Sisältö
Artikkeli lyhyesti
Verkkosivuille hyökätään, koska hyökkääjät ovat automaattisia botteja, jotka käyvät läpi kaikki sivustot niiden koosta tai alasta riippumatta. Tavoitteena ei ole yrityksen salaisuudet, vaan sivuston resurssit: palvelinteho, näkyvyys ja mahdollisuus lähettää roskapostia. Hyvin suojatulla sivustolla WordPress-tietoturva hoitaa nämä yritykset taustalla, ilman että kukaan edes näkee tapahtumaa.
Tärkeimmät pointit kiireisille:
- Botit käyvät verkkoa läpi jatkuvasti ja etsivät tunnettuja heikkouksia, eivät valitse kohteitaan yrityksen koon tai alan perusteella.
- Automaattinen bottiliikenne ylitti vuonna 2024 ihmisliikenteen verkossa, ja haitalliset botit muodostivat 37 prosenttia kaikesta liikenteestä.
- WordPress-ekosysteemissä raportoitiin vuonna 2025 yhteensä 11 334 uutta haavoittuvuutta, joista suurin osa löytyi lisäosista, ei ytimestä.
- Torjuntajärjestelmä pysäyttää tunnetut hyökkäysyritykset automaattisesti taustalla, jolloin suurin osa niistä ei koskaan näy sivuston omistajalle.
Miksi juuri sinun sivustollesi hyökätään?
Sivustoosi ei hyökätä siksi, että joku olisi valinnut juuri sinut. Botit käyvät läpi kaiken, mihin ne pääsevät käsiksi, ja sivustosi on yksi monista miljoonista pysähdyspaikoista niiden kierroksella.
Vuonna 2024 automaattinen bottiliikenne ylitti ihmisliikenteen verkossa ja oli 51 prosenttia kaikesta verkkoliikenteestä, ja haitalliset botit muodostivat 37 prosenttia kaikesta liikenteestä (lähde: Thalesin Bad Bot Report 2025). Nämä luvut eivät kerro sinusta mitään henkilökohtaista. Ne kertovat, että suuri osa verkon liikenteestä ei ole enää ihmisiä vaan koneita, jotka tekevät työtään väsymättä.
Botti ei ole murtovaras, joka on vakoillut taloasi ja tietää milloin olet lomalla. Se on pikemminkin ovelta ovelle kiertävä kone, joka kokeilee jokaista kahvaa kadulla, ja jos kahva antaa periksi, se astuu sisään. Sillä ei ole mielipidettä sinusta, koska se ei tiedä olemassaolostasi ennen kuin se löytää oven.
Mitä botit sitten haluavat sivustoltasi? Eivät yrityksesi salaisuuksia, koska sellaisia ei verkkosivuilla yleensä edes ole. Ne haluavat sivuston resursseja: palvelintehoa omiin ajoihinsa, mahdollisuuden lähettää roskapostia sinun nimissäsi, paikan piilottaa linkkejä ja haittasisältöä, tai keinon ohjata kävijäsi huijaussivuille. Sivusto on botille pelkkä resurssi, kuin tyhjillään oleva autotalli, johon joku haluaisi varastoida omat tavaransa ilman että kukaan huomaa.
Miksi WordPress-sivustot ovat suosittu kohde?
WordPress on suosittu kohde siksi, että se on maailman yleisin julkaisujärjestelmä, ja yleisin alusta antaa automaattisille hyökkäyksille suurimman hyödyn. Sama syy, miksi taskuvarkaat viihtyvät ruuhkaisilla rautatieasemilla eivätkä tyhjillä maaseututeillä.
Patchstackin State of WordPress Security 2026 -raportin mukaan WordPress-ekosysteemissä raportoitiin vuonna 2025 yhteensä 11 334 uutta haavoittuvuutta, mikä on 42 prosenttia enemmän kuin vuotta aiemmin (lähde: Patchstack). Olennaisin luku ei kuitenkaan ole tuo kokonaismäärä, vaan se, mistä haavoittuvuudet löytyivät: 91 prosenttia niistä oli lisäosissa, ja WordPressin ytimestä löytyi niistä vain kuusi.
WordPress itsessään ei siis ole turvaton julkaisujärjestelmä. Päivittämättömät lisäosat ovat se ovi, josta hyökkääjät kävelevät sisään, ja siksi säännölliset päivitykset ovat koko WordPress-tietoturvan ydin. Päivitykset ovat myös osa hyvää WordPress-ylläpitoa, eivät erillinen lisäpalvelu, jonka voi jättää tekemättä kiireessä.
Mitä automaattinen torjunta tekee?
Automaattinen torjunta tunnistaa ja estää haitallisen liikenteen ennen kuin se pääsee tekemään mitään, yleensä täysin huomaamatta. Sivuston omistaja ei useimmiten näe koko tapahtumaa, koska torjunta hoitaa sen taustalla.
Palomuuri suodattaa pois tunnetut hyökkäysosoitteet ja epäilyttävät pyynnöt jo ennen kuin ne pääsevät sivustolle asti. Kirjautumissuojaus pysäyttää salasanojen arvailun rajoittamalla yrityskertoja ja tunnistamalla epätavallisen kirjautumisliikenteen. Estolistat taas päivittyvät jatkuvasti uusista hyökkääjistä, joten suojaus oppii koko ajan lisää.
Kun ylläpitoraportissa lukee, että sivustollasi on torjuttu satoja hyökkäysyrityksiä, se ei tarkoita että olet erityinen kohde. Se tarkoittaa, että ovi piti. Iso torjuntaluku on sama asia kuin sademittarin lukema: se kertoo säästä, ei siitä, että pilvet olisivat valinneet vainota juuri sinun taloasi.
”Jos viikkoraportissa lukee, että sivustolta on torjuttu 400 hyökkäysyritystä, se ei tarkoita että joku vihaa sinua henkilökohtaisesti. Se tarkoittaa, että maksoit vartijasta ja vartija tuli töihin.”
– Arto Väisänen, Applari
Milloin pitää huolestua?
Huolestua ei tarvitse silloin, kun torjuntaluvut ovat isoja. Huolestua kannattaa silloin, kun sivustoa ei päivitetä eikä kukaan valvo sitä.
Torjuttu hyökkäys on ei-tapahtuma: se ei koskaan päässyt minnekään, eikä siitä jää muuta kuin rivi lokitiedostoon. Todellinen riski on toisenlainen sivusto, sellainen, jonka lisäosat ovat vuosia vanhoja, jolla ei ole varmuuskopioita eikä valvontaa, ja jonka omistaja huomaa ongelman vasta kun asiakas soittaa ja ihmettelee mitä sivuilla tapahtuu.
Varoitusmerkit, joihin kannattaa reagoida:
- Sivustolle ilmestyy sisältöä, jota et ole itse lisännyt.
- Sivusto ohjaa kävijöitä oudoille tai tuntemattomille sivuille.
- Hakutuloksissa sivustosi kohdalla näkyy varoitus tai vieraskielistä tekstiä.
- Sivusto hidastuu selittämättömästi tai lähettää sähköposteja, joita et ole kirjoittanut.
Murron havaitsemiseen on olemassa myös järjestelmällinen keino: tiedostojen eheysvalvonta, joka vertaa sivuston tiedostoja jatkuvasti alkuperäisiin ja huomaa poikkeamat ajoissa. Tästä aiheesta on oma artikkeli: mitä tiedostojen eheysvalvonta tarkoittaa.
Kaikki tämä on estettävissä tylsällä perustyöllä, ei sankaruudella. Säännöllinen ylläpito ja joku, joka oikeasti seuraa sivustoa, riittävät pitämään suurimman osan ongelmista loitolla.
Hyökkäykset ovat säätä, suojaus on katto
Hyökkäyksiä ei voi lopettaa, koska ne eivät kohdistu sinuun henkilökohtaisesti vaan koko verkkoon. Niistä voi silti tehdä merkityksettömiä oikealla suojauksella. Pelko on huono neuvonantaja tässä asiassa, mutta laiminlyönti on vielä huonompi.
- Pidä WordPress ja kaikki lisäosat päivitettyinä aina kun päivitys on saatavilla.
- Poista lisäosat, joita et enää oikeasti käytä.
- Varmista, että varmuuskopiot otetaan säännöllisesti ja että niiden palautus on myös testattu.
- Hanki valvonta, joka huomaa poikkeamat puolestasi.
Applarin ylläpitoasiakkaana näet viikkoraportista, kuinka monta hyökkäysyritystä sivustoltasi on torjuttu, ja se saa olla iso luku. Se ei tarkoita, että sivustosi olisi erityisen vaarassa, vaan sitä, että suojaus tekee työtään joka päivä.
Jos sivustosi ylläpito on tällä hetkellä enemmän toivomus kuin suunnitelma, tutustu WordPress-ylläpitoon tai ota yhteyttä Artoon, +358 40 570 2314.
Usein kysytyt kysymykset
Verkkosivujen tietoturva koostuu useasta osasta: säännöllisistä päivityksistä, palomuurista ja automaattisesta torjunnasta, varmuuskopioista ja niiden testatusta palautuksesta, valvonnasta, joka huomaa poikkeamat ajoissa, sekä vahvoista kirjautumiskäytännöistä kuten pitkistä salasanoista ja kirjautumisyritysten rajoittamisesta. Yksikään näistä ei riitä yksin, vaan tietoturva syntyy siitä, että kaikki osat toimivat yhdessä.
Tietosuoja koskee henkilötietojen käsittelyä ja ihmisten oikeuksia: mitä tietoa kerätään, miksi ja kuinka kauan sitä säilytetään. Tietoturva taas tarkoittaa teknisiä ja hallinnollisia keinoja, joilla tiedot ja järjestelmät suojataan ulkopuolisilta uhilta. Käytännössä tietoturva on yksi keino, jolla tietosuoja osaltaan toteutetaan.
Merkkejä siitä, että sivusto on hakkeroitu, ovat outo sisältö, jota et ole lisännyt, ohjaukset vieraille tai epäilyttäville sivuille, hakutuloksissa näkyvät varoitukset ja selittämätön hidastuminen. Osa näistä huomataan vasta, kun vahinko on jo tapahtunut. Varmin tapa havaita murto ajoissa on valvonta, joka vertaa sivuston tiedostoja alkuperäisiin ja huomaa muutokset nopeammin kuin ihminen ehtisi.
Ilmainen tietoturvalisäosa on hyvä alku ja parempi kuin ei mitään suojausta ollenkaan. Se ei kuitenkaan päivitä sivustoa puolestasi, ota varmuuskopioita automaattisesti eikä reagoi hälytyksiin, jos kukaan ei lue niitä. Tietoturva on kokonaisuus, ja jonkun pitää myös säännöllisesti pitää siitä huolta.
