Web Sitesi Hacklendiğinde Yapılması Gerekenler

Web sitesi hacklendiğinde yapılması gerekenler, teknik ekiplerin ve işletme yöneticilerinin soğukkanlı, hızlı ve metodolojik bir şekilde hareket etmesini gerektiren kritik bir acil durum senaryosudur. Bir web platformunun güvenliğinin ihlal edilmesi yalnızca veri kayıplarına değil; aynı zamanda arama motoru sıralamalarının düşmesine, markanın itibar kaybetmesine ve KVKK/GDPR kapsamında ciddi hukuki yaptırımlarla karşı karşıya kalınmasına yol açar. Bu rehberde, siber saldırı sonrasında sunucu izolasyonundan zararlı yazılım temizliğine, sistemin temiz yedekler üzerinden güvenle geri yüklenmesinden proaktif güvenlik önlemlerine kadar tüm aşamaları teknik detaylarıyla inceleyeceğiz.

Web Sitenizin Hacklendiğini Nasıl Tespit Edersiniz?

Web platformlarında meydana gelen güvenlik ihlallerinin erken tespiti, saldırganların sistem üzerindeki kalıcılığını (persistence) engellemek ve veri sızıntısının boyutunu minimumda tutmak adına kritik bir role sahiptir. Çoğu zaman gelişmiş kalıcı tehditler (APT) veya otomatik botnet yazılımları, sunucuya sızdıktan sonra hemen kendilerini belli etmezler. Teşhis sürecinin ilk adımı, sitenin hem dışarıdan görünen yüzeyini (frontend) hem de sunucu tarafındaki (backend) davranışsal değişiklikleri düzenli olarak izlemektir.

Arama motorlarının indeksleme botları veya ziyaretçilerin karşılaştığı olağan dışı yönlendirmeler (malicious redirects), siber saldırının en somut belirtilerindendir. Örneğin, sitenize arama motorları üzerinden tıklayan kullanıcılar tamamen farklı illegal sitelere yönlendirilirken, site adresini tarayıcıya doğrudan yazarak girenlerin normal sayfayı görmesi, saldırganların kullanıcı aracısı (User-Agent) bazlı bir yönlendirme mekanizması kurduğunu gösterir. Bunun yanı sıra, tarayıcıların "Bu site güvenli değil" veya "Aldatıcı siteye girmektesiniz" gibi kırmızı uyarı ekranları vermesi, sistemin zararlı yazılım (malware) yaydığının küresel güvenlik ağları tarafından onaylandığı anlamına gelir.

Sunucu düzeyinde ise işlemci (CPU) ve bellek (RAM) kullanım grafiklerinin durup dururken maksimum seviyeye çıkması, saldırganların arka planda kripto para madenciliği (cryptojacking) scriptleri çalıştırdığına veya sunucunuzu bir spam e-posta gönderim merkezi (SMTP relay) olarak kullandığına işaret eder. Log kayıtlarında (access.log ve error.log) saniyede yüzlerce başarısız POST isteği veya bilinen admin paneli yollarına (@@CODE0@@, @@CODE1@@, /user/login) yönelik yapılan kaba kuvvet (brute-force) saldırıları takip edilerek ihlalin başladığı an ve sızma yöntemi tespit edilebilir.

Kriz Yönetimi: İlk 24 Saatte Alınması Gereken Acil Önlemler

Güvenlik ihlalinin kesinleştiği andan itibaren ilk 24 saat, "Olay Müdahalesi" (Incident Response) sürecinin en kritik evresidir. Bu aşamada yapılacak yanlış bir işlem, verilerin kalıcı olarak silinmesine veya saldırganın sunucudaki izlerini yok etmesine neden olabilir. Kriz yönetiminde her adımın kayıt altına alınması ve sistemli bir öncelik sırasına göre ilerlenmesi gerekmektedir.

Sunucu ve Ağ Bağlantılarının İzole Edilmesi

Saldırının devam etmesini, veri sızıntısının sürmesini ve saldırganın sunucu içindeki diğer sistemlere sızmasını (lateral movement) önlemenin tek yolu sunucunun dış dünya ile olan ağ bağlantılarını izole etmektir. Eğer web siteniz sanallaştırılmış bir bulut sunucu (VPS/VDS) üzerinde çalışıyorsa, hypervisor paneli üzerinden ağ kartını (NIC) devre dışı bırakmak en güvenli yöntemdir.

Paylaşımlı hosting ortamlarında ise siteyi tamamen yayından kaldırmak adına domain yönlendirmelerini geçici olarak durdurmak veya sunucu düzeyinde HTTP 503 "Service Unavailable" (Hizmet Dışı) durum kodu döndürecek şekilde yapılandırmak gerekir. Sitenin 503 durum koduyla kapatılması, arama motoru botlarına bu durumun geçici bir bakım çalışması olduğunu bildirerek SEO puanınızın kalıcı olarak düşmesini engeller. Bu aşamada asla panik yapılarak tüm sunucu diskleri biçimlendirilmemelidir; adli analiz (forensics) ve sızma noktasının bulunabilmesi için mevcut disk imajının (snapshot) birebir kopyası alınmalıdır.

Tüm Yönetici, FTP ve Veritabanı Şifrelerinin Sıfırlanması

Saldırganlar sisteme giriş yaptıktan sonra genellikle erişimlerini garantilemek amacıyla mevcut kullanıcı şifrelerini ele geçirir veya yeni kullanıcı hesapları oluştururlar. Bu nedenle, sunucu ağdan izole edildikten sonra (veya yalnızca yetkili IP adreslerine izin verilerek SSH erişimi açık tutulurken) sisteme bağlı tüm hesapların şifreleri sıfırlanmalıdır.

Bu süreç; sunucu yönetim panelleri (Plesk, cPanel), veritabanı (MySQL/PostgreSQL), FTP/SFTP hesapları, SSH anahtarları ve içerik yönetim sistemi (CMS) admin kullanıcılarını kapsamalıdır. Yeni oluşturulacak şifrelerin en az 16 karakter uzunluğunda, büyük-küçük harf, rakam ve özel karakter içeren, tahmin edilmesi imkansız kriptografik rastgele dize yapısında olması zorunludur. Ayrıca, veritabanı bağlantı şifresi değiştirildiğinde web uygulamasının konfigürasyon dosyalarındaki (@@CODE0@@, @@CODE1@@, configuration.php) kimlik bilgileri de eş zamanlı olarak güncellenmelidir.

Hizmet Sağlayıcı (Hosting/Sunucu) ile İletişime Geçilmesi

Güvenlik ihlali yaşandığında altyapı sağlayıcınızla kuracağınız iletişim hayati önem taşır. Özellikle paylaşımlı hosting (shared hosting) kullanıyorsanız, aynı sunucudaki başka bir web sitesinin zafiyetinden yararlanılarak sizin sitenize geçiş yapılmış (symlink saldırısı) olabilir. Durumu vakit kaybetmeden servis sağlayıcınıza bildirerek sunucu düzeyinde bir sızıntı olup olmadığını kontrol etmelerini talep etmelisiniz.

Sağlayıcınızdan siber saldırının gerçekleştiği zaman dilimine ait ham ağ loglarını, firewall kayıtlarını ve sunucu sistem günlüklerini istemelisiniz. Birçok veri merkezi, siber saldırı tespit ettiğinde IP adresinizi otomatik olarak askıya alır (nullroute). Sağlayıcıya proaktif olarak temizlik adımlarını başlattığınızı ve sunucuyu izole ettiğinizi bildirmek, IP adresinizin itibarını korumak ve sunucunun erişilebilirliğini kontrollü şekilde açtırmak için gereklidir.

Zararlı Yazılım (Malware) Tespiti ve Temizleme Süreci

Zararlı yazılımların sunucu ortamından tamamen arındırılması, yalnızca yüzeysel bir virüs taramasıyla sınırlı kalmayan, derinlemesine kod analizi ve dosya bütünlüğü kontrolü gerektiren teknik bir süreçtir. Saldırganlar genellikle tespiti zorlaştırmak için zararlı kodları sistemin kendi meşru dosyalarının içerisine enjekte ederler.

Kötü Amaçlı Kod ve Dosya Taraması Yapılması

Dosya sistemindeki zararlı yazılımları saptamak için hem otomatik tarayıcılardan hem de komut satırı araçlarından yararlanılmalıdır. Linux tabanlı sunucularda en yaygın kullanılan açık kaynaklı malware tarayıcılarından biri ClamAV, diğeri ise özellikle web tabanlı zararlılara odaklanan Linux Malware Detect (Maldet) yazılımıdır. Bu araçları sunucunuza kurarak aşağıdaki komutlarla derinlemesine tarama başlatabilirsiniz:

# ClamAV veritabanını güncelleyin ve tarama yapın
freshclam
clamscan -r -i /var/www/html/ --move=/tmp/quarantine

# Maldet ile arka plan taraması başlatın
maldet --scan-all /var/www/html/

Otomatik taramaların yanı sıra, belirli bir zaman diliminde değiştirilmiş dosyaları listelemek için Linux find komutundan yararlanmak oldukça etkilidir. Örneğin, son 7 gün içinde modifiye edilmiş tüm PHP dosyalarını bulmak için şu komut kullanılır:

find /var/www/html/ -mtime -7 -name "*.php"

Zararlı yazılımlar genellikle PHP dosyalarının en üst satırlarına @@CODE0@@ veya @@CODE1@@ gibi şifrelenmiş (obfuscated) fonksiyonlar halinde eklenir. Sunucuda bu tür tehlikeli fonksiyonların kullanımını aratmak için grep komutuyla derinlemesine regex aramaları yapılmalıdır:

grep -rnw '/var/www/html/' -e 'eval(' --include=\*.php
grep -rnw '/var/www/html/' -e 'base64_decode(' --include=\*.php

Arka Kapı (Backdoor) Açıklarının Bulunması ve Kapatılması

Arka kapı (backdoor), saldırganın web sitesine ilk sızma işlemini gerçekleştirdikten sonra, tüm şifreler değiştirilse dahi sisteme tekrar erişebilmesini sağlayan gizli kod blokları veya dosyalardır. Klasik bir malware taraması arka kapıları her zaman tespit edemeyebilir, çünkü bu dosyalar bazen standart bir yükleme (upload) scripti gibi görünebilir.

Arka kapılar genellikle sitenin resim (images/uploads) dizinlerine, sistem kütüphanelerine veya geçici dosyaların tutulduğu klasörlere @@CODE0@@, @@CODE1@@, @@CODE2@@ gibi masum isimlerle yerleştirilir. Bu dizinlerde PHP dosyalarının çalıştırılması web sunucusu konfigürasyonu üzerinden kesinlikle engellenmelidir. Örneğin, Apache sunucuları için uploads klasörüne yerleştirilecek bir @@CODE3@@ dosyası şu kuralları içermelidir:

<Files *.php>
    deny from all
</Files>

Nginx sunucularında ise ilgili dizinde PHP yorumlayıcısının çalışması sunucu blok ayarlarından şu şekilde kısıtlanır:

location ~* ^/uploads/.*\.php$ {
    deny all;
}

Ayrıca veritabanı içerisinde de arka kapı kontrolü yapılmalıdır. Saldırganlar SQL enjeksiyonu (SQLi) veya yetki yükseltme (privilege escalation) yöntemleriyle veritabanındaki yönetici tablosuna (@@CODE0@@, @@CODE1@@ vb.) kendi oluşturdukları sahte hesapları eklemiş olabilirler. Veritabanındaki tüm yönetici hesapları tek tek incelenmeli, bilinmeyen veya aktif olmayan profiller derhal silinmelidir.

Sistemi Güvenle Geri Yükleme ve Operasyona Dönüş

Zararlı kod temizliği bittikten sonra web sitesinin temiz ve stabil bir duruma geri döndürülmesi aşamasına geçilir. Bu süreçte en büyük risk, zaten enfekte olmuş eski bir yedeğin farkında olmadan tekrar kurulmasıdır. Bu durum, temizlik sürecinin tamamen boşa gitmesine sebebiyet verir.

Temiz Yedeğin (Backup) Doğrulanması ve Kurulumu

Eğer elinizde siber saldırının gerçekleştiği tarihten daha önce alınmış düzenli bir sistem yedeği varsa, en güvenli yol bu yedeği geri yüklemektir. Ancak, geri yükleme işlemine başlamadan önce "Enfeksiyon Penceresi" (Infection Window) adı verilen sürenin doğru analiz edilmesi gerekir. Saldırganlar sisteme aylar önce sızmış ve uzun süre pasif kalmış olabilir. Bu nedenle, geri yüklenecek yedeğin gerçekten temiz olup olmadığından emin olmak için yedek dosyaları lokal (yerel) veya tamamen izole bir test ortamında (sandbox/staging) açılmalıdır.

Lokal ortamda açılan yedek dosyaları ClamAV, Maldet ve statik kod analiz araçlarıyla detaylıca taranmalıdır. Veritabanı dosyası (@@CODE0@@) bir metin editörüyle veya SQL analiz araçlarıyla açılarak @@CODE1@@, @@CODE2@@, @@CODE3@@, eval gibi SQL enjeksiyonu izleri veya yabancı iframe linkleri yönünden taranmalıdır. Yedek dosyasının temizliği kesin olarak doğrulandıktan sonra, canlı sunucudaki tüm mevcut enfekte dosyalar tamamen silinmeli (dizin içi boşaltılmalı) ve doğrulanmış temiz yedek bu boş dizine açılmalıdır. Mevcut dosyaların üzerine yazma (overwrite) yöntemi tercih edilmemelidir; çünkü bu yöntem saldırganın eklediği ekstra dosyaların sunucuda kalmasına neden olur.

Çekirdek Dosyaların, Tema ve Eklentilerin Güncellenmesi

Yedek geri yüklendikten hemen sonra, sitenin alt yapısını oluşturan tüm bileşenlerin en güncel sürümlerine yükseltilmesi kritik bir adımdır. Eğer WordPress, Joomla veya Drupal gibi popüler bir içerik yönetim sistemi (CMS) kullanıyorsanız, çekirdek (core) dosyaların orijinalliğini korumak adına resmi depolardan (repository) temiz ve güncel bir kopya indirilerek sunucudaki mevcut çekirdek dosyalarla değiştirilmelidir. WordPress için bu işlem @@CODE0@@ ve @@CODE1@@ klasörlerinin tamamen silinip resmi zip dosyasındaki temiz versiyonlarının yüklenmesiyle gerçekleştirilir.

Kullanılan tüm üçüncü taraf eklentiler (plugins) ve temalar (themes) mutlaka lisanslı ve aktif olarak güncellenen versiyonlara yükseltilmelidir. Sektörde "nulled" veya "warez" olarak adlandırılan, ücretli temaların ve eklentilerin kırılmış kaçak versiyonları siber saldırganların en çok kullandığı sızma vektörlerindendir. Bu tür korsan yazılımların içerisinde önceden yerleştirilmiş arka kapılar (backdoor) bulunur. Tüm kaçak yazılımlar sistemden kalıcı olarak temizlenmeli, yerine resmi lisanslı alternatifleri kurulmalıdır.

İtibar Yönetimi ve Arama Motoru Optimizasyonu (SEO) Kurtarma

Siber saldırının teknik boyutunu çözmek kadar, arama motorlarındaki sıralamaları geri kazanmak ve marka güvenilirliğini yeniden tesis etmek de büyük bir çaba gerektirir. Hacklenen siteler, arama motorları tarafından hızlıca fark edilerek cezalandırılır ve arama sonuçlarından geçici olarak kaldırılabilir.

Google Search Console Kara Liste (Blacklist) Uyarısının Kaldırılması

Google, kullanıcılarını zararlı yazılımlardan korumak için enfekte olmuş siteleri hızlıca kara listeye alır ve bu sitelere erişmek isteyen ziyaretçilere kırmızı uyarı ekranları gösterir. Sunucu temizliği ve sistem güncellemeleri eksiksiz olarak tamamlandıktan sonra bu engeli kaldırmak için Google Search Console paneline giriş yapılmalıdır.

Panelde yer alan "Güvenlik ve Manuel İşlemler" altındaki "Güvenlik Sorunları" (Security Issues) sekmesi ziyaret edilmelidir. Burada Google'ın tespit ettiği zararlı dosyaların ve URL adreslerinin listesi bulunur. Tüm adımları tamamladığınızdan emin olduktan sonra "İnceleme İste" (Request Review) butonuna tıklanmalıdır. Talep formunda, yapılan teknik temizlik adımları, kapatılan zafiyetler ve alınan güvenlik önlemleri teknik bir dille ve şeffaf bir şekilde açıklanmalıdır. Google mühendisleri veya otomatik sistemleri genellikle 24 ila 72 saat içinde sitenizi yeniden tarayarak temiz raporu doğrular ve arama sonuçlarındaki kırmızı uyarıyı kaldırır.

KVKK Kapsamında Müşteri ve Paydaşların Bilgilendirilmesi

Eğer web siteniz üzerinden kullanıcı kaydı alınıyor, e-ticaret işlemleri yapılıyor veya kişisel veriler işleniyorsa, yaşanan siber güvenlik ihlali yasal bir sorumluluk doğurur. Türkiye'de 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) Madde 12(5) uyarınca ve küresel pazarda GDPR (General Data Protection Regulation) Madde 33 kapsamında, veri sorumluları meydana gelen veri ihlallerini en kısa sürede yetkili kurullara ve etkilenen kişilere bildirmekle yükümlüdür.

KVKK düzenlemelerine göre, veri ihlalinin tespit edilmesinden itibaren en geç 72 saat içinde Kişisel Verileri Koruma Kurulu'na resmi bildirim yapılması zorunludur. Bildirim içeriğinde; ihlalin nasıl gerçekleştiği, hangi kişisel veri kategorilerinin (ad, soyad, e-posta, şifre vb.) etkilendiği, olası sonuçları ve bu sonuçları azaltmak için alınan önlemler açıkça belirtilmelidir. Eş zamanlı olarak, etkilenen kullanıcı tabanına bilgilendirici ve kurumsal bir e-posta gönderilerek şifrelerini değiştirmeleri tavsiye edilmeli ve şeffaf bir iletişim stratejisi izlenerek marka itibarı korunmalıdır.

Gelecekteki Siber Saldırılara Karşı Alınacak Proaktif Önlemler

Web sitenizi bir kez temizlemek, gelecekte tekrar hedef olmayacağınız anlamına gelmez. Siber saldırganlar sürekli olarak yeni zafiyetler (0-day) ve otomatik tarama yöntemleri geliştirmektedir. Sitenizin güvenliğini kalıcı hale getirmek için çok katmanlı proaktif güvenlik stratejileri uygulanmalıdır.

WAF (Web Application Firewall) Kurulumu ve Yapılandırması

Bir Web Uygulaması Güvenlik Duvarı (WAF), web sitenize gelen HTTP/HTTPS trafiğini sunucuya ulaşmadan önce analiz eden ve zararlı istekleri filtreleyen kritik bir koruma kalkanıdır. Cloudflare, Sucuri veya Imperva gibi DNS düzeyinde çalışan WAF servisleri, sitenizi SQL enjeksiyonu, Siteler Arası Betik Çalıştırma (XSS), kaba kuvvet saldırıları ve dağıtık hizmet dışı bırakma (DDoS) saldırılarına karşı gerçek zamanlı korur.

WAF yapılandırmasında OWASP Top 10 koruma kuralları aktif hale getirilmeli, admin paneline erişimler yalnızca belirli IP adreslerine veya coğrafi bölgelere sınırlandırılmalıdır. Ayrıca, şüpheli bot trafiğini engellemek için gelişmiş bot koruma modülleri ve zorlu durumlar için CAPTCHA doğrulamaları devreye alınmalıdır. Sunucu düzeyinde ise açık kaynaklı bir WAF olan ModSecurity modülü kurularak yerel bir filtreleme katmanı oluşturulabilir.

Düzenli Sızma Testleri (Penetration Test) ve Güvenlik Denetimleri

Sisteminizin güvenliğini test etmenin en etkili yolu, bir saldırgan gözüyle sisteme sızmaya çalışmaktır. Yılda en az bir kez profesyonel siber güvenlik firmalarına veya sertifikalı uzmanlara sızma testi (penetration testing) yaptırılmalıdır. Bu testler sırasında web uygulamasının iş mantığı hataları, API zafiyetleri ve sunucu yapılandırma eksiklikleri tespit edilir.

Sızma testlerinin yanı sıra, sunucuda ve web uygulamasında otomatik zafiyet tarama araçları (Nessus, Acunetix, OWASP ZAP) ile düzenli taramalar gerçekleştirilmelidir. Yazılım geliştirme süreçlerinde (CI/CD hatlarında) ise statik kod analiz araçları (SAST) kullanılarak yazılan her satır kodun güvenlik standartlarına uygunluğu daha canlı ortama alınmadan önce denetlenmelidir.

Dosya İzinlerinin (File Permissions) Katılaştırılması

Sunucu üzerindeki dosya ve dizin izinlerinin (permissions) doğru yapılandırılmaması, yerel dosya dahil etme (LFI) veya dosya yükleme (upload) zafiyetlerinin doğrudan sunucu ele geçirme işlemine dönüşmesine zemin hazırlar. Dosya izinleri, en az ayrıcalık ilkesine (Principle of Least Privilege) göre düzenlenmelidir.

Linux işletim sistemlerinde standart bir web sunucusu için dosya izin yapılandırması şu şekilde olmalıdır:

• Klasörler (Directories): 755 (Sahibi okuyabilir/yazabilir/çalıştırabilir, diğerleri okuyabilir/çalıştırabilir).

• Dosyalar (Files): 644 (Sahibi okuyabilir/yazabilir, diğerleri sadece okuyabilir).

• Hassas Konfigürasyon Dosyaları (@@CODE0@@, @@CODE1@@): @@CODE2@@ veya @@CODE3@@ (Sadece sahibi okuyabilir, yazma ve çalıştırma izinleri tamamen kapalıdır).

Bu izinleri SSH üzerinden toplu olarak uygulamak için aşağıdaki komut zinciri çalıştırılabilir:

# Tüm dizinleri 755 yap
find /var/www/html/ -type d -exec chmod 755 {} \;

# Tüm dosyaları 644 yap
find /var/www/html/ -type f -exec chmod 644 {} \;

# Hassas .env dosyasını sadece sahibine aç
chmod 600 /var/www/html/.env