一句話結論：發現網站被駭，最重要的不是馬上刪檔案，而是照順序做四件事：先止血（下線並更改所有密碼）、再保全證據（完整備份受感染的現況）、接著清除與還原、最後補洞並處理後續（Google 審查、個資通知）。前 24 小時做對了，多數網站都能在幾天內恢復正常，而且不會再被同一個漏洞攻破。
「網站點進去跳到賭博網站」「Google 搜尋出現一堆日文商品」「主機商來信說我們的帳號在寄垃圾信」——接到這種電話的老闆，第一反應通常是慌。慌的時候最容易做錯事：急著把檔案刪掉、只改 WordPress 密碼、從舊備份還原後就當作沒事。結果一週後又被駭一次。這篇把甫東科技處理被駭網站的流程，依時間整理成可以照著做的步驟。
網站被駭的 8 個徵兆
很多網站被入侵好幾個月才被發現，因為駭客通常不想被你注意到。下面這些情況只要出現一項，就值得立刻檢查：
搜尋結果出現陌生頁面
Google 搜尋「site:你的網域」，出現日文、商品、賭博、藥品等你沒寫過的頁面。
點進網站被轉走
從手機或 Google 點進來會被導到其他網站，但直接輸入網址卻正常——這是刻意避開站長的手法。
瀏覽器出現紅色警告
Chrome 顯示「這個網站可能會危害您的電腦」，或 Google Search Console 寄來「安全性問題」通知。
後台多了陌生帳號
使用者列表出現不認識的管理員，或你的帳號突然登不進去。
網站突然變得很慢
主機資源被拿去挖礦、寄垃圾信，或被大量爬取垃圾網址，主機商可能來信警告資源超用。
主機商或客戶來通知
主機商通知帳號在寄垃圾信，或客戶說收到冒用公司名義的詐騙訊息。
出現不明檔案
上傳資料夾（uploads）裡有 .php 檔，或網站根目錄多了名稱奇怪的檔案。
內容被竄改
首頁文字被換掉、文章被插入看不見的連結，或聯絡資訊被改成別人的。
| 時間 | 目標 | 關鍵動作 |
|---|---|---|
| 0–1 小時 | 止血 | 網站下線或進入維護模式、更改所有密碼、通知主機商 |
| 1–4 小時 | 保全證據 | 完整備份受感染的現況、記錄時間與異常、找出入侵範圍 |
| 4–12 小時 | 清除與還原 | 從乾淨備份還原，或重裝核心與外掛、刪除後門、清理資料庫 |
| 12–24 小時 | 補洞與後續 | 修補入侵原因、加強防護、Google 重新審查、評估個資通知義務 |
第 0–1 小時：先止血
這個階段的目標只有一個：讓傷害不要繼續擴大。先不要急著找原因，也先不要刪任何檔案。
讓網站暫時下線或進入維護模式
如果網站正在把訪客導到詐騙網站或散布惡意程式，每多一分鐘都在傷害客戶與 Google 對你的評價。主機控制台通常可以暫停網站，或放一個維護頁面。
更改「所有」密碼，不只是 WordPress
包括主機控制台、FTP／SFTP、資料庫、WordPress 所有管理員、網域管理後台，以及網站使用的 Email 帳號。改完後讓所有裝置強制登出。只改 WordPress 密碼是最常見的錯誤，駭客往往還握有主機或資料庫的權限。
通知主機商與負責的工程師
主機商可以協助確認是否同主機的其他網站也受影響，也可能有入侵當時的存取紀錄。有委外廠商維護的，現在就打電話給他們。
第 1–4 小時：保全證據、找出範圍
在清除之前，先把「被駭的樣子」完整保留下來。這份資料是找出入侵原因的唯一線索；萬一涉及個資外洩或需要報案，也是重要的佐證。
- 完整備份目前的網站與資料庫，另存在電腦或雲端，檔名註明「受感染」，不要和正常備份混在一起。
- 記錄時間軸：什麼時候發現、看到什麼異常、做了哪些處理，截圖保存。
- 找出範圍：最近被修改的檔案、uploads 裡的 .php 檔、陌生的管理員帳號與排程工作、被插入連結的文章。
- 比對核心檔案：WordPress 核心檔是否與官方版本一致（工程師可用 WP-CLI 的 checksum 功能檢查）。
- 確認是否有個資外洩：會員、訂單、表單資料是否被讀取或匯出，這會決定後面是否需要通知客戶。
第 4–12 小時：清除與還原
清除有兩種做法，選哪一種取決於你有沒有「確定是乾淨的」備份。
做法 A：從乾淨備份還原
適合知道大約何時被入侵、且有更早之前的完整備份。速度最快，但要注意：備份之後新增的訂單、文章、會員資料會不見，需要另外補回；而且還原後一定要補洞，否則會被同一個漏洞再駭一次。
做法 B：逐一清除
沒有可靠備份、或備份本身也可能被感染時使用。從官方來源重新下載 WordPress 核心、外掛與佈景主題覆蓋，刪除所有不明檔案與後門，清理資料庫中被插入的內容與陌生帳號。費工，但能保留最新資料。
不論哪一種做法，最後都要做這三件事：重新產生 WordPress 的安全金鑰（讓所有舊的登入狀態失效）、刪除所有不使用的外掛與佈景主題，以及再檢查一次 uploads 裡有沒有殘留的 .php 檔。
第 12–24 小時：補洞與後續處理
網站恢復正常只完成了一半。沒有找出、修補入侵的原因，等於把門修好卻沒有換鎖。
修補入侵原因
最常見的入侵原因是過期的外掛或佈景主題、太舊的 PHP 版本、弱密碼，以及遺留在主機上沒人管的舊網站。把 WordPress、外掛、佈景主題與 PHP 全部更新到受支援的版本。最近的 PHP 漏洞可以參考 PHP2Shell 漏洞說明。
加強防護
後台開啟雙重驗證、限制登入嘗試次數、關閉不需要的功能（XML-RPC、檔案編輯器），並設定每日自動異地備份。
向 Google 要求重新審查
如果 Search Console 有「安全性問題」或「手動處置」通知，確認清除乾淨後，在 Search Console 提出審查要求。被植入的垃圾網址還需要額外處理，詳見 駭客垃圾頁清除教學。
評估是否需要通知客戶與通報
依個人資料保護法，個資被竊取或洩漏時，應查明後以適當方式通知當事人；2025 年公布的修正條文也進一步明定通報主管機關的義務（施行日期請以主管機關公告為準）。若遭到勒索或詐騙，也可以向警方報案。
被駭時千萬別做的 5 件事
1. 沒有備份就直接刪掉整個網站重做。你會同時失去入侵的證據與所有資料。
2. 只改 WordPress 密碼。主機、FTP、資料庫的權限可能早就外洩了。
3. 還原備份後就當作沒事。漏洞還在，通常幾天內會被再駭一次。
4. 付錢給勒索的人。付了錢不保證拿回資料，也可能被當成「會付錢的目標」再次鎖定。
5. 有個資外洩卻不通知。隱匿的法律與商譽風險，遠大於主動說明。
甫東實戰：清乾淨之後的「後遺症」
網站被駭最容易被忽略的，是清除之後的後遺症。我們最近處理過 3 個網站，入侵早已清除、系統檢查也確認沒有現行入侵，但網站一直很慢。暫時開啟 15 分鐘的請求紀錄後發現：約 95% 的請求都來自 Googlebot，持續在抓以前被駭客植入、早就被 Google 收錄的垃圾網址。每一個不存在的網址都要讓 WordPress 跑完整套程式才回應「找不到」，一次要 1.4 到 3 秒。
我們在主機層讓這些垃圾網址直接回應「410 已永久移除」，回應時間降到 0.2 到 0.3 秒，也不再消耗 PHP 資源；同時清理資料庫，其中一個網站的文章附加資料表從 794MB 縮小到 164MB。完整做法寫在 Google 搜尋出現奇怪網址的清除教學。
被駭本身不可怕，可怕的是處理順序錯了。我們接手的案子裡，最難救的往往不是駭客做了什麼，而是慌亂中刪掉證據、只修一半就上線。照著「止血、保全、清除、補洞」的順序走，再加上清除後的監控，網站一定救得回來。
常見問題
網站被駭會影響 Google 排名嗎？
會。被 Google 標示為危險網站時，搜尋結果會出現警告，點擊率與排名都會明顯下滑；被植入的垃圾頁也會稀釋網站的主題相關性。及早清除並向 Google 要求審查，多數網站可以在數週內恢復。
從發現到恢復正常要多久？
網站本身通常可以在 24 小時內恢復運作；Google 的審查一般需要數天到數週；被植入的垃圾網址要從搜尋結果完全消失，可能需要一到數個月，期間要持續監控。
我可以自己處理嗎？
止血（下線、改密碼、通知主機商）與保全證據可以自己做，而且越早越好。清除與找出入侵原因需要檢查檔案、資料庫與主機設定，若沒有相關經驗，建議交給專業人員，避免漏掉後門而再次被入侵。
主機商會幫我處理嗎？
多數主機商會協助暫停網站、提供備份與存取紀錄，但通常不負責清除網站內的惡意程式，也不會幫你修補外掛漏洞。這部分需要網站維護廠商或工程師處理。
要怎麼避免再次被駭？
四件基本功：系統、外掛與 PHP 保持在受支援的版本；後台雙重驗證與強密碼；每日自動異地備份並定期測試還原；定期資安健檢。多數入侵都是因為其中一項長期沒做。
網站疑似被駭？先打電話，不要先刪檔案
甫東科技提供網站被駭緊急處理：協助止血、保全證據、清除惡意程式、補洞與 Google 重新審查。高雄、台南、屏東可到場，全台皆可遠端協助。
緊急聯絡 07-641-8686 →非緊急狀況也可以 預約免費資安健檢｜Email service@fulldot.com.tw
甫東科技有限公司｜高雄市大寮區鳳林一路 184 巷 20-11 號
圖片來源：首圖鍵盤上的紅色鎖頭照片由 FlyD 攝影，取自 Unsplash，依 Unsplash License 免費使用；內文圖片為甫東科技授權圖庫。
本文的法規說明僅供參考，實際義務請以個人資料保護法及主管機關公告為準。
