Ktoś włamał się na moją stronę — co robić?
Włamanie na stronę internetową wymaga szybkiej reakcji, ale przypadkowe i nieprzemyślane działania mogą pogorszyć sytuację. Usunięcie kilku podejrzanych plików, przywrócenie starej kopii albo zainstalowanie kolejnej wtyczki zabezpieczającej nie zawsze rozwiązuje problem.
Poniżej znajdziesz kolejność działań, która pomaga ograniczyć skutki ataku i zwiększa szansę na trwałe oczyszczenie strony.
Krok 1 — Nie kasuj od razu podejrzanych plików
Pierwszym odruchem jest często usunięcie wszystkiego, co wygląda nietypowo. Może to jednak uszkodzić stronę, zniszczyć informacje potrzebne do analizy, usunąć tylko część infekcji, pozostawić aktywny backdoor lub utrudnić ustalenie momentu i sposobu włamania.
Zapisz nazwy podejrzanych plików, ich lokalizacje i daty modyfikacji. Jeżeli to możliwe, wykonaj ich kopię do odizolowanego katalogu. Nie uruchamiaj podejrzanych plików na swoim komputerze.
Krok 2 — Wykonaj kopię aktualnego stanu
Przed rozpoczęciem naprawy wykonaj pełną kopię plików strony, bazy danych, wiadomości od hostingu, logów serwera, konfiguracji DNS, listy użytkowników oraz informacji o ostatnich zmianach.
Kopia może zawierać malware, dlatego nie powinna być później przywracana bez sprawdzenia. Jest jednak potrzebna jako materiał do analizy i zabezpieczenie przed utratą danych.
Krok 3 — Ogranicz dostęp do zainfekowanej strony
Jeżeli strona przekierowuje użytkowników, wyłudza dane, rozsyła złośliwe pliki, pokazuje fałszywe formularze lub atakuje inne serwery — tymczasowo ogranicz jej działanie.
Można zastosować stronę techniczną, blokadę dostępu lub ograniczenie ruchu do wybranych adresów IP. Zwykła wtyczka maintenance mode może nie zatrzymać złośliwego kodu wykonywanego bezpośrednio na serwerze, poza WordPressem.
Krok 4 — Skontaktuj się z firmą hostingową
Poproś hosting o informacje: jakie pliki zostały wykryte, kiedy wykryto aktywność, czy konto wysyłało spam, czy wystąpiły nietypowe logowania, czy zostały zablokowane konkretne procesy i czy dostępne są logi z okresu włamania.
Nie proś hostingu jedynie o odblokowanie strony. Jeżeli źródło problemu pozostanie aktywne, infekcja może szybko powrócić.
Krok 5 — Zmień hasła z bezpiecznego urządzenia
Hasła należy zmieniać z komputera, który jest aktualny, przeskanowany i nie wykazuje oznak infekcji. Zmień hasła do:
- panelu hostingowego
- FTP i SFTP
- SSH
- panelu administratora CMS
- bazy danych
- skrzynek e-mail
- usług DNS i rejestratora domeny
- kont powiązanych z kopią zapasową
- usług zewnętrznych podłączonych do strony
Nie używaj jednego hasła w kilku miejscach. Włącz uwierzytelnianie dwuskładnikowe wszędzie, gdzie jest dostępne. Sama zmiana haseł nie wystarczy, jeżeli na serwerze pozostaje backdoor.
Krok 6 — Wyloguj aktywne sesje i usuń nieznane dostępy
Sprawdź aktywne sesje administratorów, nieznane konta użytkowników, klucze API, tokeny dostępu, klucze SSH, konta FTP, integracje z zewnętrznymi usługami oraz aplikacje mające dostęp do hostingu lub domeny.
Usuń lub unieważnij wszystko, czego nie rozpoznajesz. Sprawdź również, czy atakujący nie zmienił adresów e-mail służących do odzyskiwania kont.
Krok 7 — Sprawdź wszystkie instalacje na koncie hostingowym
Jeżeli na jednym hostingu znajdują się inne strony WordPress, strony Joomla, wersje testowe, stare kopie witryn, nieużywane subdomeny lub katalogi po wcześniejszych migracjach — każda z nich powinna zostać sprawdzona.
Atakujący może włamać się przez starą, zapomnianą instalację, a następnie modyfikować pliki pozostałych stron. Oczyszczenie tylko jednej domeny często prowadzi do ponownej infekcji.
Krok 8 — Zachowaj logi i ustal możliwy moment włamania
Przydatne mogą być logi HTTP, FTP, SSH, panelu hostingowego i aplikacji, historia aktualizacji, lista ostatnio zmienionych plików oraz powiadomienia bezpieczeństwa.
Na podstawie logów można ustalić wykorzystaną lukę, adres IP atakującego, przejęte konto, podatne rozszerzenie oraz moment utworzenia backdoora. Nie zawsze jest to możliwe, szczególnie gdy hosting przechowuje logi przez krótki czas.
Krok 9 — Nie przywracaj przypadkowej kopii zapasowej
Kopia może być pomocna tylko wtedy, gdy wiadomo, że została wykonana przed włamaniem. Przywrócenie backupu może nie rozwiązać problemu, ponieważ kopia może już zawierać malware, nadal pozostanie podatna wtyczka, inne strony na hostingu mogą być zainfekowane lub zadanie cron może ponownie utworzyć złośliwe pliki.
Po przywróceniu kopii trzeba nadal przeprowadzić analizę, aktualizację i zabezpieczenie środowiska.
Krok 10 — Usuń infekcję i jej przyczynę
Prawidłowe czyszczenie powinno obejmować pliki systemowe CMS, wtyczki, komponenty i szablony, bazę danych, konta administratorów, pliki konfiguracyjne, .htaccess, .user.ini i php.ini, zadania cron, katalogi z plikami użytkowników, inne strony na hostingu oraz mechanizmy ponownego tworzenia malware.
Nie wystarczy usunąć pliku wykrytego przez skaner. Trzeba ustalić, w jaki sposób znalazł się na serwerze i czy istnieją inne mechanizmy dostępu.
Krok 11 — Zaktualizuj CMS i rozszerzenia
Po oczyszczeniu strony: zaktualizuj system CMS, zaktualizuj legalne rozszerzenia, usuń nieużywane wtyczki i szablony, zastąp komponenty, które nie są już rozwijane, usuń nielegalne motywy i rozszerzenia oraz sprawdź zgodność wersji PHP.
Nie aktualizuj wszystkiego bez wcześniejszego wykonania kopii i sprawdzenia zgodności. Nagła aktualizacja starej strony może spowodować dodatkowe błędy.
Krok 12 — Sprawdź, czy mogły zostać naruszone dane
Jeżeli strona przechowuje dane klientów, pracowników, konta użytkowników, zamówienia, formularze kontaktowe, dane płatnicze lub dokumenty — należy ocenić, czy atakujący mógł uzyskać do nich dostęp.
W zależności od rodzaju danych i zakresu incydentu mogą powstać dodatkowe obowiązki prawne. W takiej sytuacji należy skonsultować się z osobą odpowiedzialną za ochronę danych. Nie informuj użytkowników na podstawie przypuszczeń, ale nie ignoruj możliwości naruszenia danych.
Krok 13 — Zgłoś stronę do ponownej weryfikacji
Jeżeli Google lub przeglądarka oznaczyły stronę jako niebezpieczną, prośbę o ponowne sprawdzenie należy wysłać dopiero po pełnym oczyszczeniu strony, zamknięciu wykorzystanej luki, aktualizacji oprogramowania, zmianie haseł, sprawdzeniu innych instalacji i potwierdzeniu, że złośliwe treści nie są już dostępne. Zbyt wczesne zgłoszenie strony do weryfikacji może zostać odrzucone.
Czego nie robić po włamaniu?
- Nie kasuj plików bez wykonania kopii
- Nie wysyłaj haseł zwykłym e-mailem
- Nie instaluj wielu skanerów jednocześnie
- Nie przywracaj pierwszego dostępnego backupu
- Nie pozostawiaj starych stron na tym samym hostingu
- Nie usuwaj jedynie plików wskazanych przez hosting
- Nie zakładaj, że zmiana hasła rozwiązała problem
- Nie uruchamiaj strony ponownie bez testów
Kiedy zlecić profesjonalną analizę?
Skorzystaj z pomocy specjalisty, gdy infekcja powraca, strona zawiera dane klientów, hosting zablokował całe konto, nie masz pewnej kopii zapasowej, na hostingu działa kilka stron, nie masz dostępu do logów, sklep internetowy przestał działać lub w Google pojawiły się tysiące spamerskich adresów URL.