সাইট হ্যাক হলে: ক্লিন, সার্ভিস নাকি রিস্টোর?

চট্টগ্রামের এক ফার্নিচারের দোকানের মালিক একদিন সকালে আবিষ্কার করলেন, গুগলে নিজের দোকানের নাম লিখলে ফলাফলে জাপানি অক্ষরে অদ্ভুত সব শিরোনাম ভেসে উঠছে। সাইটে ঢুকলে সব স্বাভাবিক, অথচ ফেসবুক থেকে মোবাইলে লিংকে ক্লিক করলে ভিজিটর চলে যাচ্ছে অন্য কোনো জুয়ার সাইটে। এটাই ম্যালওয়্যারের সবচেয়ে সাধারণ চেহারা — আপনাকে কিছু দেখাবে না, শুধু আপনার কাস্টমারকে চুরি করবে।

এই মুহূর্তে যে প্রশ্নটা সামনে আসে সেটা প্রতিরোধের নয়, উদ্ধারের: এখন কী করব? বাস্তবে চারটা পথ খোলা থাকে, আর ভুল পথটা বেছে নিলে হয় টাকা নষ্ট হয়, নয়তো তিন দিন পর আবার একই সংক্রমণ ফিরে আসে। কোন অবস্থায় কোনটা বেছে নেওয়া উচিত, সেটাই এই লেখার বিষয়।

প্রথম দুই ঘণ্টা: যা করবেন, যা করবেন না

আতঙ্কে সব প্লাগইন ডিলিট করে দেওয়া বা হুট করে ওয়ার্ডপ্রেস রিইনস্টল করা সবচেয়ে বাজে সিদ্ধান্ত — এতে প্রমাণ মুছে যায়, অথচ ব্যাকডোর দিব্যি বেঁচে থাকে। তার বদলে তিনটা কাজ করুন। এক, সাইট মেইনটেন্যান্স মোডে নিন বা হোস্টে সাময়িকভাবে বন্ধ রাখুন, যাতে ভিজিটরের ব্রাউজারে ম্যালওয়্যার না ছড়ায় এবং গুগল আরও পেজ ব্ল্যাকলিস্ট না করে।

দুই, সব পাসওয়ার্ড বদলান — শুধু ওয়ার্ডপ্রেস অ্যাডমিন নয়। cPanel, FTP/SFTP, ডেটাবেস ইউজার, ডোমেইন রেজিস্ট্রারের অ্যাকাউন্ট আর সাইটের সঙ্গে যুক্ত ইমেইল, সবগুলো। তিন, ক্লিন করার আগে সংক্রমিত সাইটের একটা পূর্ণ কপি (ফাইল + ডেটাবেস) আলাদা করে নামিয়ে রাখুন।

সংক্রমিত ব্যাকআপটা মুছবেন না। ফাইলের টাইমস্ট্যাম্প দেখেই বোঝা যায় আক্রমণটা কবে ঘটেছে — আর সেটা জানা না থাকলে আপনি বুঝবেনই না কোন তারিখের ব্যাকআপ নিরাপদ।

সংক্রমণ কতটা গভীর — তিনটা প্রশ্নে যাচাই

পথ বেছে নেওয়ার আগে জানতে হবে ক্ষতটা কতদূর গেছে। এই তিনটা প্রশ্নের উত্তর জোগাড় করুন, আধ ঘণ্টার কাজ।

শুধু কি ফাইল, নাকি ডেটাবেসেও ঢুকেছে? wp_options টেবিলে অচেনা eval বা base64_decode স্ট্রিং, wp_posts-এ লুকানো লিংক থাকলে ডেটাবেসও সংক্রমিত।
নতুন অ্যাডমিন ইউজার তৈরি হয়েছে কি? wp_users টেবিল খুলে registered তারিখ অনুযায়ী সাজান — অচেনা কোনো নাম বা এলোমেলো অক্ষরের ইউজারনেম চোখে পড়বে।
সার্ভার লেভেলে কিছু বসেছে কি? cPanel-এ ক্রন জব দেখুন, .htaccess ফাইলে auto_prepend_file বা অদ্ভুত রিডাইরেক্ট রুল খুঁজুন, আর uploads ফোল্ডারে কোনো .php ফাইল আছে কি না দেখুন — ওখানে PHP ফাইল থাকার কোনো বৈধ কারণ নেই।

টেকনিক্যাল হাত থাকলে WP-CLI দিয়ে wp core verify-checksums চালান, এক সেকেন্ডে বলে দেবে কোর ফাইল বদলেছে কি না। আর SSH থাকলে গত ১৫ দিনে বদলানো PHP ফাইল খুঁজে বের করুন — সংক্রমণের সময় লেখা ফাইলগুলো একই দিনের টাইমস্ট্যাম্প নিয়ে দল বেঁধে বসে থাকে।

চারটা পথ, চারটা আলাদা দাম

এবার আসল সিদ্ধান্ত। প্রতিটা পথের সময়, খরচ আর ঝুঁকি আলাদা — এবং কোনোটাই সব ক্ষেত্রে সেরা নয়।

নিজে হাতে পরিষ্কার করা। খরচ ৳০, সময় ৬ থেকে ২০ ঘণ্টা। কোর ফাইল নতুন করে বসান, থিম-প্লাগইন অফিশিয়াল সোর্স থেকে ফ্রেশ কপি দিয়ে বদলান, uploads ঘেঁটে ম্যালিশিয়াস ফাইল সরান। সবচেয়ে বড় ঝুঁকি — একটামাত্র ব্যাকডোর মিস করলে তিন দিনের মাথায় সব ফিরে আসবে, আর তখন আপনি ভাববেন হ্যাকার নতুন করে ঢুকেছে।
ক্লিনার প্লাগইন ব্যবহার করা। MalCare-এর অটো-ক্লিন বা Wordfence প্রিমিয়ামের স্ক্যান-রিপেয়ার। খরচ বছরে ৳৯,০০০ থেকে ৳১৮,০০০, সময় ১ থেকে ৩ ঘণ্টা। কোর ও রিপোজিটরির প্লাগইন-থিম ঠিক করতে দুর্দান্ত। দুর্বলতা: ডেটাবেসে বসা ইনজেকশন আর আপনার নিজের কাস্টম কোডের ভেতরের ব্যাকডোর এরা প্রায়ই ধরতে পারে না, কারণ তুলনা করার মতো মূল কপি ওদের কাছে নেই।
প্রফেশনাল ক্লিনআপ সার্ভিস। Sucuri ধরনের আন্তর্জাতিক সার্ভিস বছরে ২০০ ডলারের কাছাকাছি, দেশে এককালীন ক্লিনআপ সাধারণত ৳৫,০০০ থেকে ৳২০,০০০। সময় ৪ থেকে ২৪ ঘণ্টা। সুবিধা: মানুষ ম্যানুয়ালি খোঁজে, গুগল ব্ল্যাকলিস্ট রিমুভালের আবেদনটাও ওরাই করে দেয়, আর সাধারণত পুনঃসংক্রমণের গ্যারান্টি থাকে।
পরিষ্কার ব্যাকআপ থেকে রিস্টোর বা নতুন করে বিল্ড। হাতে যদি সংক্রমণের আগের একটা নির্ভরযোগ্য ব্যাকআপ থাকে, ৩০ মিনিটে কাজ শেষ — এটাই সবচেয়ে নিশ্চিত পথ, কারণ এখানে খুঁজে বের করার প্রশ্নই নেই, পুরোটা বদলে যাচ্ছে। ব্যাকআপ না থাকলে ফ্রেশ ইনস্টলে কেবল কনটেন্টটুকু (পোস্ট, প্রোডাক্ট, অর্ডার) সাবধানে সরিয়ে আনতে হয়।

কোন পরিস্থিতিতে কোন পথ

ছোট ব্লগ বা ব্রোশিয়ার সাইট, কাস্টম কোড নেই, ১৫ দিন আগের ব্যাকআপ আছে — রিস্টোর করুন, দ্বিতীয় চিন্তা করবেন না। ক্লিন করতে যে সময় দেবেন, সেই সময়ে বরং হার্ডেনিংয়ের কাজগুলো সেরে ফেলুন।
WooCommerce স্টোর, প্রতিদিন লাইভ অর্ডার আসছে — ডেটাবেস রিস্টোর করলে গত কয়েক দিনের অর্ডার আর কাস্টমার হারাবেন, যেটা অগ্রহণযোগ্য। এখানে ফাইলগুলো ব্যাকআপ থেকে রিস্টোর করুন, কিন্তু ডেটাবেসটা আলাদাভাবে ক্লিন করুন — অথবা প্রফেশনালকে দিন।
সাইট গুগল ব্ল্যাকলিস্টে উঠে গেছে, ব্রাউজারে লাল সতর্কবার্তা আসছে — দেরি করবেন না, প্রফেশনাল সার্ভিসে যান। প্রতিদিন দেরি মানে র‍্যাঙ্কিং আর বিশ্বাস দুটোই ক্ষয়। ফেসবুকও এই লিংক শেয়ার ব্লক করে দেয়, যেটা বাংলাদেশে ট্রাফিকের বড় উৎস।
কাস্টম থিম বা ডেভেলপারের বানানো প্লাগইন আছে, তাই checksum মেলানো যায় না — হাতে ক্লিন করাই একমাত্র উপায়, তবে সম্ভব হলে Git রিপোজিটরির সঙ্গে diff করুন। ভার্সন কন্ট্রোল থাকলে এই কাজটা ২০ ঘণ্টা থেকে ২০ মিনিটে নেমে আসে।
একই সাইট তিন মাসে তিনবার সংক্রমিত — টুল বদলে লাভ নেই, পরিবেশটাই সমস্যা। শেয়ার্ড হোস্টিং ছাড়ুন, হোস্ট বদলান, আর নাল্ড কম্পোনেন্ট আছে কি না নিষ্ঠুরভাবে খুঁজে বের করুন।

ক্লিন করার পরের ৭২ ঘণ্টা

সাইট পরিষ্কার হয়ে গেছে মানেই কাজ শেষ নয়। wp-config.php-র সিকিউরিটি সল্ট কি-গুলো বদলে দিন — এতে হ্যাকারের হাতে থাকা যেকোনো লগইন সেশন সঙ্গে সঙ্গে অকেজো হয়ে যাবে। তারপর Google Search Console-এর Security Issues ট্যাবে গিয়ে রিভিউ রিকোয়েস্ট পাঠান; সাধারণত ২৪-৭২ ঘণ্টায় সতর্কবার্তা সরে যায়।

সার্চ ইঞ্জিনে যদি স্প্যাম URL ইনডেক্স হয়ে গিয়ে থাকে, ওগুলোকে ৪১০ স্ট্যাটাস দিন (৪০৪ নয় — ৪১০ মানে চিরতরে গেছে, গুগল দ্রুত সরায়)। আর হোস্টিং কোম্পানি যদি অ্যাকাউন্ট সাসপেন্ড করে থাকে, ওদের সাপোর্টে ক্লিনআপের বিবরণ পাঠান — বাংলাদেশের বেশিরভাগ হোস্ট রিপোর্ট পেলে দ্রুত আনসাসপেন্ড করে।

যে সাতটা অভ্যাস দ্বিতীয়বার হ্যাক ঠেকায়

ক্লিনআপের চেয়ে সস্তা ম্যালওয়্যার সুরক্ষা হলো অভ্যাস। যত সাইট আমরা সারিয়েছি, তার প্রায় সবগুলোতে এই তালিকার অন্তত তিনটা জিনিস অনুপস্থিত ছিল।

নাল্ড বা ক্র্যাক থিম-প্লাগইন সম্পূর্ণ বাদ। ৳৪,০০০ বাঁচাতে গিয়ে ৳৪০,০০০-এর ক্ষতি — আমাদের দেখা সংক্রমণের সবচেয়ে বড় একক কারণ এটাই।
অব্যবহৃত প্লাগইন ও থিম ডিলিট করুন, শুধু নিষ্ক্রিয় করে রাখবেন না। নিষ্ক্রিয় প্লাগইনের ফাইলও সার্ভারে থাকে, আর সেটার এক্সপ্লয়েটও সমানভাবে কাজ করে।
অ্যাডমিন অ্যাকাউন্টে টু-ফ্যাক্টর চালু করুন, আর admin নামের ইউজারনেম থাকলে আজই বদলান।
wp-config.php-তে DISALLOW_FILE_EDIT সেট করুন, যাতে অ্যাডমিন প্যানেল হাতে পেলেও কেউ থিম এডিটর দিয়ে কোড বসাতে না পারে।
uploads ফোল্ডারে PHP এক্সিকিউশন বন্ধ করে দিন .htaccess দিয়ে। শেল আপলোড হলেও চলবে না।
PHP ৮.২ বা নতুন সংস্করণে থাকুন, আর প্লাগইন আপডেটের জন্য মাসে একটা নির্দিষ্ট দিন ঠিক করুন — বছরে একবার নয়।
যে ল্যাপটপ থেকে সাইট ম্যানেজ করেন, সেখানে ক্র্যাক সফটওয়্যার রাখবেন না। FileZilla-তে সেভ করা FTP পাসওয়ার্ড প্লেইন টেক্সটে থাকে, আর ইনফোস্টিলার ম্যালওয়্যার সবার আগে ওটাই খোঁজে। সাইট হ্যাক হওয়ার অনেক ঘটনার আসল উৎস আসলে সাইট নয়, ডেভেলপারের কম্পিউটার।

চূড়ান্ত সুপারিশ

ব্যাকআপ থাকলে রিস্টোর করুন — এটাই দ্রুততম আর নিশ্চিততম। ব্যাকআপ না থাকলে এবং সাইটে টাকা ঘুরলে প্রফেশনালকে দিন, নিজে ছয় ঘণ্টা নষ্ট করে অর্ধেক ক্লিন করার চেয়ে সেটা সস্তা। আর সাইট ছোট, শখের বা কম গুরুত্বের হলে নিজে হাতে ক্লিন করা শিখুন — একবার করলে সারাজীবন কাজে লাগবে। যেটাই করুন, ঢোকার দরজাটা বন্ধ না করা পর্যন্ত কোনো ক্লিনআপই স্থায়ী হবে না।

সাধারণ প্রশ্ন

সাইট ক্লিন করার পরেও গুগলে সতর্কবার্তা দেখাচ্ছে কেন? গুগলের ব্ল্যাকলিস্ট নিজে থেকে সরে না। Search Console থেকে ম্যানুয়ালি রিভিউ রিকোয়েস্ট পাঠাতে হয়, আর সেটার আগে নিশ্চিত হতে হয় সব সংক্রমিত পেজ সত্যিই পরিষ্কার — না হলে রিভিউ প্রত্যাখ্যাত হয় এবং পরেরবার সময় বেশি লাগে।

হোস্টিং কোম্পানি কি ফ্রিতে ক্লিন করে দেবে? সাধারণত না। ওরা সংক্রমিত ফাইল কোয়ারেন্টাইন করবে বা অ্যাকাউন্ট সাসপেন্ড করবে — সাইট চালু করার দায়িত্ব আপনার। কিছু হোস্ট সশুল্ক ক্লিনআপ অফার করে, জিজ্ঞেস করে দেখতে পারেন।

এক সপ্তাহ পর আবার সংক্রমিত হলো, কেন? কারণ প্রায় নিশ্চিতভাবে একটা ব্যাকডোর রয়ে গেছে, অথবা মূল দুর্বলতাটা — পুরনো প্লাগইন, চুরি যাওয়া FTP পাসওয়ার্ড — কখনো বন্ধ করা হয়নি। ম্যালওয়্যার সরানো আর প্রবেশপথ বন্ধ করা দুটো আলাদা কাজ।

অ্যান্টিভাইরাস প্লাগইনই কি যথেষ্ট ছিল না? স্ক্যানার সংক্রমণ খুঁজে দেয়, ঠেকায় কম। আপডেট না করা প্লাগইনের এক্সপ্লয়েট বা নাল্ড থিমের ভেতরে বসানো কোডের বিরুদ্ধে কোনো স্ক্যানারই নির্ভরযোগ্য ঢাল নয়।

সংক্রমিত সাইট নিয়ে আটকে থাকলে স্ট্যাক অ্যালিক্সে নক করুন — আমরা প্রথমে বলি সংক্রমণটা কতদূর গেছে আর কোন পথটা আপনার জন্য সবচেয়ে সাশ্রয়ী, তারপর কাজ শুরু হয়।

কী খুঁজছেন?

পাসওয়ার্ড সিকিউরিটি: বিগিনার থেকে অ্যাডভান্সড — পুরো পথটা একসাথে

যে পাসওয়ার্ড সিকিউরিটি স্ট্র্যাটেজি সত্যিই কাজ করে (বাস্তব উদাহরণসহ)

টু-ফ্যাক্টর অথেন্টিকেশন: সম্পূর্ণ গাইড ২০২৬ — ধাপে ধাপে শিখুন

নতুন প্রোডাক্ট ও অফার সবার আগে পান