Gỡ cảnh báo Reported Attack Site của Google
Hướng dẫn WordPress · cập nhật 04/08/2026
Để gỡ bỏ cảnh báo Reported Attack Site của Google, bạn dọn sạch mã độc trên hosting và trên máy tính, đổi toàn bộ mật khẩu, rồi gửi yêu cầu xem xét lại trong Google Search Console. Google trả lời trong vòng 72 giờ, nhưng phần dọn mã độc thường mất nửa ngày tới vài ngày.
Cảnh báo này hiện thành một trang đỏ toàn màn hình khi khách bấm vào website, kèm dòng chữ Deceptive site ahead hoặc The site ahead contains malware. Chrome, Firefox và Safari đều dùng chung danh sách Google Safe Browsing, nên bị gắn nhãn là mất khách trên cả ba trình duyệt cùng lúc.
- Xác nhận website thực sự nhiễm mã độc và tìm loại mã độc.
- Quét virus trên máy tính của người quản trị.
- Dọn mã độc trên hosting và vá lỗ hổng đã bị khai thác.
- Đổi toàn bộ mật khẩu hosting, FTP, cơ sở dữ liệu và quản trị website.
- Gửi yêu cầu xem xét lại trong Search Console và chờ Google gỡ nhãn.
Sao lưu toàn bộ mã nguồn và cơ sở dữ liệu trước khi dọn, kể cả khi đã nhiễm. Bản sao lưu bẩn vẫn có giá trị: khi xoá nhầm file của mã nguồn gốc, bạn còn chỗ để lấy lại. Đặt tên bản sao lưu kèm ngày và ghi rõ là bản chưa dọn.
Vì sao Google gắn nhãn Reported Attack Site
Google gắn nhãn này khi hệ thống Safe Browsing quét thấy trên website có mã gây hại cho người truy cập. Nhãn không đánh giá chủ website, nó cảnh báo người dùng. Vì vậy nhãn xuất hiện cả khi bạn chưa làm gì sai, chỉ cần website bị người khác chèn mã vào là đủ.
Bốn nguyên nhân dưới đây chiếm phần lớn ca bị gắn nhãn:
| Nguyên nhân | Dấu hiệu nhận ra | Chỗ cần kiểm |
|---|---|---|
| Website bị chèn mã độc | Thẻ iframe hoặc đoạn JavaScript lạ ở cuối file | index.php, header, footer và file .htaccess |
| Plugin hoặc theme có lỗ hổng | File PHP lạ trong thư mục uploads | wp-content/uploads, wp-content/plugins |
| Mật khẩu FTP bị đánh cắp | Nhiều file bị sửa cùng một mốc thời gian | Log FTP trong bảng điều khiển |
| Website chuyển hướng sang trang lạ | Khách từ Google bị đá sang website khác | .htaccess, bảng wp_options |
Kiểu lây hay gặp nhất bắt đầu từ chính máy tính người quản trị. Một loại virus dạng keylogger nằm trên máy, đọc mật khẩu đã lưu trong phần mềm FTP, rồi tự đăng nhập lên hosting và chèn đoạn iframe vào các file index.php, index.html, default.aspx và .htaccess. Dọn trên hosting mà không quét máy tính thì vài ngày sau mã độc quay lại y nguyên.
Cách kiểm tra website có thật sự nhiễm mã độc
Google Search Console là nơi cho biết chính xác Google thấy gì. Vào mục Bảo mật và Thao tác thủ công rồi chọn Vấn đề bảo mật. Trang này liệt kê loại mã độc và một số đường dẫn mẫu đã nhiễm, đây là manh mối cụ thể nhất để lần ra chỗ hỏng.
Chưa khai website vào Search Console thì làm việc đó trước, vì bước gửi yêu cầu xem xét lại cũng cần tài khoản này. Xác minh quyền sở hữu bằng một trong hai cách nhanh:
- Thẻ meta: chép đoạn mã Google cấp vào phần
<head>của trang chủ rồi bấm Xác minh. - File HTML: tải file Google cấp lên thư mục gốc website, thường là
public_html, rồi bấm Xác minh.
Ngoài Search Console, soát thêm trên hosting. Trong File Manager, sắp xếp file theo ngày sửa đổi giảm dần. File của mã nguồn gốc thường có cùng mốc ngày cài đặt, nên file nào lệch hẳn khỏi nhóm đó là đáng ngờ. Có SSH thì tìm nhanh các file PHP mới sửa trong 7 ngày:
find ~/public_html -name "*.php" -mtime -7 -lsTìm các đoạn mã hay được dùng để giấu payload:
grep -rEl "eval *\(base64_decode|gzinflate *\(base64_decode" ~/public_htmlFile PHP nằm trong wp-content/uploads gần như luôn là mã độc. Thư mục đó chỉ chứa ảnh và tài liệu, mã nguồn WordPress không đặt file PHP nào ở đấy.
Các bước dọn mã độc trước khi xin gỡ cảnh báo
Bốn bước dưới đây làm theo đúng thứ tự. Gửi yêu cầu xem xét khi mã độc còn sót là Google từ chối, và mỗi lần từ chối thì lần xin sau xét lâu hơn.
1. Quét virus trên máy tính người quản trị
Cập nhật phần mềm diệt virus lên bản mới nhất rồi quét toàn bộ ổ đĩa của mọi máy từng đăng nhập FTP hoặc trang quản trị website. Bước này đứng đầu vì bỏ qua nó là dọn xong lại nhiễm lại.
Sau khi quét, xoá mật khẩu đã lưu sẵn trong phần mềm FTP như FileZilla. Phần mềm này lưu mật khẩu ở dạng đọc được, là mục tiêu quen thuộc của loại virus đánh cắp thông tin đăng nhập.
2. Gỡ mã độc trên hosting
Mở các file index.php, index.html, header.php, footer.php và .htaccess, kéo xuống cuối file. Mã chèn thường nằm ở dòng cuối, dạng thẻ <iframe> trỏ tới tên miền lạ, hoặc một dòng JavaScript rất dài không xuống dòng. Xoá đúng đoạn đó, giữ nguyên phần còn lại.
Website WordPress thì cách sạch hơn là thay mới toàn bộ phần lõi. Tải bản WordPress cùng phiên bản, xoá hai thư mục wp-admin và wp-includes trên hosting rồi tải hai thư mục mới lên. Hai thư mục này không chứa nội dung của bạn, thay mới không mất gì.
Xoá luôn plugin và theme không dùng tới. Theme mặc định cài kèm mà không ai kích hoạt vẫn là đường vào nếu nó có lỗ hổng, vì mã của nó vẫn nằm trên máy chủ.
3. Đổi toàn bộ mật khẩu
Đổi mật khẩu theo danh sách dưới đây, đổi thiếu một chỗ là kẻ tấn công quay lại bằng chính đường đó:
- Tài khoản hosting: DirectAdmin, cPanel hoặc Plesk.
- Toàn bộ tài khoản FTP, xoá hẳn tài khoản lạ không do bạn tạo.
- Người dùng cơ sở dữ liệu, nhớ sửa lại mật khẩu mới trong
wp-config.php. - Tài khoản quản trị website, xoá tài khoản quản trị lạ.
- Mật khẩu email của các hộp thư trên tên miền.
Kiểm danh sách người dùng trong trang quản trị WordPress. Tài khoản quyền quản trị mà bạn không nhận ra là cửa hậu, xoá ngay. Kiểm tiếp mục người dùng FTP trong bảng điều khiển hosting, cùng một lý do.
4. Vá lỗ hổng đã bị khai thác
Cập nhật WordPress, toàn bộ plugin và theme lên bản mới nhất. Phần lớn ca nhiễm đi vào qua một plugin lỗi thời chứ không phải qua mật khẩu. Plugin đã ngừng phát triển thì gỡ hẳn và tìm plugin khác thay.
Đặt lại quyền file cho đúng: thư mục 755, file 644, riêng wp-config.php để 600. Quyền 777 trên thư mục là mời kẻ tấn công ghi file vào. Trên DirectAdmin có sẵn công cụ đặt lại quyền hàng loạt, cách dùng ở bài sửa quyền file trên DirectAdmin.
Cách gửi yêu cầu xem xét lại trong Google Search Console
Chỉ gửi yêu cầu sau khi đã chắc website sạch. Google quét lại toàn bộ, còn sót một file là bị từ chối, và lần xin thứ hai thường phải chờ lâu hơn lần đầu.
- Đăng nhập Google Search Console và chọn đúng tài sản của website.
- Mở mục Bảo mật và Thao tác thủ công rồi chọn Vấn đề bảo mật.
- Đọc lại danh sách đường dẫn nhiễm, mở từng đường dẫn để chắc đã sạch.
- Đánh dấu ô xác nhận đã khắc phục rồi bấm Yêu cầu xem xét.
- Mô tả ngắn gọn việc đã làm: loại mã độc, file đã dọn, lỗ hổng đã vá, mật khẩu đã đổi.
Phần mô tả có tác dụng thật, đừng để trống. Google ưu tiên các yêu cầu ghi rõ nguyên nhân và cách khắc phục, vì nó cho thấy chủ website đã tìm ra gốc vấn đề chứ không chỉ xoá file cho khuất mắt.
Tài liệu Google Search Central ghi thời gian xem xét với mã độc thường trong vòng vài ngày, phần lớn ca trả lời trong 72 giờ. Đừng gửi thêm yêu cầu mới trong lúc chờ, mỗi yêu cầu mới đẩy website xuống cuối hàng đợi.
Kiểm tra sau khi Google đã gỡ nhãn cảnh báo
Google gửi thông báo vào Search Console khi xem xét xong. Nhãn đỏ trên trình duyệt biến mất trong vài giờ sau đó, nhưng bộ nhớ đệm Safe Browsing trên máy khách có thể giữ cảnh báo thêm một thời gian.
Ba việc cần làm sau khi được gỡ:
- Mở website bằng cửa sổ ẩn danh trên Chrome và Firefox, xác nhận không còn trang đỏ.
- Xem lại mục Vấn đề bảo mật trong Search Console, mục này phải ghi không phát hiện vấn đề.
- Tìm tên miền của bạn trên Google, kiểm dòng mô tả dưới kết quả không còn dòng cảnh báo nào.
Yêu cầu bị từ chối thì Google ghi kèm đường dẫn còn nhiễm. Mở đúng những đường dẫn đó, dọn tiếp rồi gửi lại. Nhiễm lại sau khi đã dọn sạch nghĩa là còn cửa hậu chưa tìm ra, thường nằm trong một file PHP tên trông giống file gốc, hoặc trong một tác vụ định kỳ được cài thêm.
Việc cần làm để không bị gắn nhãn lần nữa
Website đã bị nhiễm một lần thì địa chỉ của nó nằm trong danh sách các công cụ dò tự động, nên khả năng bị thử lại cao hơn website chưa từng nhiễm. Bốn thói quen dưới đây giảm rõ rệt rủi ro.
Đặt lịch sao lưu tự động hàng ngày và giữ ít nhất bảy bản. Website nhiễm mã độc thường chỉ phát hiện sau vài ngày, giữ một bản sao lưu duy nhất thì bản đó cũng đã bẩn. Cách đặt lịch ở bài tạo lịch backup tự động trên Plesk và sao lưu website trên DirectAdmin.
Cập nhật plugin và theme mỗi tháng một lần, gỡ hẳn thứ không dùng. Bật xác thực hai bước cho tài khoản quản trị. Và đừng lưu mật khẩu FTP trong phần mềm trên máy, dùng trình quản lý mật khẩu riêng có khoá chính.
Máy chủ riêng hoặc VPS thì thêm một lớp tường lửa ứng dụng và bật quét mã độc định kỳ. Kỹ thuật BizMaC hỗ trợ rà soát khi khách hàng dùng dịch vụ hosting hoặc VPS gặp cảnh báo này, gửi ticket kèm tên miền và ảnh chụp màn hình trang cảnh báo là bên kỹ thuật xem trực tiếp trên máy chủ.