Rủi ro khi dùng theme, plugin lậu (nulled) cho website WordPress

Một plugin tạo form cao cấp giá vài chục USD, một theme đẹp giá vài chục USD nữa. Trên mạng có sẵn bản “full crack” miễn phí. Nhiều website, kể cả do một số đơn vị thiết kế giá rẻ làm, đang dùng những bản này. Bề ngoài website vẫn chạy bình thường, cho đến một ngày bị hack, bị Google gắn cảnh báo, hoặc khách hàng bị chuyển hướng sang trang lạ.

Theme, plugin lậu (nulled) là gì?

Theme, plugin trả phí có cơ chế kiểm tra bản quyền. “Nulled” là bản đã bị gỡ cơ chế này để dùng không cần mua. Người phát tán thường không làm miễn phí vì lòng tốt: nhiều bản được chèn thêm mã để kiếm lợi từ website của bạn.

Những rủi ro cụ thể

1. Cửa hậu (backdoor): đoạn mã cho phép kẻ xấu đăng nhập, tải tệp lên, điều khiển website bất cứ lúc nào.
2. Chèn link ẩn, nội dung rác: link cờ bạc, thuốc, phim lậu ẩn trong website; ảnh hưởng nghiêm trọng đến SEO.
3. Chuyển hướng độc hại: khách vào website bị chuyển sang trang lừa đảo, đặc biệt trên điện thoại.
4. Đánh cắp dữ liệu: thông tin khách hàng, đơn hàng, tài khoản quản trị.
5. Bị Google cảnh báo: trình duyệt hiện cảnh báo trang nguy hiểm, khách không dám vào.
6. Không cập nhật được: bỏ lỡ bản vá bảo mật, lỗi tương thích với WordPress mới.
7. Hosting khoá tài khoản: vì website phát tán mã độc, gửi thư rác.
8. Rủi ro pháp lý: vi phạm bản quyền phần mềm.

Dấu hiệu website có thể đang dùng hàng lậu hoặc bị nhiễm mã

• Plugin trả phí không có ô nhập mã bản quyền hoặc luôn báo “đã kích hoạt” dù bạn chưa mua.
• Không cập nhật được theme, plugin trả phí.
• Website tự xuất hiện tài khoản quản trị lạ.
• Tìm “site:tenmien.com” trên Google thấy trang lạ, tiêu đề lạ.
• Khách báo bị chuyển sang trang khác khi vào từ điện thoại.
• Hosting gửi cảnh báo mã độc, tài nguyên tăng đột biến.

Cách kiểm tra

1. Liệt kê theme, plugin đang dùng trong trang quản trị.
2. Đối chiếu nguồn: plugin miễn phí từ kho chính thức WordPress, plugin trả phí phải có tài khoản mua tại trang nhà phát triển.
3. Quét mã độc bằng công cụ bảo mật hoặc dịch vụ của hosting.
4. Kiểm tra Google Search Console: mục bảo mật và hành động thủ công.
5. Kiểm tra tài khoản quản trị: xoá tài khoản không rõ.

Cách xử lý nếu phát hiện

1. Sao lưu toàn bộ website trước khi xử lý. Xem sao lưu dữ liệu website.
2. Thay theme, plugin lậu bằng bản quyền hoặc plugin miễn phí tương đương từ kho chính thức.
3. Quét và làm sạch mã độc, kiểm tra tệp lạ trong thư mục uploads.
4. Đổi toàn bộ mật khẩu: quản trị WordPress, hosting, cơ sở dữ liệu, FTP.
5. Cập nhật WordPress, PHP lên phiên bản được hỗ trợ.
6. Bật bảo mật đăng nhập. Xem bảo mật đăng nhập WordPress.
7. Nếu bị Google cảnh báo, sau khi làm sạch, gửi yêu cầu xem xét lại trong Search Console.

Chi phí bản quyền thật ra không cao

So với thiệt hại khi website bị hack, mất khách, mất thứ hạng, chi phí mua bản quyền theme, plugin mỗi năm là rất nhỏ. Ngoài ra, nhiều nhu cầu có thể đáp ứng bằng plugin miễn phí chất lượng từ kho chính thức, không cần trả phí.

Ví dụ thực tế

Một shop mỹ phẩm phát hiện khách báo “vào website bị nhảy sang trang cá cược”. Kiểm tra cho thấy website dùng một plugin trả phí bản nulled do đơn vị làm website cũ cài, trong đó có đoạn mã tải nội dung từ máy chủ lạ. Sau khi thay plugin bằng bản quyền, làm sạch mã độc, đổi mật khẩu và gửi yêu cầu xem xét lại, cảnh báo được gỡ, nhưng shop đã mất nhiều đơn hàng và thứ hạng trong vài tuần. Chi phí xử lý cao hơn nhiều lần giá bản quyền plugin.

Hỏi đơn vị thiết kế trước khi ký hợp đồng

• Website dùng những theme, plugin trả phí nào?
• Bản quyền đăng ký tên ai, ai gia hạn?
• Sau bàn giao, tôi có cập nhật được không?

Xem thêm hợp đồng thiết kế website cần lưu ý.

Cam kết của Findme

Findme không sử dụng theme, plugin lậu trong website bàn giao cho khách. Với website do đơn vị khác làm, Findme có thể kiểm tra, thay thế và làm sạch qua dịch vụ quản trị website.

Cách phòng tránh từ đầu

• Chỉ tải plugin, theme miễn phí từ kho chính thức WordPress.
• Mua bản trả phí trực tiếp từ nhà phát triển hoặc chợ theme uy tín, lưu lại hoá đơn, tài khoản.
• Không cài plugin “được cho” từ nhóm, diễn đàn không rõ nguồn.
• Giữ số lượng plugin ở mức cần thiết; plugin không dùng hãy xoá hẳn.
• Bảo trì định kỳ: cập nhật, quét mã độc, sao lưu. Xem checklist bảo trì WordPress hằng tháng.

Câu hỏi thường gặp

Website đang chạy ổn, có cần thay plugin lậu không?
Có. Mã độc thường nằm im chờ kích hoạt, hoặc đang âm thầm chèn link mà bạn không thấy.

Plugin miễn phí có an toàn không?
Plugin từ kho chính thức WordPress, được cập nhật thường xuyên, nhiều lượt cài đặt và đánh giá tốt thường an toàn; vẫn cần cập nhật đều.

Làm sao biết theme của tôi có bản quyền?
Kiểm tra tài khoản mua tại trang nhà phát triển, mã bản quyền trong trang quản trị, khả năng cập nhật tự động.

Website bị Google cảnh báo bao lâu thì gỡ?
Sau khi làm sạch và gửi yêu cầu xem xét lại, thường vài ngày; cần đảm bảo đã xử lý triệt để để không bị lại.

Đơn vị cũ cài plugin lậu, giờ tôi phải làm gì?
Liệt kê plugin, mua bản quyền hoặc thay bằng plugin miễn phí tương đương, quét mã độc và đổi toàn bộ mật khẩu; nếu không rành kỹ thuật, nhờ đơn vị bảo trì xử lý.