Что делать, если взломали форму обратной связи на сайте?
Нужно сразу отключить форму или заблокировать её отправку, затем сменить все пароли, ключи API и доступы к почте и хостингу. Взлом формы почти всегда означает, что через уязвимость обработчика злоумышленник рассылает спам от имени вашего домена или внедряет скрипты на сервер.
Дальше действуйте по шагам. Проверьте логи веб-сервера и почты за последние дни: ищите массовые POST-запросы с одного IP, необычные User-Agent и обращения к файлам обработчика напрямую, минуя страницу. Просмотрите код формы и скрипт отправки — не появились ли лишние строки, подключения к внешним адресам, eval или base64-вставки. Смените пароли администратора CMS, FTP, базы данных и почтовых ящиков, обновите ядро CMS, плагины и тему до актуальных версий, а также смените соли и ключи в конфигурации. Проверьте домен на попадание в спам-листы и настройки SPF, DKIM и DMARC — иначе письма с вашего сайта будут уходить в спам даже после чистки.
Для защиты на будущее добавьте на форму капчу или невидимую проверку, CSRF-токен, ограничение частоты отправки по IP и серверную валидацию всех полей. Храните бэкапы до взлома, а не после, и настройте оповещения о подозрительной активности на почту администратора.