Zhakowana strona WordPress – co robić krok po kroku

Dziwne przekierowania, spam w wynikach Google, nieznani administratorzy albo ostrzeżenie w przeglądarce to sygnały, że coś jest nie tak. Oto spokojny, uporządkowany plan na wypadek włamania na stronę.

Włamanie na stronę to stresująca sytuacja, ale można nad nią zapanować. Najważniejsze, żeby działać po kolei i nie ukrywać problemu. Poniżej ogólny plan. Jeśli nie masz pewności, co robić, skontaktuj się ze specjalistą, bo źle wykonane sprzątanie często kończy się ponowną infekcją.

Po czym poznać, że coś jest nie tak

• strona przekierowuje na obce witryny (czasem tylko część odwiedzających, np. z telefonów lub z Google),
• w wynikach wyszukiwania pojawiają się podstrony, których nie tworzyłeś(-aś), zwykle z obcymi słowami,
• przeglądarka lub Google ostrzega przed niebezpieczną stroną,
• w panelu są nowi administratorzy albo nieznane wtyczki (dodatki),
• hosting (firma, u której działa strona) informuje o zawieszeniu konta, nietypowym ruchu lub wysyłce spamu,
• strona nagle zwolniła, pojawiły się błędy albo zmieniły się treści.

Co zrobić krok po kroku

1. Zachowaj spokój i zabezpiecz dowody

Zanim zaczniesz cokolwiek usuwać, zrób kopię aktualnego stanu plików i bazy danych. To materiał do analizy, a nie do odtwarzania. Zanotuj, co zauważyłeś(-aś) i kiedy.

2. Poinformuj hosting

Hosting widzi zapisy z serwera (tzw. logi), może wskazać czas włamania, pomóc w skanowaniu i na jakiś czas odciąć stronę, jeśli stwarza zagrożenie.

3. Zmień wszystkie hasła i klucze

Dotyczy to konta w panelu hostingu, dostępu do plików (FTP/SFTP), bazy danych, wszystkich kont WordPress oraz poczty powiązanej ze stroną. Warto też wygenerować nowe klucze zabezpieczeń w pliku wp-config.php, co wylogowuje wszystkich użytkowników. Hasła zmieniaj z czystego, niezainfekowanego komputera.

4. Ogranicz szkody

Jeśli to konieczne, włącz „tryb konserwacji” albo czasowo wyłącz stronę, szczególnie gdy zbiera dane klientów (sklep, formularze).

5. Sprawdź i oczyść pliki

Specjalista porównuje pliki programu WordPress z oficjalnymi wersjami. Pomaga w tym polecenie (dla osób technicznych):

wp core verify-checksums

Zamiast „czyścić” zainfekowane pliki ręcznie, lepiej zainstalować ponownie sam WordPress, motywy i wtyczki z zaufanych źródeł. Trzeba też usunąć nieznane pliki i konta administratorów oraz zaplanowane zadania, które nie powinny istnieć, a także przejrzeć folder ze zdjęciami (wp-content/uploads) pod kątem plików z programami i bazę danych pod kątem wstrzykniętych skryptów.

6. Znajdź przyczynę

Jeśli nie zamkniesz luki (najczęściej nieaktualnej wtyczki, słabego hasła albo zainfekowanego konta FTP), włamywacz wróci. Specjalista przegląda logi, sprawdza daty zmian w plikach i listę podatnych dodatków.

7. Rozważ przywrócenie czystej kopii

Jeśli masz kopię zapasową sprzed włamania, jej odtworzenie bywa szybsze i pewniejsze niż sprzątanie. Pamiętaj tylko, że po przywróceniu trzeba od razu zaktualizować oprogramowanie i zmienić hasła, bo ta sama luka nadal istnieje.

8. Zgłoś, odblokuj i wyciągnij wnioski

• jeśli Google oznaczył stronę jako niebezpieczną, po oczyszczeniu poproś o ponowną weryfikację w Google Search Console (darmowym narzędziu Google dla właścicieli stron),
• jeśli doszło do wycieku danych osobowych, oceń obowiązek zgłoszenia naruszenia do UODO (co do zasady w ciągu 72 godzin od stwierdzenia, jeśli istnieje ryzyko dla osób) i poinformowania zainteresowanych,
• wprowadź stałe zabezpieczenia: aktualizacje, dodatkowe potwierdzenie logowania, kopie zapasowe, monitoring i zabezpieczenia serwera.

Jak ograniczyć ryzyko na przyszłość

Najlepsze sprzątanie to takie, którego nie trzeba robić. Zobacz 10 prostych kroków zabezpieczenia WordPress, przykładowe reguły .htaccess oraz naszą usługę bezpieczeństwo stron WWW. Jeśli Twoja strona jest już zainfekowana, skontaktuj się z nami.

O autorze artykułu

Autor artykułu Paweł Makulski Od 2012 roku zajmuje się bezpieczeństwem stron WordPress i SEO. Posiada certyfikat bezpieczeństwa Google. Na co dzień pomaga firmom tak prowadzić strony internetowe, by były szybkie, bezpieczne i dobrze widoczne w wyszukiwarkach, a trudne zagadnienia techniczne tłumaczy zwykłym językiem.