Как понять, что сайт взломали, до жалобы клиента

Взлом редко выглядит как чёрный экран с черепом. Чаще сайт ещё открывается, а вред уже идёт мимо: чужой редирект на мобильном, пачка писем с вашего домена, новая учётка, о которой никто не просил. Пока это списывают на «глюк хостинга», следы затираются самими попытками починить.

Признаки, которые стоит проверить в тот же день

• Новые пользователи с правами администратора и незнакомые плагины или файлы в корне.
• Редирект только с телефона или только для посетителя из поиска. С офисного IP страница может быть чистой.
• Письма, которые вы не отправляли, и ответы «уберите нас из рассылки».
• Предупреждение в Search Console или у антивируса, хотя «у нас всё открывается».
• Резкий рост исходящего трафика или нагрузка ночью без рекламы.

Чего не делать первым движением

Не откатывайте сайт поверх заражённой копии и не удаляйте журналы, пока не понятно, какой вход использовали. Иначе через сутки вернётся то же самое, уже без истории. Имеет смысл снять копию как улику, сменить пароли панелей и почты, посмотреть соседние сайты в том же аккаунте хостинга.

Дальше это уже реагирование: сдержать, найти вход, поднять чистую копию, закрыть доступ. Lexora подключается на этом шаге, если своего дежурного нет, и не начинает с советов «переустановите всё».