Strona zhakowana? Pierwsza godzina decyduje o wszystkim

Moment, w którym orientujesz się, że Twoja strona została przejęta, jest paskudny. Pierwszy odruch to panika i chęć „szybkiego naprawienia wszystkiego". To właśnie w tym momencie najłatwiej pogorszyć sprawę — skasować dowody, nadpisać czystą kopię zainfekowaną albo spłoszyć napastnika, który zdąży zaszyć się głębiej.

Ten wpis jest o tym, co robić po kolei, gdy już wiesz (albo mocno podejrzewasz), że strona jest zhakowana. Jeśli dopiero szukasz objawów, mamy osobny tekst o tym, jak rozpoznać, że strona ma wirusa. Tu zakładamy, że diagnoza jest już postawiona.

Najpierw: zachowaj spokój i nic nie kasuj

Brzmi banalnie, ale to najważniejsza zasada. Nie usuwaj plików w panice. Zainfekowane pliki to jednocześnie dowody — pokazują, którędy napastnik wszedł. Jeśli je skasujesz, zamkniesz drzwi, ale nie dowiesz się, czy nie zostawił drugich. A wtedy strona zostaje zainfekowana ponownie w ciągu kilku dni.

Krok 1: Zrób kopię stanu „jak jest" (pierwsze 10 minut)

Zanim cokolwiek zmienisz, wykonaj pełną kopię strony i bazy danych w obecnym, zainfekowanym stanie. To nie jest kopia do przywrócenia — to zabezpieczenie materiału. Dzięki niej można później ustalić, co się stało, i mieć pewność, że sprzątanie było kompletne.

Krok 2: Zmień wszystkie hasła (z czystego urządzenia)

Zmień hasła do:

• panelu administracyjnego strony (WordPress, Joomla, itd.),
• konta hostingu i panelu (cPanel, DirectAdmin),
• FTP / SFTP,
• bazy danych,
• konta e-mail powiązanego z domeną.

Rób to z urządzenia, co do którego masz pewność, że jest czyste. Jeśli Twój komputer też mógł zostać zainfekowany, zmiana haseł z niego niewiele da.

Krok 3: Ogranicz szkody na zewnątrz

Jeśli strona rozsyła spam albo przekierowuje odwiedzających w niebezpieczne miejsca, czas gra na niekorzyść — Google może ją wpisać na czarną listę, a hosting zablokować konto. Rozsądnym ruchem bywa tymczasowe wyłączenie strony (tryb serwisowy albo pusta strona „przerwa techniczna"), żeby zatrzymać dalsze szkody i chronić odwiedzających, dopóki nie posprzątasz.

Wyłączenie strony na godzinę czy dwie jest znacznie mniej kosztowne niż trafienie na czarną listę Google, z której schodzi się tygodniami.

Krok 4: Znajdź drogę wejścia — nie tylko objawy

To etap, na którym najczęściej sprawy idą źle przy samodzielnym sprzątaniu. Usunięcie widocznego złośliwego kodu nie wystarczy, jeśli nie zamknie się luki, którą napastnik wszedł. Najczęstsze drogi to nieaktualna wtyczka lub rozszerzenie, słabe hasło, przestarzała wersja CMS albo pozostawiony po ataku ukryty administrator lub „tylne wejście" (backdoor) w plikach.

Dopiero po znalezieniu i zamknięciu źródła ma sens czyszczenie: usunięcie złośliwych plików, sprawdzenie kont użytkowników, przegląd zaplanowanych zadań i wpisów w bazie danych.

Krok 5: Przywróć z czystej kopii — jeśli ją masz

Jeśli dysponujesz kopią zapasową sprzed infekcji, przywrócenie strony bywa najszybszą drogą. Warunek: musisz wiedzieć, kiedy zaczęła się infekcja — inaczej przywrócisz backup, który już był zarażony. I tak czy inaczej trzeba zamknąć lukę, przez którą doszło do włamania, bo inaczej historia się powtórzy.

Krok 6: Poproś Google o ponowne sprawdzenie

Gdy strona jest już czysta i zabezpieczona, jeśli trafiła na czarną listę albo dostała ostrzeżenie, zgłoś ją do ponownej weryfikacji przez Google Search Console. Ostrzeżenie „ta witryna może być niebezpieczna" zwykle znika w ciągu jednego–dwóch dni po zatwierdzeniu.

Czego NIE robić

• Nie płać ewentualnego „okupu" ani nie kontaktuj się z napastnikiem — to nie daje żadnej gwarancji, a często pogarsza sytuację.
• Nie kasuj wszystkiego na oślep w nadziei, że „coś pomoże".
• Nie zostawiaj sprawy „na potem" — infekcja sama nie zniknie, a z każdą godziną rośnie ryzyko czarnej listy i utraty zaufania klientów.
• Nie zakładaj, że po usunięciu jednego pliku jest już czysto — backdoory potrafią się mnożyć.

Kiedy poprosić o pomoc

Jeśli na którymkolwiek etapie czujesz, że to za dużo — to normalne. Czyszczenie zhakowanej strony i, co ważniejsze, upewnienie się, że nie wróci, to robota dla kogoś, kto robi to na co dzień. Zajmujemy się tym regularnie: znajdujemy drogę wejścia, sprzątamy stronę do czysta, zamykamy lukę i pomagamy zdjąć ostrzeżenia. Jeśli Twoja strona padła — napisz do nas, im szybciej, tym mniejsze szkody.