Moja strona została zhakowana: plan działania

Zhakowana strona internetowa jest nieprzyjemna, ale dzięki stałemu planowi działania można ją oczyścić i zapobiec ponownemu wystąpieniu problemu. Najważniejsze: samo przywrócenie kopii zapasowej nie wystarczy. Jeśli nie wiadomo, w jaki sposób włamywacz się dostał, drzwi nadal są otwarte.

Jak rozpoznać, że strona została zhakowana?

• Odwiedzający trafiają na inną stronę internetową, często tylko z Google lub tylko na telefonie.
• Google wyświetla przy Państwa stronie komunikat Ta witryna może być zhakowana, lub w wynikach wyszukiwania pojawiają się dziwne strony z Państwa domeny.
• Przeglądarka lub skaner antywirusowy ostrzega przed własną stroną.
• W WordPressie pojawiają się nieznane pliki lub administratorzy.
• Otrzymują Państwo powiadomienie od nas, lub Imunify360 wykrył złośliwe oprogramowanie.
• Skrzynka pocztowa wysyła spam, lub nagle osiągają Państwo limit wysyłki (patrz Co zrobić, gdy Pana/Pani adres e-mail jest nadużywany).

Krok 1: zachować spokój i udokumentować sytuację

Proszę nie usuwać od razu wszystkiego. Proszę zapisać, co Państwo widzą, kiedy się to zaczęło, i zrobić zrzuty ekranu. Te informacje będą potrzebne później do znalezienia przyczyny, a także nam, jeśli poproszą Państwo o pomoc.

Krok 2: zmienić wszystkie hasła

Należy założyć, że włamywacz zna jakieś hasło. Proszę zmienić je wszystkie, najlepiej z innego komputera niż ten, którego zwykle Państwo używają, na wypadek gdyby był zainfekowany:

1. Hasło do Mojego WebOké. Dodatkowy kod podczas logowania jest tam zawsze włączony; jeśli zamiast kodu przesyłanego e-mailem wolą Państwo aplikację uwierzytelniającą, można ją skonfigurować w sekcji Moja administracja i Dane logowania.
2. Hasło do DA (patrz Hasło DA ustawianie lub zmiana). Dotyczy to również domyślnego konta FTP.
3. Hasła do dodatkowych kont FTP (patrz Konta FTP, tworzenie i zarządzanie). Proszę usunąć konta, z których już Państwo nie korzystają.
4. Wszystkich administratorów w WordPressie lub innym systemie CMS. Proszę usunąć nieznanych administratorów.
5. Hasło użytkownika bazy danych (patrz Użytkownicy baz danych, uprawnienia i hasła). Następnie należy je również zmienić w pliku konfiguracyjnym strony, takim jak wp-config.php.
6. Czy skrzynka pocztowa wysyła spam? W takim razie proszę zmienić również to hasło (patrz Het wachtwoord van een e-mailadres wijzigen).

Następnie proszę włączyć w DirectAdmin Uwierzytelnianie dwuetapowe (patrz Uwierzytelnianie dwuetapowe, konfiguracja).

Krok 3: skanowanie przy użyciu Imunify360

Proszę otworzyć w DirectAdmin w sekcji Dodatkowe funkcje wtyczkę Imunify360 Plugin. Można tam zobaczyć, które pliki zostały uznane za zainfekowane, oraz zlecić ponowne skanowanie pakietu. Jak to działa i co oznaczają poszczególne komunikaty, można przeczytać w Imunify360: skanowanie strony w poszukiwaniu malware.

Krok 4: ustalić, w jaki sposób włamywacz się dostał

Najczęstsze przyczyny, od najczęstszej do najrzadszej:

1. Nieaktualne oprogramowanie. Stara wersja WordPressa, wtyczki lub motywu ze znaną luką bezpieczeństwa. Proszę sprawdzić w Installatronie lub w WordPressie, które elementy są nieaktualne (patrz Aktualizacje i automatyczne aktualizacje).
2. Wtyczka lub motyw z niepewnego źródła. Darmowe wersje płatnych wtyczek (tzw. nulled) często celowo zawierają furtkę (backdoor).
3. Wyciek lub słabe hasło. Proszę sprawdzić w sekcji Historia logowania, kto i kiedy logował się do DirectAdmin (patrz Historia logowania: kto i kiedy się zalogował?).
4. Zainfekowany komputer, na którym zapisane są hasła FTP.

Przydatne miejsca do sprawdzenia:

• W Menedżerze Plików proszę posortować pliki według daty modyfikacji. Pliki zmienione w tym samym momencie, zwłaszcza w folderach przeznaczonych do przesyłania plików, zasługują na szczególną uwagę.
• W dzienniku dostępu w sekcji Podsumowanie witryny i Logi widać, które adresy są często wywoływane, zwykle za pomocą żądań POST kierowanych do jednego pliku (patrz Podsumowanie witryny i logi: log błędów i log dostępu).

Krok 5: oczyszczenie strony lub przywrócenie czystej kopii zapasowej

Mają Państwo dwie możliwości:

• Przywrócić kopię zapasową sprzed włamania. Za pomocą WebOké Backups w Moim WebOké mogą Państwo samodzielnie wybrać moment z ostatnich 30 dni (patrz Czy to również możliwe w Mojej WebOké? WebOké Backups). Proszę wybrać moment sprzed pojawienia się pierwszych dziwnych plików. Bezpośrednio po tym należy zaktualizować wszystko (krok 6), ponieważ luka znajduje się również w kopii zapasowej.
• Samodzielne oczyszczenie strony. Proszę pozwolić Imunify360 oczyścić zainfekowane pliki, usunąć nieznane pliki oraz zainstalować ponownie WordPressa i wszystkie wtyczki z oficjalnego źródła.

Uwaga: W przypadku wątpliwości proszę w WebOké Backups najpierw wybrać opcję Jako kopia obok bieżącej wersji. Dzięki temu nic nie zmieni się w obecnym stanie strony i będą mogli Państwo spokojnie porównać obie wersje.

Krok 6: zaktualizować wszystko i uporządkować stronę

• Proszę zaktualizować WordPressa (lub inny system CMS), wszystkie wtyczki i motywy do najnowszej wersji.
• Proszę usunąć wtyczki i motywy, z których Państwo nie korzystają. Również wyłączone wtyczki mogą zawierać lukę bezpieczeństwa.
• Proszę usunąć stare kopie i instalacje testowe w podfolderach.
• Proszę używać aktualnej wersji PHP (patrz Wybór wersji PHP (Select PHP version)).

Krok 7: działania następcze

• Czy Google wyświetla ostrzeżenie? Po oczyszczeniu strony proszę poprosić o ponowną weryfikację w Google Search Console.
• Czy skrzynka pocztowa wysyłała spam? Proszę zapoznać się z Co zrobić, gdy Pana/Pani adres e-mail jest nadużywany i Verzenden geweigerd: blacklists en limieten.
• Proszę pozostawić włączoną Zaporę sieciową aplikacji internetowych (patrz Zapora sieciowa aplikacji internetowych).
• W kolejnych tygodniach warto od czasu do czasu sprawdzać Imunify360 oraz listę administratorów WordPressa.

Potrzebują Państwo pomocy?

Jeśli nie radzą sobie Państwo samodzielnie lub sprawa dotyczy sklepu internetowego z danymi klientów, prosimy założyć zgłoszenie i opisać, co zostało już zrobione (patrz Potrzebujesz pomocy: jakie informacje przekazać do supportu?). Jeśli sprawa dotyczy danych osobowych, być może konieczne będzie zgłoszenie naruszenia do odpowiedniego organu nadzorczego ds. ochrony danych osobowych.