เว็บไซต์โดนแฮ็กทำยังไง คู่มือกู้คืนทีละขั้นปี 2026

Your website got hacked — here is a step-by-step 2026 recovery guide: spotting the signs, taking it offline, scanning for malware, restoring from backup, and hardening against re-infection.

สัญญาณว่าเว็บไซต์ของคุณถูกแฮ็ก

หลายครั้งเจ้าของเว็บไม่รู้ตัวว่าโดนแฮ็กจนกว่าจะมีคนแจ้งหรือ Google ขึ้นเตือน การรู้สัญญาณเร็วช่วยลดความเสียหายได้มาก เพราะมัลแวร์ที่ฝังนานจะลามไปไฟล์อื่นและส่งผลต่ออันดับ SEO

Many site owners do not realise they have been hacked until someone reports it or Google flags the site. Spotting the signs early greatly reduces the damage, because malware left in place spreads to other files and hurts your SEO.

• เบราว์เซอร์หรือ Google ขึ้นเตือน "เว็บไซต์นี้อาจเป็นอันตราย"
• มีหน้าหรือลิงก์แปลกปลอม โฆษณายา/พนัน ที่คุณไม่ได้สร้าง
• เว็บถูกเปลี่ยนหน้าแรก (defacement) หรือ redirect ไปเว็บอื่น
• โหลดช้าผิดปกติ หรือมีไฟล์ .php แปลกๆ ใน public_html

5 สิ่งที่ต้องทำทันทีเมื่อรู้ว่าโดนแฮ็ก

ที่พบบ่อยในทางปฏิบัติ — อย่าเพิ่งลบทุกอย่างด้วยความตกใจ เพราะอาจทำลายหลักฐานและแบ็กอัปที่ดียังไม่ได้แยกไว้ ให้ทำตามลำดับอย่างมีสติเพื่อหยุดความเสียหายก่อน แล้วค่อยกู้คืน

1. ตั้งสติ บันทึกเวลาและอาการที่พบไว้เป็นหลักฐาน
2. เปลี่ยนรหัสผ่านสำคัญทันที: แผงควบคุมโฮสติ้ง FTP ฐานข้อมูล และอีเมล
3. แจ้งทีมซัพพอร์ตของผู้ให้บริการโฮสติ้ง — หลายเจ้าช่วยสแกนและกู้ได้
4. สำรองสถานะปัจจุบันไว้ (ทั้งไฟล์และฐานข้อมูล) เพื่อใช้ตรวจสอบภายหลัง
5. อย่าเพิ่งจ่ายเงินให้ผู้เรียกค่าไถ่ และอย่าลบ log ของเซิร์ฟเวอร์

ตัดเว็บออกจากการเข้าถึงชั่วคราว

การปิดเว็บชั่วคราวด้วยหน้า maintenance ช่วยป้องกันไม่ให้มัลแวร์แพร่ไปยังผู้เข้าชม และหยุดไม่ให้แฮ็กเกอร์ใช้เว็บส่งสแปมต่อ ระหว่างนี้คุณยังเข้าหลังบ้านไปทำความสะอาดได้

• เปิดหน้า maintenance หรือจำกัดการเข้าถึงด้วยรหัสผ่าน (.htpasswd)
• ปิดปลั๊กอิน/ธีมที่ไม่จำเป็นชั่วคราวเพื่อตัดช่องโหว่
• บล็อก IP ต้องสงสัยผ่านแผงควบคุมหรือไฟร์วอลล์
• ยกเลิก session ที่ล็อกอินค้างทั้งหมด
• ตรวจ cron job ว่ามีงานแปลกปลอมที่แฮ็กเกอร์ฝังไว้หรือไม่

สแกนหามัลแวร์และไฟล์ที่ถูกฝัง

หัวใจของการกู้คืนคือหาให้เจอว่าไฟล์ไหนถูกแก้และมีอะไรฝังอยู่ มัลแวร์มักซ่อนตัวในไฟล์ที่หน้าตาเหมือนของจริง หรือใช้โค้ดเข้ารหัสแบบ base64 ที่อ่านยาก

• ใช้เครื่องมือสแกนมัลแวร์ของโฮสติ้ง เช่น cpGuard / ImunifyAV
• เทียบไฟล์กับเวอร์ชันต้นฉบับของ CMS หรือแบ็กอัปที่สะอาด
• มองหาโค้ด eval(), base64_decode(), gzinflate() ที่น่าสงสัย

ทำความสะอาดและกู้คืนจากแบ็กอัป

ตรงนี้สำคัญ — วิธีที่ปลอดภัยและเร็วที่สุดคือกู้จากแบ็กอัปที่สะอาดก่อนวันที่ถูกแฮ็ก แล้วอัปเดตทุกอย่างให้เป็นเวอร์ชันล่าสุด ถ้าไม่มีแบ็กอัปจะต้องลบไฟล์ที่ติดเชื้อทีละไฟล์ซึ่งใช้เวลามากและเสี่ยงตกหล่น

1. กู้จากแบ็กอัปที่สะอาดก่อนวันถูกแฮ็ก (จุดที่แบ็กอัปอัตโนมัติช่วยชีวิต)
2. อัปเดต CMS ปลั๊กอิน และธีมทั้งหมดเป็นเวอร์ชันล่าสุด
3. ลบปลั๊กอิน/ธีม/บัญชีผู้ใช้ที่ไม่รู้จักออกให้หมด
4. สร้างคีย์และ salt ของระบบใหม่ (เช่น wp-config) เพื่อตัด session เก่า
5. สแกนซ้ำอีกรอบเพื่อยืนยันว่าสะอาดจริงก่อนเปิดเว็บ

เปลี่ยนรหัสผ่านและกุญแจการเข้าถึงทั้งหมด

แม้จะทำความสะอาดไฟล์แล้ว ถ้าแฮ็กเกอร์ยังมีรหัสผ่านเดิมก็กลับเข้ามาได้อีก จึงต้องเปลี่ยนทุกอย่างที่เกี่ยวข้องและเปิดการยืนยันตัวตนสองชั้น

1. เปลี่ยนรหัสแผงควบคุมโฮสติ้ง บัญชีแอดมิน CMS และฐานข้อมูล
2. เปลี่ยนรหัส FTP/SFTP และลบบัญชี FTP ที่ไม่ได้ใช้
3. สร้าง API key / token ใหม่ทั้งหมดที่เคยใช้

ขอปลดสถานะ "เว็บไม่ปลอดภัย" กับ Google

หากเว็บถูก Google ขึ้นเตือนหรือถูกถอดจากผลค้นหา หลังทำความสะอาดเสร็จต้องขอให้ตรวจสอบใหม่ผ่าน Search Console มิฉะนั้นผู้ใช้ยังเห็นหน้าเตือนสีแดงและทราฟฟิกจะหายต่อไป

• ยืนยันความเป็นเจ้าของใน Google Search Console
• เข้าเมนู Security Issues เพื่อดูรายละเอียดปัญหาที่ Google พบ
• แก้ให้ครบทุกจุดที่รายงาน แล้วกด Request Review

ป้องกันไม่ให้เว็บโดนแฮ็กซ้ำ และเลือกโฮสติ้งที่ปลอดภัย

การกู้คืนจบที่การป้องกันระยะยาว เว็บที่อยู่บนโฮสติ้งที่มีระบบสแกนมัลแวร์อัตโนมัติและแบ็กอัปสม่ำเสมอ ฟื้นตัวจากเหตุการณ์แบบนี้ได้เร็วกว่ามาก จากที่เราทดสอบมา ผู้ให้บริการที่เราแนะนำอย่าง asiagb.com ใช้ระบบ cpGuard สแกนหา malware และ web shell อย่างต่อเนื่อง มีสตอเรจ SSD จัดการผ่าน DirectAdmin และทีมซัพพอร์ตภาษาไทย 24 ชั่วโมงที่ช่วยตอนเกิดเหตุได้จริง

• เลือกโฮสติ้งที่มีสแกนมัลแวร์อัตโนมัติ (เช่น cpGuard) และไฟร์วอลล์
• เปิดแบ็กอัปอัตโนมัติและทดสอบกู้คืนเป็นระยะ
• อัปเดต CMS ปลั๊กอิน ธีม สม่ำเสมอ อย่าปล่อยค้าง