

Nå som du har begrenset skaden, er det tid for å rydde opp. Vær systematisk – et hack som ikke fjernes fullstendig kommer som regel tilbake.

Steg 1: Skann etter malware

Installer en sikkerhets-plugin og kjør en full skanning:

• Wordfence Security (gratis versjon er god nok for de fleste) – skanner filer og sammenligner med originale WordPress-kjernefilene
• Sucuri SiteCheck – gratis nettbasert skanner du kjører uten å installere noe (besøk sitecheck.sucuri.net)

La skanningen fullføre og noter alle funn. Plugins som Wordfence viser deg nøyaktig hvilke filer som er endret og hva som er lagt til.

Steg 2: Fjern ukjente adminbrukere

Gå til Brukere → Alle brukere i wp-admin. Ser du administratorbrukere du ikke kjenner igjen? Slett dem umiddelbart. Det er vanlig at hackere oppretter egne adminkontoer for å beholde tilgang selv etter at passordet er byttet.

Steg 3: Reinstaller WordPress-kjernefiler

Last ned en ren kopi av WordPress fra wordpress.org, pakk den ut og last opp alle filer fra `wp-admin/` og `wp-includes/` over de eksisterende via FTP. Ikke slett `wp-content/`-mappen – der ligger temaer, plugins og opplastede bilder.

Dette erstatter eventuelle infiserte kjernefilene uten å røre innholdet ditt.

Steg 4: Sjekk tema- og plugin-filer

Ondsinnede filer gjemmer seg ofte i tema- og plugin-filer. Deaktiver alle plugins og bytt til et standard WordPress-tema midlertidig (Twenty Twenty-Four). Aktiver deretter plugins én etter én og sjekk om siden oppfører seg normalt mellom hver aktivering.

Slett plugins og temaer du ikke bruker aktivt – de er unødvendige inngangsdører.

Steg 5: Rens databasen

Malware kan også gjemme seg i databasen – spesielt i widgeter, alternativer og kommentarer. Søk i databasen via phpMyAdmin etter mistenkelige strenger som `eval(base64_decode`, `<script>` og `iframe`. Ser du ukjente lenker til eksterne domener? Fjern dem.

Steg 6: Oppdater alt

Etter opprydding: oppdater WordPress, alle plugins og temaer til siste versjon. Over 91 prosent av sikkerhetshull i WordPress stammer fra plugins og temaer – ikke fra selve WordPress-kjernen. Utdaterte plugins er den klart vanligste årsaken til et hack.

Steg 7: Be Google om fornyet vurdering

Hvis Google satte siden på svartelisten, logger du inn i Google Search Console og ber om en fornyet sikkerhetsvurdering under Sikkerhetsproblemer. Det tar normalt noen dager før advarselen forsvinner.

Når bør du ringe fagfolk?

Du trenger ikke være tekniker for å utføre stegene over – men det finnes situasjoner der det er klokt å be om profesjonell hjelp framfor å bruke timer på noe som kan gå galt:

• Du kommer ikke inn på wp-admin og har ikke FTP-tilgang
• Skanningen finner malware, men den kommer tilbake etter at du har fjernet den
• Siden har vært kompromittert lenge og du vet ikke hva som er berørt
• Bedriften din håndterer personopplysninger og er underlagt GDPR – et hack utløser plikt til å vurdere avviksmelding til Datatilsynet
• Hostingleverandøren varsler at serveren din sprer spam til andre nettsteder
• Du har prøvd, men er usikker på hva du ser i filene og databasen

En profesjonell opprydding koster typisk mellom 3 000 og 15 000 kroner avhengig av omfanget. Vi tar ofte en til to timer for inspeksjon og kartlegging av skadeomfanget. Dersom vi greier å løse problemet i løpet av denne tiden er alle fornøyde, men dersom vi ser at det har vært en større angrep med flere skadelig filer gir vi deg alltid et prisestimat før vi går videre. Det er penger godt brukt sammenlignet med tapt omdømme, GDPR-gebyr eller kostnadene ved å bygge siden på nytt.

Trenger du hjelp etter et hack – eller vil du sikre siden før noe skjer – se hva vi gjør innen feilsøking og reparasjon av nettsider.

Slik hindrer du at det skjer igjen

De gode nyhetene: de aller fleste hack er fullt forebyggbare. Her er tiltakene som faktisk virker:

Hold alt oppdatert – alltid

Slå på automatiske oppdateringer for WordPress-kjernen. Gå gjennom plugins og temaer ukentlig og oppdater dem manuelt. Hackere starter å utnytte kjente sikkerhetshull i gjennomsnitt innen 5 timer etter at et hull er offentliggjort ifølge Patchstack – tid du ikke har råd til å tape. Vi anbefaler ikke å gjøre dette selv dersom du ikke har noen særlig teknisk erfaring. Visse oppdateringer kan i verste fall få hjemmesiden din til å oppføre seg merkelig, så om du er usikker kan du alltids ta kontakt med profesjonelle (det vil si oss 😉).

Bruk to-faktor-autentisering (2FA)

2FA betyr at en angriper trenger mer enn passordet ditt for å komme inn. Aktiver det for alle adminbrukere via en plugin som WP 2FA eller Wordfence Login Security. Det tar fem minutter å sette opp og gjør brute force-angrep (automatiserte passordforsøk) tilnærmet nytteløse.

Slett plugins og temaer du ikke bruker

Inaktive plugins utgjør fortsatt en risiko hvis de ikke oppdateres. Ha som regel: én plugin per funksjon, og slett det du ikke bruker aktivt.

Ta daglige sikkerhetskopier

En ren backup fra dagen før et hack er verdt mye. Lagre kopiene utenfor serveren – i Google Drive, Dropbox eller AWS S3 eller tegn en backup og vedlikeholdsavtale med oss.

Bruk en brannmur (WAF)

En WAF (Web Application Firewall) – for eksempel Cloudflare i gratis-utgaven – filtrerer ut kjent ondsinnet trafikk før den i det hele tatt når serveren din. Sett opp en gang, fungerer i bakgrunnen.

Velg en hostingleverandør med sikkerhet innebygget

Servermiljøet ditt spiller en stor rolle. En god hosting- og serverløsning inkluderer malware-skanning, brannmur på servernivå og automatiske oppdateringer – slik at du slipper å tenke på det selv. For en bedrift i Tønsberg eller Vestfold-regionen er det også en fordel å ha en leverandør som kjenner det norske regelverket og kan rykke ut raskt ved behov.

Vil du vite mer om hva som gjør WordPress til et trygt valg for bedriftsnettstedet – og hva du selv bør passe på? Det svarer vi på i vår teknologiguide.