Первые часы после дефейса

Дефейс заметен, и поэтому с ним торопятся неправильно: ставят старый архив поверх, радуются, что «сайт вернулся», и на следующее утро видят ту же надпись. Вход остался. Архив мог уже содержать ту же дверь. Первые часы нужны, чтобы не закрепить аварию.

Порядок без героизма

• Снять страницу с публичного доступа или поставить короткую заглушку. Не стирая файлы, которые ещё нужны для разбора.
• Сохранить копию того, что сейчас на сервере, и журналы веб-сервера. Это улика, не мусор.
• Сменить пароли панелей, CMS и базы. Сессии выкинуть.
• Посмотреть другие сайты и ящики в том же аккаунте. Дефейс часто не единственный.
• Поднимать чистую копию только после того, как понятен вход. Иначе вы публикуете ту же дыру.

Клиентам лучше сказать коротко и своими словами: сайт временно закрыт, заказы и пароли с него сейчас не принимаются. Длинное «нас взломали, но всё под контролем» без фактов только плодит скриншоты.

Lexora ведёт эти часы как реагирование: сдержать, найти вход, вернуть чистую версию, закрыть дверь. Параллельно имеет смысл поставить наблюдение, чтобы следующий дефейс не обнаруживал клиент.