Klient dzwoni: "wpisałem naszą stronę w Google i wyskoczyło ostrzeżenie, że jest niebezpieczna, co się dzieje?". To jeden z bardziej stresujących telefonów, jakie dostaję - i jeden z tych, gdzie liczy się czas reakcji. Włamanie na stronę WordPress rzadko dzieje się bez śladu. Problem w tym, że mało kto wie, na jakie sygnały zwracać uwagę.

Dlaczego warto znać te sygnały zawczasu

Największym problemem nie jest sam fakt włamania - to się zdarza nawet dobrze utrzymywanym stronom - tylko to, ile czasu mija między infekcją a jej zauważeniem. Jeśli nikt nie sprawdza strony regularnie, infekcja potrafi działać w tle tygodniami, zanim ktokolwiek się zorientuje - najczęściej dopiero wtedy, gdy zadzwoni klient pytający, dlaczego strona przekierowuje go gdzie indziej, albo gdy sam właściciel wpisze nazwę swojej firmy w Google i zobaczy czerwone ostrzeżenie. Znajomość konkretnych objawów skraca ten czas z tygodni do dni, a czasem do godzin.

Jak to się objawia w praktyce

  • Dziwne przekierowania. Wchodzisz na swoją stronę, a przeglądarka po chwili przenosi Cię na zupełnie inną, obcą stronę - często z reklamami, czasem podejrzaną. To jeden z najczęstszych objawów, bo jest łatwy do zauważenia i najbardziej "widowiskowy".
  • Ostrzeżenie "niebezpieczna strona" w Google lub przeglądarce. Google regularnie skanuje strony internetowe pod kątem złośliwego oprogramowania. Jeśli coś znajdzie, oznacza stronę czerwonym ostrzeżeniem w wynikach wyszukiwania i w samej przeglądarce - co skutecznie odstrasza odwiedzających.
  • Nagły, niewytłumaczalny spadek ruchu. Jeśli liczba odwiedzin spada z dnia na dzień bez żadnej wyraźnej przyczyny (np. wcześniej wspomnianego ostrzeżenia Google), warto to sprawdzić - część infekcji celowo blokuje lub przekierowuje ruch pochodzący z wyszukiwarek.
  • Nieznane pliki lub konta administratora. Osoba, która się włamała, często zostawia sobie "tylne drzwi" - dodatkowe konto administracyjne, którego nikt nie zakładał, albo dodatkowe pliki w miejscach, gdzie ich nie powinno być.
  • Maile wysyłane bez Twojej wiedzy. Zainfekowana strona bywa wykorzystywana do masowej wysyłki spamu. Czasem pierwszym sygnałem jest właśnie telefon lub mail od hostingu z informacją, że z Twojego serwera wychodzi podejrzanie duża ilość wiadomości.
  • Ostrzeżenie bezpośrednio od hostingu. Firmy hostingowe monitorują ruch na swoich serwerach i część z nich sama informuje klienta, jeśli wykryje coś niepokojącego - to sygnał, którego nigdy nie warto ignorować ani odkładać na później.
✦ Nie zawsze widać to gołym okiem

Część infekcji jest zaprojektowana tak, żeby nie było jej widać od razu - np. przekierowanie uruchamia się tylko dla odwiedzających z wyszukiwarki, a nie dla Ciebie, kiedy wchodzisz na stronę wpisując adres wprost. Sam fakt, że "u mnie wygląda normalnie", nie jest dowodem, że wszystko jest w porządku.

Co robić w pierwszej godzinie

Kluczowa jest tu równowaga - nie panikować, ale też nie odkładać reakcji "na jutro". Kilka kroków w rozsądnej kolejności:

  1. Zmień hasła. Zacznij od hasła do panelu WordPressa i konta hostingowego. Jeśli używasz tych samych haseł gdzie indziej (co - jak pisałem w poprzednim wpisie - zdarza się częściej niż powinno), zmień je też tam.
  2. Skontaktuj się z hostingiem. Wiele firm hostingowych ma narzędzia do wstępnego skanowania i czasem może szybko wskazać, co dokładnie zostało zmienione na serwerze.
  3. Nie usuwaj niczego na oślep. Kuszące jest kasowanie "podejrzanych" plików samodzielnie, ale bez wiedzy, co dokładnie zostało zainfekowane, łatwo usunąć coś potrzebnego albo, odwrotnie, zostawić ukrytą furtkę.
  4. Skontaktuj się z kimś, kto zrobi porządny audyt. Oczyszczenie strony z infekcji to nie tylko usunięcie widocznego objawu, ale znalezienie i zamknięcie drogi, którą ktoś się dostał - inaczej infekcja wraca w kilka dni.
  5. Zgłoś stronę do ponownej weryfikacji w Google, gdy infekcja zostanie faktycznie usunięta - dopóki tego nie zrobisz, ostrzeżenie w wyszukiwarce może zostać nawet po naprawieniu problemu.

Skąd w ogóle biorą się takie włamania

Warto zamknąć klamrę tej serii, przypominając skąd zwykle bierze się droga do takiego scenariusza - bo rzadko jest to jedno wydarzenie, a raczej suma zaniedbań opisanych we wcześniejszych wpisach. Nieaktualna wtyczka z publicznie znaną luką (temat jednego z pierwszych wpisów tej serii), zapomniane konto z prostym hasłem, albo po prostu strona, którą od miesięcy nikt nie sprawdzał - to najczęstsze punkty wejścia. Infekcja rzadko jest przypadkiem "pecha". Zwykle jest konsekwencją tego, że jakaś konkretna furtka stała otworem wystarczająco długo, by ktoś ją znalazł.

Dlaczego czas ma znaczenie

Im dłużej zainfekowana strona pozostaje online, tym więcej szkód realnie powstaje - dłuższy okres z ostrzeżeniem w Google, więcej odwiedzających, którzy trafili na coś niebezpiecznego zamiast na Twoją stronę, większa szansa, że infekcja rozprzestrzeni się głębiej w plikach, a przywrócenie stanu sprzed ataku stanie się trudniejsze i droższe. Reakcja w ciągu godzin, a nie dni, robi realną różnicę w tym, jak długo i jak kosztowne będzie sprzątanie - a także w tym, ile klientów w międzyczasie zdąży zobaczyć czerwone ostrzeżenie zamiast Twojej strony.

Chcesz to wdrożyć u siebie?

Opisz swój projekt, a odpiszę w ciągu 24h z konkretną propozycją.

Pomogę odwirusować i zabezpieczyć stronę →