Jak rozpoznać zhakowaną stronę i co zrobić w pierwszej kolejności

Włamanie na stronę rzadko wygląda tak, jak w filmach. Zwykle nie ma czarnego ekranu z napisem od hakerów. Strona działa jak dawniej, tylko część odwiedzających z telefonów trafia na obce strony z reklamami, w wynikach Google pojawiają się podstrony z ofertami, których firma nigdy nie miała, a serwer pocztowy po cichu rozsyła spam. Właściciel dowiaduje się o problemie ostatni – od klienta, od firmy hostingowej albo z ostrzeżenia w przeglądarce.

W tym poradniku opisujemy, po czym poznać, że strona została zhakowana, co zrobić w pierwszej godzinie, jak przeprowadzić czyszczenie, żeby problem nie wrócił po tygodniu, jak odzyskać zaufanie Google i klientów oraz jak zabezpieczyć stronę na przyszłość. Opisujemy też obowiązki, które mogą wynikać z przepisów o ochronie danych, gdy włamanie dotknęło danych klientów.

W skrócie:

• typowe objawy to przekierowania na obce strony, nieznane podstrony w Google, ostrzeżenia przeglądarki, spam wysyłany z serwera i nowe konta administratorów,
• w pierwszej kolejności zabezpiecz dowody, zmień hasła i odetnij dostęp napastnikowi – zanim zaczniesz cokolwiek usuwać,
• samo usunięcie widocznych objawów nie wystarczy: trzeba znaleźć i zamknąć drogę, którą napastnik się dostał,
• po czyszczeniu poproś Google o ponowne sprawdzenie strony i obserwuj ją przez kolejne tygodnie,
• regularne aktualizacje, kopie zapasowe poza serwerem i ograniczone uprawnienia zapobiegają większości włamań.

Dlaczego atakowane są także małe strony

Wielu właścicieli firmowych stron uważa, że ich strona jest zbyt mała, żeby ktoś chciał ją atakować. To nieporozumienie. Zdecydowana większość włamań nie jest wymierzona w konkretną firmę. To automatyczne skanery, które przeszukują internet w poszukiwaniu znanych luk w popularnych wtyczkach, motywach i starych wersjach systemów, a następnie wykorzystują je na wszystkich stronach, które znajdą.

Dla napastnika wartością nie są informacje o Twojej firmie, tylko zasoby: serwer, który może rozsyłać spam, domena z dobrą historią w Google, na której można publikować podstrony z linkami do podejrzanych sklepów, albo ruch odwiedzających, który można przekierować na strony z reklamami lub oszustwami. Mała strona z nieaktualną wtyczką jest dla takiego skanera równie atrakcyjna jak duży serwis.

Na listę najczęstszych zagrożeń dla aplikacji internetowych zwraca uwagę projekt OWASP Top 10. W przypadku stron na popularnych systemach zarządzania treścią najczęstszą przyczyną włamań pozostają nieaktualne rozszerzenia i słabe lub wykradzione hasła.

Objawy włamania widoczne dla odwiedzających

Część objawów widać od razu, ale nie zawsze dla właściciela. Napastnicy często ukrywają skutki włamania przed zalogowanymi administratorami i pokazują je tylko części odwiedzających – na przykład wyłącznie osobom wchodzącym z wyszukiwarki albo z telefonów. Dlatego warto sprawdzać stronę w różny sposób, nie tylko z własnego komputera.

• Przekierowania – po wejściu z Google lub z telefonu strona przenosi na obcą witrynę z reklamami, „wygranymi” albo fałszywymi komunikatami o wirusach.
• Wyskakujące okna i reklamy – elementy, których nikt w firmie nie dodawał.
• Zmieniona treść – nowe linki w stopce, ukryte teksty, podstrony z ofertami leków, kasyn czy podróbek.
• Ostrzeżenia przeglądarki – czerwony ekran z informacją, że strona może być niebezpieczna.
• Nietypowe zachowanie formularzy – dodatkowe pola, przekierowanie po wysłaniu, prośby o dane logowania czy płatności.
• Spowolnienie strony – nagłe, bez zmian po stronie firmy, często związane z ukrytymi skryptami lub wykorzystaniem serwera do innych celów.

Objawy w wyszukiwarce Google

Wyszukiwarka często jako pierwsza „widzi” skutki włamania, bo jej robot regularnie odwiedza wszystkie podstrony. Warto co jakiś czas wpisać w Google frazę site: z nazwą swojej domeny i przejrzeć wyniki. Jeśli pojawiają się podstrony w obcych językach, z ofertami, których firma nie ma, albo tytuły podstron zmieniły się na nieznane – to bardzo poważny sygnał.

Inne objawy to wynik wyszukiwania z dopiskiem, że strona mogła zostać zhakowana, nagły spadek ruchu z wyszukiwarki i wzrost liczby zaindeksowanych podstron bez żadnej pracy redakcyjnej. Najpewniejszym źródłem informacji jest jednak Google Search Console. Raport Problemy dotyczące bezpieczeństwa pokazuje, czy Google wykrył na stronie złośliwe oprogramowanie, wstrzyknięte treści lub inne zagrożenia, a raport Ręczne działania – czy strona została ukarana na przykład za spam wygenerowany przez napastnika.

Stan strony w bazie niebezpiecznych witryn możesz też sprawdzić w raporcie Bezpieczne przeglądanie. To z tej bazy korzystają przeglądarki, wyświetlając ostrzeżenia przed wejściem na stronę.

Objawy na serwerze i w panelu

Część śladów widać dopiero po zalogowaniu do panelu strony lub hostingu. Warto przejrzeć je regularnie, a przy podejrzeniu włamania – natychmiast.

• nowe konta administratorów, których nikt nie zakładał,
• nieznane wtyczki lub motywy, często o nazwach podobnych do prawdziwych,
• pliki PHP w katalogach na obrazy i załączniki, gdzie nie powinno ich być,
• zmienione daty modyfikacji plików systemu bez przeprowadzanej aktualizacji,
• zaplanowane zadania, które uruchamiają nieznane skrypty,
• duże ilości wysyłanej poczty, informacje od hostingu o spamie lub blokadzie konta,
• nietypowe wpisy w dziennikach serwera, na przykład wiele prób logowania lub odwołań do nieistniejących plików.

Firma hostingowa często wykrywa problem wcześniej niż właściciel i zawiesza konto, żeby chronić innych klientów serwera. Taki komunikat warto potraktować poważnie i nie ograniczać się do prośby o odblokowanie – bez usunięcia przyczyny problem wróci.

Pierwsza godzina: co zrobić od razu

W pierwszych chwilach łatwo działać chaotycznie: usuwać podejrzane pliki, przywracać przypadkową kopię, zmieniać ustawienia na oślep. To często utrudnia ustalenie, co się stało, i nie usuwa przyczyny. Lepiej przejść przez kilka uporządkowanych kroków.

1. Nie panikuj i nie usuwaj niczego od razu – najpierw zabezpiecz stan strony do analizy.
2. Zrób kopię obecnego stanu – plików i bazy danych, także jeśli są zainfekowane. To materiał do ustalenia, jak doszło do włamania.
3. Zmień hasła – do panelu strony, hostingu, FTP i SFTP, bazy danych, poczty i kont powiązanych. Rób to z urządzenia, co do którego masz pewność, że nie jest zainfekowane.
4. Sprawdź konta użytkowników – usuń lub zablokuj konta, których nie znasz, i wyloguj wszystkie aktywne sesje.
5. Rozważ tymczasowe wyłączenie strony – jeśli odwiedzający są przekierowywani na niebezpieczne witryny, lepiej pokazać stronę serwisową niż narażać klientów.
6. Poinformuj firmę hostingową – może mieć dzienniki i informacje, których nie widzisz w panelu.
7. Zanotuj, co wiesz – kiedy zauważyłeś problem, jakie objawy, co zostało już zmienione.

Ogólne wskazówki dla właścicieli stron, które padły ofiarą włamania, publikuje zespół Google w artykule o zhakowanych witrynach, a społeczność WordPressa – w dokumentacji dla stron po włamaniu.

Ustal, jak napastnik dostał się na stronę

To najważniejszy i najczęściej pomijany krok. Jeśli usuniesz złośliwy kod, ale zostawisz lukę, przez którą się dostał, ten sam skaner wróci za kilka dni i zrobi to samo. Wiele stron jest „czyszczonych” kilka razy, zanim ktoś zada pytanie o przyczynę.

Najczęstsze drogi włamania to:

• nieaktualna wtyczka lub motyw ze znaną luką – sprawdź wersje zainstalowanych rozszerzeń w bazach podatności, na przykład w bazie Patchstack,
• porzucone rozszerzenia – wtyczki, których autor przestał je rozwijać, i wersje „nulled”, czyli nielegalne kopie płatnych rozszerzeń, często z ukrytym złośliwym kodem,
• wykradzione lub słabe hasła – szczególnie gdy to samo hasło jest używane w kilku serwisach,
• zainfekowany komputer osoby logującej się do panelu lub FTP,
• inna strona na tym samym koncie hostingowym – stara wersja testowa lub zapomniany serwis, przez który napastnik dostał się do wszystkich stron na koncie,
• nieaktualna wersja PHP lub oprogramowania serwera.

Pomocne są dzienniki serwera: dostępu, błędów i logowań. Pokazują, które pliki były wywoływane tuż przed pojawieniem się złośliwego kodu i z jakich adresów. Analiza bywa żmudna, ale bez niej czyszczenie jest tylko gaszeniem objawów.

Czyszczenie strony krok po kroku

Czyszczenie zhakowanej strony polega na przywróceniu wszystkich plików i danych do stanu, któremu można ufać, oraz usunięciu wszystkiego, co dodał napastnik. W praktyce najskuteczniejsze jest podejście „od zaufanych źródeł”, a nie szukanie złośliwego kodu linijka po linijce.

Pliki systemu i rozszerzeń

Pliki samego WordPressa, motywów i wtyczek najlepiej podmienić na świeże kopie pobrane z oficjalnych źródeł, w aktualnych wersjach. Nie warto „naprawiać” zainfekowanych plików – szybciej i pewniej jest je zastąpić. Rozszerzenia, których nie da się pobrać z zaufanego źródła albo które nie są już rozwijane, trzeba usunąć i znaleźć dla nich zamienniki.

Pliki przesłane przez użytkowników

Katalog z obrazami i załącznikami to częste miejsce ukrywania złośliwych skryptów, bo nikt go nie przegląda. Nie powinno w nim być plików wykonywalnych, na przykład PHP. Każdy taki plik wymaga sprawdzenia, a katalog warto zabezpieczyć tak, żeby serwer nie uruchamiał w nim skryptów.

Baza danych

Napastnicy dopisują złośliwy kod także do treści wpisów, ustawień i widżetów w bazie danych. Trzeba przejrzeć między innymi treści pod kątem wstrzykniętych skryptów i linków, listę użytkowników, ustawienia adresu strony i zaplanowane zadania. Przy dużych bazach pomocne są narzędzia, które szukają typowych wzorców złośliwego kodu.

Pliki konfiguracyjne

Osobnej uwagi wymagają pliki konfiguracyjne serwera i strony – reguły przekierowań, ustawienia PHP, plik konfiguracyjny WordPressa. Napastnicy często dopisują tam przekierowania działające tylko dla części odwiedzających albo kod ładujący złośliwe skrypty przy każdym wywołaniu strony.

Profesjonalne czyszczenie i zabezpieczenie zhakowanych stron prowadzimy w ramach usługi usuwanie malware ze stron.

Kopia zapasowa – kiedy pomaga, a kiedy szkodzi

Przywrócenie kopii zapasowej wydaje się najprostszym rozwiązaniem i czasem rzeczywiście nim jest. Trzeba jednak wiedzieć, z jakiego momentu pochodzi kopia i czy na pewno sprzed włamania. Złośliwy kod bywa umieszczany na stronie tygodnie przed tym, jak pojawią się widoczne objawy. Kopia z wczoraj może więc zawierać ten sam problem.

Nawet czysta kopia nie usuwa luki, przez którą napastnik się dostał. Przywrócona strona z tą samą nieaktualną wtyczką zostanie zainfekowana ponownie. Dlatego po przywróceniu kopii trzeba od razu zaktualizować wszystkie elementy, zmienić hasła i usunąć przyczynę włamania. Trzeba też pamiętać o zmianach wprowadzonych po dacie kopii – nowych wpisach, zamówieniach czy zgłoszeniach, które trzeba odtworzyć.

Największą wartość mają kopie przechowywane poza serwerem strony, z kilku różnych momentów. O tym, jak zbudować taki system, piszemy w poradniku kopie zapasowe strony – zasada 3-2-1, a wdrożenie kopii opisujemy na stronie kopie zapasowe i odzyskiwanie stron.

Hasła, konta i dostępy po włamaniu

Po włamaniu trzeba założyć, że wszystkie dane dostępowe, które były zapisane na serwerze lub używane w czasie infekcji, mogły trafić do napastnika. Zmiana jednego hasła do panelu to za mało.

• hasła do panelu strony wszystkich użytkowników z uprawnieniami redakcyjnymi i administracyjnymi,
• hasła do hostingu, FTP i SFTP, panelu domeny i bazy danych,
• klucze bezpieczeństwa w pliku konfiguracyjnym WordPressa, co wylogowuje wszystkie sesje,
• klucze API do usług zewnętrznych zapisane w ustawieniach strony – płatności, poczty, map, integracji,
• hasła do skrzynek pocztowych, jeśli są obsługiwane na tym samym serwerze.

To dobry moment, żeby włączyć uwierzytelnianie dwuskładnikowe dla kont administratorów i ograniczyć liczbę osób z pełnymi uprawnieniami. Konta, z których nikt nie korzysta, lepiej usunąć niż zostawiać „na wszelki wypadek”.

Poczta i domena po włamaniu

Włamanie często dotyka poczty. Zainfekowany serwer może rozsyłać spam z adresów w Twojej domenie, co prowadzi do wpisania domeny lub serwera na listy blokujące. Skutek: wiadomości od firmy do klientów zaczynają trafiać do spamu albo w ogóle nie docierają.

Po oczyszczeniu strony warto sprawdzić, czy domena i adres serwera nie trafiły na publiczne listy blokujące, i w razie potrzeby złożyć wniosek o usunięcie. Dobrze skonfigurowane rekordy SPF, DKIM i DMARC utrudniają podszywanie się pod domenę i pomagają odbudować reputację nadawcy. Piszemy o tym w poradniku SPF, DKIM i DMARC.

Odzyskanie zaufania Google

Jeśli Google wykrył problem i oznaczył stronę jako niebezpieczną albo nałożył ręczne działanie, po oczyszczeniu trzeba poprosić o ponowne sprawdzenie. Robi się to w Search Console, w raporcie problemów z bezpieczeństwem lub ręcznych działań. Prośba powinna opisywać, co zostało zrobione: jakie problemy znaleziono, jak je usunięto i jak zabezpieczono stronę przed powtórką.

Warto też uporządkować skutki w indeksie. Podstrony utworzone przez napastnika powinny zwracać kod informujący, że nie istnieją, a nie przekierowywać na stronę główną. Mapa witryny powinna zawierać tylko prawdziwe podstrony. Usuwanie śmieciowych adresów z wyników wyszukiwania może potrwać, ale da się je przyspieszyć narzędziem usuwania adresów w Search Console.

Spadek pozycji po włamaniu zwykle mija po oczyszczeniu strony, ale nie zawsze od razu. Dlatego tak ważne jest szybkie działanie – im dłużej strona była zainfekowana i im więcej śmieciowych podstron zostało zaindeksowanych, tym dłużej trwa powrót do normy.

Dane osobowe i obowiązki prawne

Jeśli strona przechowuje dane klientów – zgłoszenia z formularzy, konta użytkowników, zamówienia – włamanie może oznaczać naruszenie ochrony danych osobowych. Przepisy RODO przewidują w takiej sytuacji obowiązki dla administratora danych, w tym co do zasady zgłoszenie naruszenia organowi nadzorczemu w ciągu 72 godzin od jego stwierdzenia, jeśli naruszenie może powodować ryzyko dla osób, których dane dotyczą. W Polsce organem tym jest Urząd Ochrony Danych Osobowych.

W niektórych przypadkach trzeba też poinformować osoby, których dane wyciekły. Ocena, czy naruszenie wymaga zgłoszenia, zależy od rodzaju danych i skali incydentu, dlatego warto skonsultować ją z osobą odpowiedzialną za ochronę danych w firmie lub prawnikiem. Incydent bezpieczeństwa można także zgłosić do zespołu CERT Polska, który zbiera informacje o zagrożeniach i pomaga w ich obsłudze.

Sklep internetowy po włamaniu

Włamanie do sklepu jest szczególnie groźne, bo dotyczy pieniędzy i danych klientów. Napastnicy potrafią podmienić formularz płatności, dopisać skrypt przechwytujący dane kart albo zmienić dane do przelewu na stronie zamówienia. Klient płaci, ale pieniądze nie trafiają do sklepu.

Po wykryciu włamania do sklepu trzeba sprawdzić integralność procesu zamówienia i płatności, skontaktować się z operatorem płatności i przejrzeć zamówienia z okresu infekcji. Bezpieczniej jest, gdy dane kart w ogóle nie przechodzą przez serwer sklepu, tylko są obsługiwane bezpośrednio przez operatora płatności – wtedy nawet udane włamanie nie daje do nich dostępu.

Jak zabezpieczyć stronę na przyszłość

Większości włamań można zapobiec kilkoma regularnymi działaniami. Nie wymagają one specjalistycznych narzędzi, tylko konsekwencji.

• Aktualizacje – systemu, wtyczek, motywów i PHP, wprowadzane regularnie i poprzedzone kopią zapasową.
• Mniej rozszerzeń – każda zbędna wtyczka to dodatkowe ryzyko. Nieużywane usuwaj, a nie tylko wyłączaj.
• Silne hasła i uwierzytelnianie dwuskładnikowe – szczególnie dla kont administratorów.
• Ograniczone uprawnienia – redaktor nie potrzebuje konta administratora.
• Kopie zapasowe poza serwerem – z kilku momentów i regularnie testowane.
• Utwardzenie konfiguracji – blokada edycji plików z panelu, brak uruchamiania skryptów w katalogu przesyłanych plików, ograniczenie prób logowania.
• Monitoring – powiadomienia o zmianach plików, niedostępności strony i problemach zgłaszanych przez Search Console.

Szczegółowe zalecenia dotyczące zabezpieczania WordPressa opisuje przewodnik Hardening WordPress. Zasady codziennej higieny cyfrowej dla firm i pracowników zebrano też w serwisie gov.pl o cyberbezpieczeństwie. Kompleksowe zabezpieczenie strony realizujemy w ramach usługi zabezpieczanie stron przed atakami.

Monitoring, który wykrywa problem wcześniej

Im szybciej włamanie zostanie wykryte, tym mniejsze szkody. Dobrze ustawiony monitoring wychwytuje problemy, zanim zauważą je klienci i wyszukiwarka.

• monitoring dostępności strony z powiadomieniem, gdy strona przestaje działać lub zwraca błędy,
• powiadomienia z Google Search Console o problemach z bezpieczeństwem,
• wykrywanie zmian w plikach systemu, motywów i wtyczek poza zaplanowanymi aktualizacjami,
• powiadomienia o nowych kontach administratorów i logowaniach z nieznanych miejsc,
• okresowe skanowanie strony pod kątem złośliwego kodu.

Monitoring ma sens tylko wtedy, gdy ktoś reaguje na powiadomienia. Dlatego warto ustalić, kto je dostaje i co robi, gdy przyjdzie alarm – zwłaszcza poza godzinami pracy.

Dobrze sprawdza się prosta zasada: każde powiadomienie trafia do jednej, konkretnej osoby, a nie na ogólny adres, który czyta kilka osób i każda zakłada, że zajmie się nim ktoś inny.

Skanery i ich ograniczenia

Wtyczki i usługi skanujące strony pod kątem złośliwego kodu są przydatne, ale nie wolno traktować ich wyniku jako ostatecznej odpowiedzi. Skaner porównuje pliki ze znanymi wzorcami i oryginalnymi wersjami rozszerzeń. Dobrze wykrywa typowe infekcje, ale może przeoczyć nowy lub sprytnie ukryty kod, skrypty zapisane w bazie danych czy przekierowania działające tylko dla wybranych odwiedzających.

Zdarza się też odwrotnie: skaner zgłasza jako podejrzane pliki, które są w porządku, na przykład zminimalizowane skrypty motywu. Dlatego wynik skanowania to punkt wyjścia do analizy, a nie jej koniec. Najwięcej daje połączenie kilku źródeł: skanera, porównania plików z oryginałami, przeglądu bazy danych, dzienników serwera i raportów Search Console. Warto też pamiętać, że wtyczka skanująca działa na zainfekowanym serwerze, więc napastnik z pełnym dostępem może ją oszukać lub wyłączyć.

Prawdziwy koszt włamania

Koszt włamania rzadko ogranicza się do czasu potrzebnego na czyszczenie. Najczęściej większe są straty pośrednie: zapytania i zamówienia, które nie dotarły, gdy strona przekierowywała odwiedzających lub była wyłączona, spadek ruchu z wyszukiwarki, wiadomości od firmy trafiające do spamu i czas pracowników poświęcony na tłumaczenie sytuacji klientom.

Do tego dochodzi ryzyko prawne przy wycieku danych i utrata zaufania, którą trudno wycenić. Porównanie tych kosztów z kosztem regularnej opieki zwykle wypada jednoznacznie: zapobieganie jest tańsze i mniej stresujące niż gaszenie pożaru. Przy wycenie opieki warto więc pytać nie tylko o cenę, ale też o czas reakcji przy incydencie i o to, czy kopie zapasowe są regularnie testowane.

Plan na wypadek włamania

Najlepszy moment na przygotowanie się do włamania to czas, gdy wszystko działa. Krótki plan, spisany na jednej stronie, oszczędza nerwów i godzin w sytuacji kryzysowej.

1. Lista dostępów: gdzie jest hosting, domena, poczta, panel strony i kto ma do nich dostęp.
2. Miejsce przechowywania kopii zapasowych i sposób ich przywrócenia.
3. Kontakt do osoby lub firmy, która zajmuje się techniczną stroną serwisu.
4. Kontakt do firmy hostingowej i operatora płatności.
5. Osoba odpowiedzialna za decyzje o wyłączeniu strony i komunikacji z klientami.
6. Procedura oceny naruszenia ochrony danych osobowych.

Komunikacja z klientami

Jeśli włamanie dotknęło klientów – byli przekierowywani na niebezpieczne strony, dostali spam z Twojej domeny albo ich dane mogły wyciec – warto ich poinformować. Szczera, rzeczowa informacja o tym, co się stało, co zostało zrobione i na co mają uważać, buduje więcej zaufania niż milczenie. Klienci, którzy dowiedzą się o problemie z innych źródeł, łatwo uznają, że firma coś ukrywa.

Komunikat nie musi zawierać szczegółów technicznych. Wystarczy informacja, kiedy wystąpił problem, czy dotyczył ich danych, jakie kroki podjęła firma i co powinni zrobić, na przykład zmienić hasło do konta w sklepie albo zachować ostrożność wobec podejrzanych wiadomości.

Najczęstsze błędy po włamaniu

• Usuwanie objawów bez szukania przyczyny – strona wraca do stanu sprzed czyszczenia po kilku dniach.
• Przywrócenie zainfekowanej kopii – kopia z okresu, gdy złośliwy kod już był na serwerze.
• Zmiana tylko jednego hasła – napastnik wraca przez inne konto lub dostęp FTP.
• Pominięcie bazy danych – pliki są czyste, ale skrypt jest zapisany w treści lub ustawieniach.
• Zostawienie starych stron na tym samym koncie – porzucona wersja testowa zaraża ponownie główną stronę.
• Brak prośby o ponowne sprawdzenie w Google – ostrzeżenie w przeglądarce zostaje mimo czystej strony.
• Brak zmian po incydencie – te same zasady aktualizacji i dostępów, które doprowadziły do włamania.

Opieka, która zmniejsza ryzyko

Większość włamań, którymi się zajmujemy, dotyczy stron bez regularnej opieki: z wtyczkami nieaktualizowanymi od miesięcy, kopiami zapasowymi tylko na tym samym serwerze i kontami administratorów byłych pracowników. Regularna opieka nie daje stuprocentowej pewności, ale sprowadza ryzyko do minimum i sprawia, że gdy coś się wydarzy, reakcja jest szybka, a kopie gotowe do użycia.

W ramach opieki technicznej nad stronami aktualizujemy system i rozszerzenia, wykonujemy i testujemy kopie zapasowe, monitorujemy dostępność i bezpieczeństwo oraz reagujemy na problemy zgłaszane przez Search Console. O bezpiecznych aktualizacjach piszemy też w poradniku jak bezpiecznie aktualizować WordPressa.

Najczęstsze pytania

Skąd mam wiedzieć, że moja strona została zhakowana, jeśli wszystko wygląda normalnie?

Napastnicy często ukrywają skutki włamania przed zalogowanymi administratorami. Sprawdź stronę z telefonu i po wejściu z wyników Google, przejrzyj wyniki wyszukiwania dla swojej domeny, zajrzyj do raportu problemów z bezpieczeństwem w Search Console i listy użytkowników w panelu. Nieznane podstrony w Google, nowe konta administratorów i przekierowania to najczęstsze sygnały.

Czy wystarczy przywrócić kopię zapasową?

Czasem tak, ale tylko jeśli kopia pochodzi sprzed włamania i od razu po jej przywróceniu usunie się przyczynę – zaktualizuje rozszerzenia, zmieni hasła i zamknie lukę. Kopia z okresu, gdy złośliwy kod już był na serwerze, lub przywrócenie bez usunięcia przyczyny prowadzi do ponownej infekcji.

Jak długo trwa usunięcie ostrzeżenia Google po oczyszczeniu strony?

Po oczyszczeniu trzeba poprosić o ponowne sprawdzenie w Search Console. Czas weryfikacji zależy od rodzaju problemu, zwykle to od kilku dni do kilku tygodni. Prośba z rzetelnym opisem wykonanych działań zwiększa szansę na szybką i pozytywną odpowiedź.

Czy muszę zgłaszać włamanie do UODO?

Jeśli włamanie dotknęło danych osobowych, na przykład zgłoszeń z formularzy czy kont klientów, i może powodować ryzyko dla tych osób, przepisy RODO przewidują co do zasady zgłoszenie naruszenia organowi nadzorczemu w ciągu 72 godzin od jego stwierdzenia. Ocenę warto skonsultować z osobą odpowiedzialną za ochronę danych lub prawnikiem.

Dlaczego moja strona została zhakowana, skoro jest mała i mało znana?

Większość ataków jest automatyczna. Skanery przeszukują internet w poszukiwaniu znanych luk w popularnych wtyczkach i starych wersjach oprogramowania i atakują wszystkie strony, które je mają. Napastnikom chodzi o serwer, domenę i ruch, a nie o informacje o konkretnej firmie.

Czy wtyczka zabezpieczająca wystarczy, żeby uniknąć włamania?

Wtyczka bezpieczeństwa pomaga, ale nie zastąpi podstaw: regularnych aktualizacji, ograniczonej liczby rozszerzeń, silnych haseł z uwierzytelnianiem dwuskładnikowym i kopii zapasowych poza serwerem. Większość włamań wykorzystuje luki, które zostały już załatane przez producentów, tylko poprawki nie zostały zainstalowane.

Czy po włamaniu moje pozycje w Google wrócą?

Zwykle tak, jeśli strona zostanie dokładnie oczyszczona, śmieciowe podstrony usunięte z indeksu, a ostrzeżenia i ewentualne ręczne działania zdjęte. Powrót może jednak potrwać, szczególnie gdy strona była zainfekowana długo i napastnik opublikował na niej wiele podstron ze spamem.

Źródła i dalsza lektura

• Zhakowana witryna – poradnik Google dla właścicieli stron.
• Raport Problemy dotyczące bezpieczeństwa – pomoc Search Console.
• Raport Ręczne działania – pomoc Search Console.
• Bezpieczne przeglądanie – sprawdzenie, czy strona jest oznaczona jako niebezpieczna.
• Moja strona została zhakowana – dokumentacja WordPressa.
• Hardening WordPress – zabezpieczanie instalacji.
• Zgłoś incydent do CERT Polska – formularz zgłoszeniowy.
• OWASP Top 10 – najczęstsze zagrożenia aplikacji internetowych.

Pomożemy po włamaniu

Jeśli podejrzewasz, że Twoja strona została zhakowana, zadzwoń lub napisz – zaczniemy od zabezpieczenia dowodów i dostępu, ustalimy przyczynę, wyczyścimy stronę i bazę danych, zabezpieczymy ją przed powtórką i poprowadzimy prośbę o ponowne sprawdzenie w Google. Po incydencie możemy przejąć stałą opiekę, żeby sytuacja się nie powtórzyła.

Jeśli włamanie zostawiło ślady w wynikach wyszukiwania lub zaszkodziło wizerunkowi firmy w sieci, pomagamy też w ich usuwaniu – o tym piszemy na stronie możliwości po starcie strony.