Strona zawirusowana. Co zrobić po włamaniu krok po kroku

Zawirusowana strona to nie jest problem informatyczny, który może poczekać do poniedziałku. Każda godzina działa na Twoją niekorzyść: Google oznacza witrynę jako niebezpieczną, przeglądarki pokazują czerwony ekran ostrzeżenia, a pozycje, które budowałeś latami, znikają w kilka dni. Poniżej opisujemy, co zrobić i w jakiej kolejności.

Ekran komputera z ostrzeżeniem o naruszeniu bezpieczeństwa danych

Po czym poznać, że strona została zaatakowana

Najgroźniejsze włamania nie wyglądają spektakularnie. Strona działa normalnie, a problem widać dopiero z zewnątrz.

  • W wynikach Google przy Twojej domenie pojawia się ostrzeżenie o niebezpiecznej witrynie
  • Search Console wysyła powiadomienie o problemach z bezpieczeństwem
  • Witryna przekierowuje na obcą stronę, ale tylko z telefonu albo tylko przy wejściu z wyszukiwarki
  • W wynikach wyszukiwania widać podstrony, których nigdy nie tworzyłeś, często o hazardzie, lekach lub pożyczkach
  • Liczba zaindeksowanych stron skacze z kilkudziesięciu na tysiące
  • Strona nagle zwalnia albo hosting zgłasza przekroczenie zasobów
  • Poczta z domeny zaczyna trafiać do spamu, bo serwer rozsyła wiadomości bez Twojej wiedzy

Cztery schematy, które spotykamy najczęściej

Z naszej praktyki przy odzyskiwaniu zaatakowanych serwisów wynika, że zdecydowana większość przypadków mieści się w czterech wzorcach.

Ukryte odnośniki w treści

Do istniejących podstron dopisywane są linki widoczne wyłącznie dla robota wyszukiwarki, najczęściej do branży hazardowej lub farmaceutycznej. Właściciel nie widzi niczego niepokojącego, bo w przeglądarce strona wygląda normalnie. Problem wychodzi dopiero wtedy, gdy pozycje zaczynają spadać.

Przekierowanie warunkowe

Kod sprawdza, kto wchodzi. Administrator i zwykły odwiedzający widzą stronę, a użytkownik przychodzący z Google trafia na obcy serwis. Dlatego tak częsty jest scenariusz, w którym klient nie wierzy, że cokolwiek się stało.

Masowa produkcja podstron

Atakujący generuje tysiące adresów pod obce frazy. To najszybsza droga do utraty zaufania wyszukiwarki, bo serwis z dnia na dzień wygląda jak fabryka spamu.

Przejęcie konta, nie tylko strony

Najcięższy wariant: wykradzione dane dostępowe do serwera. Wtedy czyszczenie samego WordPressa nic nie daje, bo napastnik wraca tą samą drogą następnego dnia.

Pierwsze godziny. Co zrobić i czego nie robić

Najczęstszy błąd to skasowanie podejrzanych plików i uznanie sprawy za zamkniętą. Bez znalezienia drogi wejścia atak wraca, zwykle w ciągu kilku dni, a każdy nawrót pogłębia szkody w wyszukiwarce.

  1. Zrób kopię całości w obecnym, zainfekowanym stanie. Będzie potrzebna do ustalenia, co i kiedy się stało.
  2. Zmień hasła do serwera, panelu, bazy danych i wszystkich kont administratora. Hasło do poczty również.
  3. Sprawdź listę użytkowników. Konta administratora założone w trakcie ataku to standard.
  4. Zajrzyj do Search Console, w sekcję problemów z bezpieczeństwem. Zobaczysz tam, co dokładnie zgłasza Google.
  5. Ustal datę i drogę wejścia na podstawie dzienników serwera i dat modyfikacji plików. Dopiero to pozwala posprzątać skutecznie.
  6. Wyczyść pliki i bazę, pamiętając o zadaniach cyklicznych i wtyczkach typu must-use, bo tam najczęściej zostaje tylne wejście.
  7. Zgłoś prośbę o ponowne sprawdzenie w Search Console dopiero wtedy, gdy serwis jest naprawdę czysty. Odrzucone zgłoszenie wydłuża całą procedurę.

Czego nie załatwi samo przywrócenie kopii zapasowej

Przywrócenie kopii sprzed ataku wygląda na najprostsze rozwiązanie i bywa pułapką z dwóch powodów. Po pierwsze, kopia często pochodzi już z okresu po infekcji, bo włamanie zostaje zauważone po tygodniach. Po drugie, jeśli drogą wejścia była nieaktualna wtyczka albo wykradzione hasło, przywrócony serwis ma dokładnie tę samą dziurę.

Skutki w wyszukiwarce i czas powrotu

Przy szybkiej reakcji ostrzeżenie o niebezpiecznej witrynie znika zwykle w ciągu kilku dni od zaakceptowania zgłoszenia. Gorzej wygląda sytuacja z pozycjami, zwłaszcza gdy atak wyprodukował tysiące obcych podstron. Wtedy trzeba je świadomie wycofać z indeksu, a to trwa tygodniami, bo wyszukiwarka musi przeczołgać każdy adres osobno.

Jak nie wrócić do tego samego punktu

  • Aktualizacje systemu, wtyczek i motywu wykonywane regularnie, nie raz do roku
  • Usunięcie wtyczek nieużywanych. Nieaktywna wtyczka też bywa drogą wejścia
  • Logowanie dwuskładnikowe dla kont administratora
  • Ograniczenie liczby prób logowania
  • Kopie zapasowe przechowywane poza serwerem strony, z okresową próbą odtworzenia
  • Osobne konta dla osób pracujących przy serwisie, bez współdzielenia jednego hasła
  • Monitoring zmian w plikach, żeby dowiedzieć się o problemie wcześniej niż z wyników wyszukiwania

Każdy punkt z tej listy jest czynnością powtarzalną, a nie jednorazową. Jeśli w firmie nie ma osoby, która będzie o nich pamiętać co miesiąc, taniej wychodzi oddanie tego na zewnątrz niż kolejne czyszczenie serwisu. Zakres opisują pakiet podstawowy i pakiet premium opieki technicznej.

Potrzebujesz pomocy teraz?

Zajmujemy się czyszczeniem zaatakowanych serwisów, ustalaniem drogi wejścia i przywracaniem widoczności w wyszukiwarce po ataku. Jeśli Twoja strona jest zainfekowana albo Google oznaczył ją jako niebezpieczną, napisz przez formularz kontaktowy albo zamów bezpłatną wycenę. Przy aktywnej infekcji liczy się czas.

Powiązane opracowania