materiały partnera
Poniższy plan pochodzi z praktyki osób, które takie sytuacje rozwiązują regularnie. Bartosz Ciachurski z Cyberiusza na co dzień zajmuje się opieką nad serwisami i ich odwirusowaniem, a zakres stałej współpracy opisuje na stronie Administracja stron WordPress. W jego doświadczeniu strony objęte regularną opieką infekowane są rzadko, a jeśli już do tego dojdzie, problem wychwytuje się w ciągu godzin, a nie tygodni.
Usuwaniem infekcji z zhakowanych stron Bartosz zajmuje się od lat: od złośliwych przekierowań, przez spam w wynikach Google, po strony zablokowane przez hosting. Szczegóły tej usługi znajdziesz pod adresem https://cyberiusz.pl/naprawa-zhakowanej-strony/. Zanim jednak zdecydujesz, czy dzwonić po pomoc, przejdź przez pierwszą godzinę krok po kroku.
Najczęstszy błąd w pierwszych minutach to kasowanie podejrzanych plików, wtyczek albo całej strony i przywracanie jej z pierwszej lepszej kopii. Efekt bywa odwrotny do zamierzonego: znikają ślady, które pozwoliłyby ustalić, jak napastnik dostał się do serwisu, a przywrócona kopia często jest już zainfekowana.
W pierwszych minutach zrób tylko trzy rzeczy:
Zrób zrzuty ekranu ostrzeżenia, dziwnych przekierowań i wszystkiego, co widzisz. Zapisz też godzinę, o której zauważyłeś problem.
Zatrzymaj płatne kampanie reklamowe, jeśli prowadzą na stronę. Płacenie za ruch kierowany na zainfekowaną witrynę to strata pieniędzy, a Google Ads i tak może je wstrzymać samodzielnie.
Nie wysyłaj klientom linków do strony do czasu wyjaśnienia sprawy, szczególnie w newsletterach.
Zanim zaczniesz działać, upewnij się, co dokładnie się dzieje. Kilka prostych sprawdzeń nie wymaga wiedzy technicznej:
Google Search Console – w sekcji „Problemy dotyczące bezpieczeństwa” Google pokazuje, co wykrył i czasem wskazuje konkretne adresy. Jeśli nie masz jeszcze Search Console, warto je podłączyć od razu, bo będzie potrzebne do zdjęcia ostrzeżenia.
Raport Bezpiecznego przeglądania Google – publiczne narzędzie, w którym wpiszesz adres strony i sprawdzisz jej status.
Wyszukiwanie site:twojadomena.pl – jeśli w wynikach widać podstrony o lekach, hazardzie czy podróbkach, to znak, że napastnik dodał spamowe treści.
Test z telefonu i z Google – wiele infekcji przekierowuje tylko użytkowników mobilnych lub tylko tych, którzy wchodzą z wyszukiwarki. Sprawdź stronę w trybie incognito na telefonie, klikając wynik w Google.
Poczta od hostingu – sprawdź, czy hosting nie przysłał informacji o zablokowaniu konta lub wykryciu złośliwego oprogramowania.
Po tym etapie powinieneś wiedzieć, czy masz do czynienia z przekierowaniami, spamem SEO, blokadą hostingu, czy wszystkim naraz.
Jeśli napastnik ma dostęp do strony, każde czyszczenie może zostać cofnięte w kilka minut. Dlatego przed porządkami trzeba zamknąć drzwi.
Zrób kopię obecnego stanu – plików i bazy danych, nawet zainfekowanych. Przyda się do analizy i jako zabezpieczenie, gdyby coś poszło nie tak przy czyszczeniu.
Zmień hasła do panelu WordPressa, konta hostingowego, FTP/SFTP i bazy danych. Nowe hasła ustawiaj z czystego komputera.
Przejrzyj listę administratorów w WordPressie. Nieznane konta z uprawnieniami administratora to jeden z najczęstszych śladów włamania.
Sprawdź swój komputer programem antywirusowym. Czasem hasła wyciekają nie przez stronę, tylko z zainfekowanego komputera w firmie.
Przy sklepie internetowym zweryfikuj, czy strona płatności i formularze zamówień nie zostały zmodyfikowane. Jeśli jest cień podejrzenia, że dane klientów mogły wyciec, warto skonsultować obowiązki wynikające z RODO.
Teraz czas na decyzję. Samodzielne czyszczenie ma sens, gdy masz podstawową wiedzę o WordPressie, dostęp do plików przez FTP lub menedżer plików hostingu i czas, żeby spokojnie przejść przez wszystkie kroki. Pomocny będzie wtedy szczegółowy poradnik https://cyberiusz.pl/jak-odwirusowac-strone-internetowa-wordpress/, w którym krok po kroku opisano, jak samemu spróbować odwirusować stronę na WordPressie.
Z pomocy specjalisty warto skorzystać, gdy:
strona to sklep, który codziennie przyjmuje zamówienia, i każda godzina przestoju kosztuje,
hosting zablokował konto i wymaga potwierdzenia, że strona jest czysta,
infekcja wróciła po wcześniejszym czyszczeniu, co zwykle oznacza, że luka nie została załatana,
w Google pojawiły się tysiące spamowych podstron, które trzeba usunąć z indeksu.
Niezależnie od wyboru pamiętaj, że samo usunięcie złośliwego kodu to połowa pracy. Druga połowa to znalezienie i zamknięcie drogi, którą napastnik się dostał.
Czerwony ekran nie zniknie sam, nawet jeśli strona jest już czysta. Trzeba o to poprosić Google. W Search Console, w sekcji dotyczącej problemów z bezpieczeństwem, zgłasz prośbę o weryfikację i opisujesz, co zostało zrobione. Rozpatrzenie trwa zwykle od kilku dni do mniej więcej dwóch tygodni.
W tym czasie warto zadbać o to, żeby historia się nie powtórzyła:
zaktualizuj WordPressa, motyw i wszystkie wtyczki, a nieużywane usuń całkowicie,
włącz logowanie dwuskładnikowe dla kont administratorów,
ustaw automatyczne kopie zapasowe przechowywane poza serwerem strony,
sprawdź za kilka dni wyniki site:twojadomena.pl, żeby upewnić się, że spamowe podstrony znikają z indeksu.
Ostrzeżenie o wirusie na stronie to stresująca sytuacja, ale w większości przypadków da się ją opanować bez trwałych szkód. Klucz to spokój w pierwszej godzinie: najpierw dokumentacja i zatrzymanie reklam, potem potwierdzenie skali problemu, zabezpieczenie dostępów, a dopiero na końcu czyszczenie.
Najlepiej oczywiście, gdy do takiej godziny w ogóle nie dochodzi. Regularne aktualizacje, kopie zapasowe i monitoring kosztują zdecydowanie mniej niż gaszenie pożaru, który już wybuchł.
