Jak przywrócić stronę po włamaniu: czyszczenie techniczne, reputacja i SEO

• Jak dowiedzieć się o włamaniu na stronę
• Co robić w pierwszych godzinach po włamaniu na stronę
  • Dlaczego samo zmienienie hasła to za mało
• Jak przeprowadzić techniczne przywrócenie strony po włamaniu
• Jak znaleźć i zamknąć luki w zabezpieczeniach na stronie
• Jak przywrócić reputację po włamaniu na stronę
• Jak przywrócić SEO po włamaniu na stronę
• Jak zapobiec powtórnemu włamaniu: lista kontrolna

Zhakowana strona na WordPressie nie zawsze wygląda na zhakowaną: możesz swobodnie zalogować się do panelu administracyjnego, strona główna się otwiera, formularze kontaktowe działają. Jednocześnie możesz zobaczyć dziwne strony w wynikach wyszukiwania i masowe przekierowania na obce zasoby, otrzymać skargi od odwiedzających oraz wiadomość od wsparcia hostingu. Pierwszą myślą w takiej sytuacji jest pilne usunięcie czegoś lub powrót do starej kopii zapasowej, ale to najczęściej prowadzi do zniknięcia śladów, a wraz z kopią wraca również luka w zabezpieczeniach. Dlatego przywracanie strony na WordPressie po włamaniu należy przeprowadzać w ścisłej kolejności — od technicznego oczyszczenia do przywrócenia pozycji w wynikach wyszukiwania.

Jak dowiedzieć się o włamaniu na stronę

O włamaniu najczęściej informuje dostawca hostingu lub Google Search Console. Jednak ostateczne wnioski wyciąga się na podstawie zbioru oznak: od obcych stron w wynikach wyszukiwania po nieznanych administratorów w panelu administracyjnym.

• Jakie są powszechne oznaki włamania na stronę
• Jakie są usługi sprawdzania włamania na stronę
• Jak sprawdzić włamanie na stronę za pomocą narzędzi Cityhost

Jakie są powszechne oznaki włamania na stronę

Dostawcy hostingu mają najlepsze systemy monitorowania zasobów internetowych i najszybciej wysyłają powiadomienia o możliwych problemach. Jednak nie są w stanie zauważyć wszystkiego, dlatego lepiej regularnie samodzielnie sprawdzać swój projekt internetowy.

I koniecznie zwracaj uwagę na takie oznaki włamania na stronę:

• przeglądarka pokazuje czerwony ekran zamiast strony: «Deceptive site ahead» przy phishingu lub «The site ahead contains malware» przy zainfekowaniu;
• w Google Search Console w raporcie «Problemy z bezpieczeństwem» pojawia się ostrzeżenie o zhakowanej treści;
• odwiedzający są przekierowywani na obce zasoby, na przykład kasyna lub apteki;
• w wynikach wyszukiwania znajdują się strony, których nie stworzyłeś, często w języku japońskim lub z nazwami leków;
• ruch organiczny nagle spadł bez związku z znanymi aktualizacjami algorytmów Google lub, przeciwnie, gwałtownie wzrósł;
• w panelu administracyjnym pojawili się administratorzy, których nie dodawałeś, lub wtyczki i motywy, których nie instalowałeś;
• dostawca hostingu poinformował o podejrzanej aktywności, rozsyłaniu spamu z twojego konta lub zawiesił zasób internetowy;
• użytkownicy skarżą się na dziwne zachowanie strony, którego sam nie widzisz — złośliwy kod często działa tylko dla przejść z wyszukiwania;
• obciążenie CPU gwałtownie wzrosło bez widocznej przyczyny — sprawdź wykresy w panelu hostingu;
• w folderze wp-content/uploads pojawiły się pliki z rozszerzeniem .php, a w wp-config.php lub .htaccess zmieniła się data edycji;
• na pocztę przyszła wiadomość, że twoja strona w Search Console potwierdziła nowego właściciela.

Jednak nie każdy problem na stronie świadczy o jej włamaniu. Błędy 500, 502, 503 najczęściej związane są z awarią wtyczki, pamięcią podręczną lub przeciążeniem hostingu. Z «Error establishing a database connection» jest trudniej: zazwyczaj to również awaria techniczna, ale czasami — skutkiem zmiany dostępu do bazy w wp-config.php. Jeśli razem z błędem występuje chociaż jeden objaw z listy — to już powód, aby przeprowadzić kompleksowe sprawdzenie strony pod kątem włamania.

Przeczytaj także: Jak zabezpieczyć stronę na WordPressie i nie stać się ofiarą luk w zabezpieczeniach otwartego kodu

Jakie są usługi sprawdzania włamania na stronę

Głównym narzędziem jest Google Search Console. Ale są też inne usługi, które sprawdzają stronę w kilka sekund, dostarczając raport o wirusach, obecności domeny i poczty na czarnych listach.

Aby ocenić skuteczność tych usług, sprawdziłem swoją stronę na każdej z nich:

• Google Search Console — w bocznym menu przejdź do Security & Manual Actions («Bezpieczeństwo i działania ręczne») → Security Issues («Problemy z bezpieczeństwem»). Jeśli wszystko jest w porządku, zobaczysz zielony znacznik «Nie wykryto problemów», w przeciwnym razie — kategorię problemu i przykłady zainfekowanych stron.

• Sucuri SiteCheck — wprowadź nazwę domeny i kliknij Submit. Po 5-10 sekundach otrzymasz raport ze statusem bezpieczeństwa i znalezionymi problemami.

A poniżej zobaczysz, czy nie ma złośliwego oprogramowania na zasobie internetowym i czy sam projekt online nie znajduje się na czarnych listach.

• Google Safe Browsing — przejdź do Raport o przejrzystości, wprowadź link do strony i kliknij ikonę wyszukiwania. Na przykład w moim przypadku system pokazał «Nie znaleziono niebezpiecznych treści».

Na Safe Browsing możesz również zobaczyć przykład, jak użytkownicy będą widzieć zasób internetowy, na którym odnotowano włamanie.

• VirusTotal — przejdź do strony głównej, wprowadź adres strony i kliknij Search. Usługa sprawdzi ją za pomocą ponad 70 silników antywirusowych i baz czarnych list oraz pokaże status twojego projektu w każdym z nich.

• MXToolbox — przejdź do sekcji Czarnych list, wprowadź domenę i kliknij Blacklist Check. Jeśli razem z zasobem internetowym hakerzy używali twojego e-maila do rozsyłania spamu, obok czarnych list zamiast zielonych znaczników będą czerwone z wyjaśnieniem przyczyny.
• Wyszukiwanie Google — otwórz przeglądarkę w trybie «Incognito», wpisz site:twojadomena i sprawdź wyniki wyszukiwania. Szukaj stron, których nie publikowałeś: nieznane katalogi, hieroglify, nazwy leków, hazard. Dodatkowo przejdź na kilka własnych stron, aby sprawdzić brak przekierowań na podejrzane zasoby internetowe.

Ważne! Zewnętrzne skanery widzą tylko to, co jest widoczne z perspektywy odwiedzającego. Sucuri wyraźnie ostrzega, że SiteCheck działa na poziomie przeglądarki i nie wykrywa nic na serwerze — backdoory, skrypty pocztowe i strony phishingowe znajdują już skanowanie serwerowe. Dlatego «SiteCheck nic nie znalazł» — to nie gwarancja czystości, a tylko jeden z ważnych sygnałów.

Jak sprawdzić włamanie na stronę za pomocą narzędzi Cityhost

Klienci Cityhost mogą samodzielnie sprawdzić logi w panelu administracyjnym. W tym celu przejdź do «Hosting 2.0» → «Zasoby» — «Zapytania». Lub skorzystaj z klienta FTP, na przykład FileZilla, i znajdź folder logs.

W zakładce «Zapytania (HTTP)» można przeglądać nie same pliki logów, ale podsumowaną statystykę na ich podstawie. W tym celu kliknij «+» obok odpowiedniej sekcji:

• według kodów odpowiedzi serwera — pomaga znaleźć błędy: 200 oznacza udane załadowanie, 404 — strona nie znaleziona, 500, 502 lub 503 — wystąpił problem w działaniu strony lub serwera;
• według stron (URI) — pokazuje, do których stron i plików najczęściej się odwoływano;
• według adresów IP — pozwala zauważyć nadmierną aktywność botów lub podejrzanych odwiedzających;
• według typów zapytań — pokazuje liczbę zapytań GET, POST i innych do strony.

Podejrzewać włamanie na stronę można również na podstawie nietypowych zmian w wykorzystaniu zasobów. W sekcji «Hosting 2.0» → «Zarządzanie» → «Zasoby» warto sprawdzić wykresy obciążenia CPU, RAM, dysku, procesów i MySQL.

Na przykład, gwałtowny i długotrwały wzrost wykorzystania CPU bez zauważalnego wzrostu odwiedzalności może oznaczać, że na stronie działa złośliwy skrypt, działa ukryty miner lub napływa wiele automatycznych zapytań.

Jednocześnie wysokie obciążenie nie zawsze świadczy o włamaniu: może być również spowodowane aktualizacjami, tworzeniem kopii zapasowych, błędem wtyczki lub zwykłym napływem odwiedzających.

Co robić w pierwszych godzinach po włamaniu na stronę

W pierwszych godzinach głównym zadaniem jest nie oczyszczenie strony, a zatrzymanie rozprzestrzeniania się i zarejestrowanie stanu. Musisz włączyć tryb konserwacji, zachować dowody, zmienić hasła i zakończyć obce sesje. Dopiero potem można przeprowadzić techniczne oczyszczenie.

Ważne! Przy włamaniu na stronę nie zawsze jest możliwość zalogowania się do panelu administratora WordPress, dlatego trzeba przeprowadzać prace po stronie hostingu. Można się tam dostać przez menedżera plików w panelu hostingu (sekcja «Pliki» lub File Manager) lub przez klienta FTP, takiego jak FileZilla, z dostępami, które przyznał dostawca. Pliki projektu, w tym wp-config.php, .htaccess i folder wp-content, znajdują się w katalogu public_html lub www.

Krok po kroku instrukcja, jak działać w pierwszych godzinach po włamaniu, pomoże uniknąć chaotycznych działań, nowych problemów i pogłębiania istniejących:

1. Zbierz fakty. Mogłeś dowiedzieć się o włamaniu z oznaczenia w wynikach wyszukiwania, raportu «Problemy z bezpieczeństwem», wiadomości od hostera lub zauważyć obce strony — zrób zrzuty ekranu wszystkiego. Koniecznie rejestruj datę i godzinę każdego odkrycia, aby później przeprowadzić analizę i poprawnie sformułować zgłoszenie do dostawcy i Google.
2. Izoluj zasób internetowy. Przełącz stronę w tryb konserwacji z kodem 503. Właśnie 503 Service Unavailable jednocześnie chroni odwiedzających przed zainfekowaniem i informuje wyszukiwarki, że strona jest tymczasowo niedostępna, więc nie indeksują złośliwej treści i nie obniżają pozycji za nią. Jeśli pozostał dostęp do panelu administracyjnego, użyj wtyczki SeedProd lub WP Maintenance, jeśli nie — w osobistym panelu dostawcy hostingu.
3. Utwórz kopię zapasową. Brzmi dziwnie dla już zhakowanej strony, ale ta kopia pozwoli zarejestrować stan w momencie włamania. Najłatwiej zrobić ją w panelu hostingu: zarchiwizuj katalog strony i osobno wyeksportuj bazę danych przez phpMyAdmin (wybierz bazę → zakładka «Eksportuj» → «Wykonaj»).
4. Zmień hasła. Najpierw konto hostingu i dostęp FTP/SSH. Następnie zmień dostęp do bazy danych: w panelu hostingu znajdź sekcję zarządzania bazą MySQL, zmień hasło użytkownika, a następnie od razu otwórz wp-config.php i wpisz nowe hasło w linii DB_PASSWORD. Potem zmień hasła wszystkich administratorów WordPress, a na końcu — e-mail, do którego są przypisane te konta.
5. Zmień klucze autoryzacji. W wp-config.php znajduje się osiem linii z długimi ciągami losowych znaków — według nich WordPress rozpoznaje wszystkich, którzy weszli na stronę. Weź nowe linie z oficjalnego generatora kluczy i zamień nimi stare. Po tym stronie przestanie rozpoznawać kogokolwiek, dopóki osoba nie wprowadzi loginu i hasła ponownie.
6. Skontaktuj się z dostawcą. Wsparcie techniczne widzi wszystkie logi dostępu, skanery serwerowe, historię zmian plików. Mogą powiedzieć, czy nie ucierpiały twoje inne projekty na tym samym koncie.

Działaj zgodnie z tą instrukcją, unikając chaotycznych, nieprzemyślanych decyzji, takich jak natychmiastowe usunięcie podejrzanych plików czy ponowna instalacja strony. Jeszcze nie wiesz, czy te pliki są przyczyną zainfekowania i w ogóle jaki jest zasięg włamania. Teraz najważniejsze to uniknąć rozprzestrzenienia problemu i zarejestrować dane.

W praktyce najczęściej ignorowany jest właśnie szósty punkt, próbując wszystko zrobić samodzielnie. Ale firma, od której wynajmujesz wirtualny hosting, serwer VPS lub dedykowany serwer, widzi to, czego nie pokazuje żaden zewnętrzny skaner: logi dostępu do ustalenia dokładnego czasu i sposobu włamania, serwerowe skanery antywirusowe do wykrywania przekierowań, historię zmian plików na poziomie systemu plików. Napisz do wsparcia, opisz oznaki włamania, podaj czas wykrycia i poproś o logi dostępu — to zaoszczędzi godziny samodzielnych poszukiwań i pomoże dokładniej określić, jak dokładnie intruz dostał się na stronę.

Dlaczego samo zmienienie hasła to za mało

Zmiana twojego hasła nie dotyka intruza, który stworzył dla siebie oddzielnego administratora. Sprawdziłem to na testowej stronie: stworzyłem drugiego administratora z loginem hacker-test, zalogowałem się na nim w innej przeglądarce, a następnie zmieniłem hasło w swoim głównym koncie.

Na zrzucie ekranu widać sekcję Użytkownicy z dwoma administratorami: moje konto i stworzone do testu hacker-test.

Na zrzucie ekranu ten sam panel administracyjny, otwarty w innej przeglądarce pod kontem hacker-test już po zmianie mojego hasła. Sesja hacker-test po tym działała dalej, jakby nic się nie stało — nie wymagano ponownego logowania.

Dalej zamieniłem osiem linii z kluczami w wp-config.php. Bezpośredni dostęp do plików TasteWP nie daje, dlatego skorzystałem z wtyczki WP File Manager: otworzyłem w niej główny folder strony, znalazłem wp-config.php i edytowałem potrzebny blok bezpośrednio w przeglądarce.

Gdy tylko zapisałem plik, z panelu administracyjnego wyleciały oba konta: zarówno hacker-test, jak i ja sam. To skuteczny sposób na pozbycie się intruza, który już dodał siebie jako administratora twojego projektu internetowego w panelu administracyjnym WordPress.

Jak przeprowadzić techniczne przywrócenie strony po włamaniu

Ogólną zasadą jest: wymieniaj wszystko, co można wymienić na czyste kopie z oficjalnych źródeł, a ręcznie sprawdzaj tylko to, co nie może być wymienione — treść, ustawienia, bazę danych. I koniecznie nawet po udanym technicznym oczyszczeniu osobno szukaj backdoorów, ponieważ to one najczęściej przywracają infekcję.

• Kompleksowe skanowanie różnymi metodami
• Ręczne i automatyczne oczyszczanie strony
• Jak zamknąć backdoory na stronie

Kompleksowe skanowanie różnymi metodami

Przeprowadź ponowne zewnętrzne skanowanie przez Sucuri SiteCheck i VirusTotal. Patrzą na stronę oczami odwiedzającego, dlatego znajdują przekierowania i podmienione strony. Ale nie widzą nic w samych plikach na serwerze.

Dlatego wykonaj drugą kontrolę od wewnątrz. Zainstaluj Wordfence lub MalCare: oba wtyczki bezpłatnie skanują pliki bezpośrednio na serwerze i pokazują, które z nich różnią się od oficjalnych wersji. Właśnie tak znajdują ukryte fragmenty kodu, które zewnętrzne usługi pomijają.

Szybkość skanowania sprawdziłem na testowej stronie: bezpłatny Wordfence przeskanował 5 713 plików, sześć wtyczek, szablon i 1362 adresy w 59 sekund.

Od razu uwzględnij ograniczenia bezpłatnej wersji: kontrole pod kątem spamu, treści spamowej i obecności na czarnych listach są dostępne tylko w płatnym planie, a bazy szkodliwych sygnatur są aktualizowane z opóźnieniem 30 dni. Do jednorazowego oczyszczenia po włamaniu to wystarczy, do stałej ochrony — tylko jako dodatkowa metoda.

Dodatkowo uruchom skanowanie antywirusowe w panelu hostingu — działa na poziomie całego konta, a nie jednej strony. Jeśli twoja strona jest umieszczona w Cityhost, przejdź do «Hosting 2.0» → «Zarządzanie» → «AiBolit» → «Uruchom skanowanie».

Ręczne i automatyczne oczyszczanie strony

Automatyczne oczyszczanie wygląda kusząco, ale ma swoje niuanse. Sprawdziłem to z wtyczką Wordfence: dodałem do pliku rdzenia wp-blog-header.php obcy wiersz i uruchomiłem ponowne skanowanie. Wtyczka od razu oznaczyła plik jako zmieniony i zaproponowała przycisk Napraw, przywrócenie zajęło sekundę, dodany wiersz zniknął.

Na zrzucie ekranu — wynik ponownego skanowania, gdzie Wordfence znalazł zmieniony plik rdzenia.

Na zrzucie ekranu — komunikat o pomyślnym przywróceniu pliku.

Jednak dwa ograniczenia automatycznego oczyszczania wciąż istnieją. Pierwsze — finansowe: w MalCare usunięcie infekcji działa tylko w płatnym planie, bezpłatny plan tylko informuje o znaleziskach.

Drugie, poważniejsze — skaner nie wie, jaki kod na stronie jest twój. Na nowo utworzonej stronie testowej, na której jeszcze nic nie zrobiłem, Wordfence oznaczył dwa pliki rdzenia jako zmienione z poziomem niebezpieczeństwa Wysokim — update-core.php i wp-settings.php. To nie infekcja: najprawdopodobniej zostały one zmodyfikowane przez samą platformę piaskownicy pod swoje potrzeby. Ale właściciel, który naciśnie «przywróć wszystkie pliki», może zniszczyć stronę, nawet nie zdając sobie sprawy, co zrobił.

Dlatego automatyczne oczyszczanie rozsądnie stosować punktowo: do konkretnego pliku, co do którego jesteś pewien. Przycisk, który przywraca wszystko naraz, lepiej w ogóle nie dotykać.

W pozostałych przypadkach bezpieczniej zrobić wszystko samodzielnie:

1. Wymień rdzeń WordPressa. Sprawdź swoją wersję w sekcji «Konsola» → «Aktualizacje», pobierz z wordpress.org archiwum tej samej wersji i rozpakuj je na komputerze. Następnie w menedżerze plików hostingu usuń katalogi wp-admin i wp-includes, a na ich miejsce załaduj nowe z archiwum. Folder wp-content nie ruszaj, ponieważ znajdują się tam twoje obrazy, motywy i wtyczki.
2. Sprawdź pliki w głównym folderze strony. W czystym WordPressie na mojej testowej stronie menedżer plików pokazał dokładnie 24 elementy, w tym foldery, i prawie wszystkie zaczynają się od wp-, oprócz index.php, xmlrpc.php, license.txt, readme.html i .htaccess. Chociaż niektóre wtyczki również czasami dodają tutaj swoje dane, ale ogólnie plik o przypadkowej nazwie warto dodatkowo sprawdzić. Osobno otwórz wp-config.php: powinien zaczynać się od <?php i zawierać tylko ustawienia, bez długich niezrozumiałych linii.
3. Przeprowadź regenerację .htaccess. Najprostszy sposób na uzyskanie czystego pliku — usunięcie istniejącego i wejście w «Ustawienia» → «Permalink» → «Zapisz zmiany». WordPress stworzy go na nowo. Sprawdź również podkatalogi: kopie .htaccess z obcym kodem często leżą nie tylko w głównym katalogu.
4. Ponownie zainstaluj wtyczki i motywy. Nie próbuj oczyszczać ich plików ręcznie: usuń wtyczki całkowicie i zainstaluj je ponownie z oficjalnego katalogu. To, z czego dawno nie korzystasz, po prostu usuń.

Szczególną uwagę zwróć na bazę danych. Najpierw zrób jej kopię przez phpMyAdmin («Eksportuj» → «Wykonaj»), ponieważ każda pomyłka tutaj łamie stronę całkowicie. Następnie skorzystaj z wyszukiwania po tabelach i sprawdź fragmenty, które prawie zawsze oznaczają obce ingerencje: <script, <iframe, eval(, base64_decode, gzinflate, a także nieznane nazwy domen. Patrz przede wszystkim na tabele wp_posts, wp_options i wp_users. Jeśli znajdziesz złośliwy kod wewnątrz własnego artykułu — usuń tylko sam obcy fragment, a nie cały wpis. Jeśli nie jesteś pewien, co dokładnie masz przed sobą, lepiej nic nie ruszać i pokazać znalezisko wsparciu technicznemu.

Przeczytaj także: Co to jest baza danych i do czego jest potrzebna

Jak zamknąć backdoory na stronie

Backdoor (bekdor) — to ukryty fragment kodu, czasami dosłownie kilka linii, który daje intruzowi ponowny dostęp do plików i bazy danych nawet po zmianie wszystkich haseł. Jest główną przyczyną powtarzających się infekcji, dlatego poszukiwanie backdoorów należy przeprowadzać od razu po skanowaniu i wstępnym oczyszczeniu.

Aby znaleźć backdoory na stronie, wykonaj następujące kroki:

1. Przejrzyj listę użytkowników w panelu administracyjnym i usuń wszystkich administratorów, których nie rozpoznajesz.
2. Znajdź pliki zmienione w ciągu ostatnich dwóch tygodni: w menedżerze plików hostingu posortuj zawartość według daty zmiany.
3. Szukaj w plikach typowych markerów ukrytego kodu: base64_decode, eval, gzinflate, str_rot13.
4. Sprawdź, czy nie pojawiły się obce mapy strony.
5. Otwórz w Search Console sekcję Ustawienia → Użytkownicy i uprawnienia i usuń właścicieli i użytkowników, których nie dodałeś.

Pierwszy i ostatni punkt wydają się zbyt oczywiste, ale w tym właśnie chodzi. Właściciele rzadko sprawdzają listę administratorów i potwierdzonych właścicieli w Search Console, a intruzi właśnie na to liczą: dostęp do twojej strony pozostaje u nich nawet wtedy, gdy wszystkie pliki są już czyste.

Jak znaleźć i zamknąć lukę w zabezpieczeniach na stronie

Rozpocznij od sprawdzenia wtyczek i szablonów. Otwórz sekcję «Wtyczki» → «Zainstalowane», wypisz nazwy wraz z numerami wersji, to samo zrób dla motywów w sekcji «Wygląd». Następnie sprawdź każdą nazwę w bezpłatnych bazach luk:

• WPScan Vulnerability Database — największa baza wtyczek i szablonów WordPress;
• Patchstack Database — wygodne wyszukiwanie z datami wykrycia i statusem naprawy;
• Wordfence Intelligence — dostarcza opis, w których wersjach problem został usunięty.

Musisz zwrócić uwagę na dwa warunki: w twojej wersji wtyczki/motywu istnieje znana luka, a jej ujawnienie miało miejsce przed zhakowaniem strony. Oto po co potrzebne są data i czas, które zarejestrowałeś w pierwszych godzinach, oraz logi od dostawcy.

Następnie rozwiązanie zależy od znaleziska:

1. Luka istnieje, aktualizacja wyszła — zaktualizuj wtyczkę do najnowszej wersji i upewnij się, że automatyczne aktualizacje dla niej są włączone.
2. Luka istnieje, aktualizacji nie ma — usuń rozszerzenie i znajdź alternatywę. Wtyczka, która od miesięcy nie otrzymuje poprawek, nie jest warta ryzyka.
3. Wtyczki nie ma już w oficjalnym katalogu — to najgorszy scenariusz, ponieważ zazwyczaj jest usuwana właśnie z powodu nieusuniętego problemu bezpieczeństwa. Usuwaj bez wahania.

Jeśli w liście wszystko jest czyste, przyczyna leży poza wtyczkami i motywami. Najczęstsze opcje:

• skradzione lub zgadnięte hasło administratora, szczególnie jeśli było powtarzane na innych usługach;
• zainfekowana sąsiednia strona na tym samym koncie hostingu, skąd intruz przeszedł do twojej;
• przestarzała wersja PHP, która od dawna nie była aktualizowana.

Pierwsze dwa przypadki widać w logach dostępu, trzeci sprawdza się w panelu hostingu w minutę.

Jak przywrócić reputację po włamaniu na stronę

Główna rada — rozmawiać z publicznością szczerze i jako pierwsi. Należy informować wszystkich, których włamanie dotknęło bezpośrednio, i robić to wcześniej, niż dowiedzą się o problemie z innych źródeł. Incydenty techniczne zdarzają się nawet w firmach z dużymi działami IT, a ludzie są w stanie je wybaczyć. Ale nie wybaczą, jeśli o wycieku ich danych dowiedzą się od oszustów, a nie od ciebie.

• Czy w ogóle trzeba kogoś informować
• Czy wszystkich odwiedzających trzeba informować
• Co i gdzie pisać po włamaniu na stronę

Czy w ogóle trzeba kogoś informować

Obowiązująca Ustawa Ukrainy «O ochronie danych osobowych» nie zawiera bezpośredniego obowiązku informowania o wycieku na wzór europejskiego GDPR — surowej zasady «72 godziny» w prawie ukraińskim nie ma. Zamiast tego ustawa ustanawia ogólny obowiązek ochrony danych osobowych, informowania Upoważnionego Rzecznika Praw Obywatelskich o przetwarzaniu danych o podwyższonym ryzyku oraz informowania samej osoby o fakcie zbierania jej danych.

Jednak, jeśli twoja strona oferuje towary lub usługi mieszkańcom UE lub śledzi ich zachowanie przez analitykę i reklamowe ciasteczka, na ciebie rozciąga się GDPR niezależnie od tego, gdzie zarejestrowana jest firma. Wymaga on poinformowania organu nadzorczego w ciągu 72 godzin od momentu, gdy dowiedziałeś się o wycieku, a jeśli ryzyko dla ludzi jest wysokie — poinformowania także samych poszkodowanych. Kary sięgają 10 milionów euro lub 2% światowego rocznego obrotu — w zależności od tego, która kwota jest wyższa.

Czy wszystkich odwiedzających trzeba informować

Dane osobowe — to imiona, numery telefonów, adresy, e-maile i dane płatnicze. Jeśli intruzi uzyskali do nich dostęp, informuj wszystkich poszkodowanych jak najszybciej. Ale najpierw zatrzymaj wyciek i zbierz fakty: wiadomość, którą po dniu trzeba będzie doprecyzować, szkodzi bardziej niż milczenie przez kilka godzin. Nie można również zwlekać ze zbieraniem faktów przez tygodnie.

Co i gdzie pisać po włamaniu na stronę

Tekst powinien odpowiadać na pięć pytań w wyraźnej kolejności: co się stało, jakie dane zostały dotknięte, co już zrobiłeś, co robić użytkownikowi i gdzie się zwrócić z pytaniami. Na przykład, dla sklepu internetowego może to być taka wiadomość:

«Szanowni klienci! 14 lipca odkryliśmy nieautoryzowany dostęp do naszej strony. Intruz mógł uzyskać imiona, numery telefonów i adresy e-mail, które podaliście podczas składania zamówienia. Dane kart płatniczych na stronie nie są przechowywane, więc nie zostały naruszone.

Już zamknęliśmy lukę, oczyściliśmy stronę, zmieniliśmy wszystkie hasła i przekazaliśmy logi dostawcy hostingu do sprawdzenia.

Radzimy zmienić hasło, jeśli używaliście takiego samego na innych usługach, i nie przechodzić za linkami z wiadomości, które rzekomo przyszły z naszego sklepu.

Pytania — na e-mail support@example.com lub telefonicznie. Będziemy aktualizować tę stronę w miarę wyjaśniania szczegółów».

Umieść wiadomość w widocznym banerze lub na osobnej stronie na stronie, wyślij bezpośrednie wiadomości do poszkodowanych, a w mediach społecznościowych opublikuj krótki post z linkiem do pełnej wersji.

Jak przywrócić SEO po włamaniu na stronę

Przywracanie odbywa się w trzech etapach: najpierw usuwane są ostrzeżenia o niebezpieczeństwie, następnie oczyszczany jest indeks ze stron spamowych, a dopiero potem same pozycje się przywracają. Czas przywracania zależy od tego, jak Google ponownie przeszukuje twoją stronę.

• Jak usunąć ostrzeżenia Google
• Jak usunąć strony spamowe z indeksu
• Jak długo trwa przywracanie pozycji

Jak usunąć ostrzeżenia Google

Najpierw upewnij się, że strona jest całkowicie oczyszczona i luka zamknięta. Google bezpośrednio ostrzega: zapytanie wysłane przed usunięciem problemu wydłuża rozpatrywanie następnego, a zasób internetowy może otrzymać oznaczenie powtarzającego się naruszenia.

Jeśli już przeprowadziłeś techniczne oczyszczenie strony po włamaniu, wtedy zrób następujące:

1. Otwórz «Bezpieczeństwo i działania ręczne» → «Problemy z bezpieczeństwem» i przejrzyj wszystkie wykryte problemy i przykłady URL.
2. Kliknij Request a Review i opisz osobno po każdym typie problemu, co dokładnie znalazłeś i jak to naprawiłeś. Dobry wniosek odpowiada na trzy pytania: na czym polegał problem, jakie kroki podjąłeś i jaki rezultat uzyskałeś.
3. Czekaj na odpowiedź, nie wysyłając powtórnych zapytań. Sprawdzanie stron phishingowych zajmuje około doby, zainfekowanie złośliwym kodem — kilka dni, a spamowe włamanie może być rozpatrywane kilka tygodni, ponieważ wymaga ręcznej analizy.

Oto jak może wyglądać tekst zapytania:

«W sekcji "Problemy z bezpieczeństwem" odnotowano wstawiony spamowy kontent. Odkryliśmy, że intruz uzyskał dostęp przez przestarzałą wersję wtyczki [nazwa] i wygenerował 340 stron z farmaceutycznymi słowami kluczowymi w katalogu /wp-content/uploads/.

Co zrobiono: wtyczka została usunięta i zastąpiona, katalogi wp-admin i wp-includes zostały wymienione na czyste kopie oficjalnej wersji, znaleziono i usunięto dwa ukryte pliki z backdoorami, zmieniono wszystkie hasła i klucze autoryzacji, usunięto trzech nieznanych administratorów.

Rezultat: wszystkie 340 stron spamowych zwracają kod 410, ponowne skanowanie Wordfence i Sucuri SiteCheck nie wykazuje infekcji, automatyczne aktualizacje są włączone».

Jeśli strona trafiła do innych czarnych list, w tym McAfee, Norton i Bing, złóż osobne wnioski o przegląd w każdej z nich.

Jak usunąć strony spamowe z indeksu

1. Usuń wszystkie adresy spamowe i upewnij się, że zwracają kod 404 lub 410. Status 410 Gone bezpośrednio mówi wyszukiwarce, że strona została usunięta na zawsze, dlatego indeks oczyszcza się szybciej. Można go ustawić przez wtyczki SEO, na przykład Rank Math.
2. Dla pilnego ukrycia skorzystaj z narzędzia Removals w Search Console — tymczasowo usuwa adresy z wyników wyszukiwania, podczas gdy Google ponownie przeszukuje zasób internetowy.
3. Usuń obce pliki mapy strony, które mógł dodać intruz, i jeszcze raz sprawdź listę właścicieli zasobu w Search Console.
4. Nie wysyłaj wniosku o indeksację każdej adresy ręcznie. Pozwól Google naturalnie przeszukać stronę, a przez URL Inspection sprawdzaj tylko priorytetowe strony.
5. Jeśli usunięte strony spamowe zdążyły zebrać ruch lub linki zwrotne, ustaw 301 przekierowania na odpowiednie, legalne strony.

Przeczytaj także: Główne różnice między przekierowaniami 301 i 302

Jak długo trwa przywracanie pozycji

Usunięcie ostrzeżenia — najszybsza część, a ruch częściowo może wrócić od razu po pomyślnym rozpatrzeniu. Pełne przywrócenie pozycji zazwyczaj rozciąga się na tygodnie, a w trudnych przypadkach dłużej. Trudne są te przypadki, gdy w indeksie znajdują się tysiące stron spamowych, ręczne sankcje lub infekcje, które pozostawały niezauważone przez miesiące.

Przyspieszyć proces pomagają regularne publikacje świeżego, jakościowego kontentu, które pokazują Google, że strona jest aktywna i pod kontrolą, oraz przywrócenie utraconych linków zwrotnych przez 301 przekierowania. Natomiast sztuczne manipulacje, takie jak masowe zakupy linków w tym okresie, są szczególnie niebezpieczne, ponieważ projekt znajduje się pod ścisłą kontrolą algorytmów.

Jak zapobiec powtórnemu włamaniu: lista kontrolna

Najlepszy plan odzyskiwania — to taki, z którego nigdy więcej nie skorzystasz. Ale statystyki są tutaj niepokojące: jeszcze w 2016 roku Google informował, że 12% oczyszczonych stron jest ponownie łamanych w ciągu 30 dni. Właśnie dlatego, że właściciele usunęli skutki, ale nie znaleźli prawdziwej przyczyny.

Dlatego po przywróceniu warto ustalić kilka stałych zasad:

• aktualizuj rdzeń, wtyczki i motywy co tydzień, a krytyczne aktualizacje bezpieczeństwa instaluj od razu, nie odkładając;
• trzymaj minimalnie niezbędny zestaw rozszerzeń: każdy zbędny plugin to kolejna potencjalna luka;
• zachowaj włączoną dwuetapową autoryzację i co miesiąc przeglądaj listę administratorów strony i użytkowników w Search Console;
• sprawdź, czy automatyczne kopie zapasowe są tworzone, przechowywane poza serwerem strony i mają głębokość co najmniej 30 dni — to głębokość ratuje, gdy włamanie jest zauważane z opóźnieniem, ponieważ świeże kopie mogą już zawierać infekcję;
• trzymaj aktywny zaporę, która blokuje ataki, zanim dotrą do strony. W bezpłatnej wersji Wordfence działa, ale nowe zasady przychodzą z opóźnieniem 30 dni, więc dla stron z płatnościami warto wybierać płatne rozwiązania.

Zachowaj tę listę kontrolną osobno, aby w sytuacji awaryjnej działać natychmiast i bez paniki.

Strona, która przeszła przywrócenie według ścisłej kolejności, prawie zawsze wychodzi z kryzysu bardziej zabezpieczona niż przed atakiem: z aktualnymi aktualizacjami, minimalnym zestawem wtyczek, działającymi kopiami zapasowymi i zrozumieniem, skąd przyszła problem. Następnie pozostaje najprostsze i najtrudniejsze jednocześnie — nie odkładać aktualizacji na później i raz w miesiącu poświęcać dziesięć minut na sprawdzenie całego projektu. To właśnie jest ta profilaktyka, która minimalizuje ryzyko powtórnego włamania na stronę.