Włamanie na stronę WordPress: jak je rozpoznać i co zrobić krok po kroku
Gdy podejrzewasz włamanie na stronę WordPress, zacznij od zmiany wszystkich haseł (hosting, FTP, baza danych, konta administratorów), zrób kopię obecnego stanu strony, a potem przywróć ją z kopii sprzed infekcji albo oczyść ręcznie. Na koniec zaktualizuj WordPressa, wtyczki, motyw i PHP oraz poproś Google o ponowne sprawdzenie strony w Search Console. Najczęstsze objawy to dziwne wyniki w Google, przekierowania na obce strony i nieznane konta administratora.
Poniżej opisujemy, jak rozpoznać włamanie, co zrobić w pierwszej godzinie, jak wyczyścić stronę i jak zabezpieczyć ją na przyszłość.
Jak rozpoznać, że strona WordPress została zhakowana
Włamanie rzadko wygląda jak w filmach. Zwykle strona działa normalnie dla właściciela, a szkodliwy kod ujawnia się tylko części odwiedzających albo robotom Google. Typowe objawy:
- Obce wyniki w Google. Po wpisaniu
site:twojadomena.plwidzisz podstrony, których nie tworzyłeś, często z japońskimi znakami albo reklamami leków i kasyn. - Przekierowania na obce strony. Wejście z wyników Google na telefonie kończy się na stronie z loterią, oszustwem albo reklamą, choć wejście bezpośrednie działa poprawnie.
- Nieznane konta administratora w Użytkownikach WordPressa albo nowe pliki PHP w katalogach, w których nie powinno ich być.
- Ostrzeżenie w przeglądarce o niebezpiecznej stronie albo komunikat w Search Console w raporcie Problemy dotyczące bezpieczeństwa.
- Blokada od hostingu, nagły wzrost zużycia serwera albo wysyłka spamu z Twojej domeny.
Jeśli zauważysz choć jeden z tych objawów, traktuj stronę jako zainfekowaną, dopóki nie sprawdzisz jej dokładnie.
Co zrobić w pierwszej godzinie
- Zmień hasła do panelu hostingu, FTP i SFTP, bazy danych oraz wszystkich kont administratorów WordPressa. Zacznij od hostingu, bo daje dostęp do wszystkiego innego.
- Usuń nieznane konta administratorów i sprawdź, kto jeszcze ma dostęp do strony.
- Zrób kopię obecnego stanu plików i bazy danych. Nawet zainfekowana kopia przyda się do analizy i zabezpiecza przed utratą treści przy sprzątaniu.
- Powiadom hosting. Wiele firm hostingowych ma własne skanery i kopie zapasowe z ostatnich dni, które bardzo ułatwiają przywrócenie strony.
- W razie przekierowań na oszustwa rozważ czasowe wyłączenie strony stroną techniczną. Lepiej na kilka godzin zniknąć, niż wysyłać Klientów do oszustów.
Jeśli przy wyłączaniu strony pojawi się błąd serwera, pomoże poradnik o błędach 500 i 503 w WordPressie.
Jak wyczyścić zhakowaną stronę WordPress
Przywrócenie z kopii zapasowej
Najpewniejsza droga to przywrócenie strony z kopii sprzed włamania. Trzeba jednak ustalić, kiedy do niego doszło, bo kopia z dnia wcześniej może już zawierać ukryty kod. Po przywróceniu od razu zaktualizuj wszystko i zmień hasła ponownie, inaczej atakujący wejdzie tą samą drogą, nieraz w ciągu kilku godzin.
Ręczne czyszczenie
Gdy dobrej kopii nie ma, stronę trzeba oczyścić ręcznie. Zwykle obejmuje to:
- skanowanie wtyczką bezpieczeństwa, np. Wordfence, i skanerami hostingu,
- wgranie od nowa plików WordPressa, wtyczek i motywu z oficjalnych źródeł,
- przejrzenie katalogu uploads, w którym nie powinno być plików PHP,
- sprawdzenie bazy danych pod kątem obcych skryptów w treściach i ustawieniach,
- wygenerowanie nowych kluczy bezpieczeństwa w pliku wp-config.php, co wyloguje wszystkie sesje,
- usunięcie nieużywanych wtyczek i motywów, nawet wyłączonych.
Ręczne czyszczenie wymaga doświadczenia. Pominięcie jednego ukrytego pliku sprawia, że infekcja wraca po kilku dniach.
Włamanie a Google: jak odzyskać widoczność
Google wykrywa zainfekowane strony i może oznaczyć je ostrzeżeniem w wynikach oraz w przeglądarce Chrome. Po oczyszczeniu strony wejdź w Search Console, w raport Problemy dotyczące bezpieczeństwa, i kliknij prośbę o sprawdzenie, opisując, co zostało naprawione. Weryfikacja trwa zwykle od kilku dni do kilku tygodni.
Obce podstrony, które zdążyły trafić do indeksu, powinny po oczyszczeniu zwracać błąd 404 lub 410. Google usunie je z wyników przy kolejnych wizytach. Szybciej ukryjesz je narzędziem Usunięcia w Search Console. Sprawdź też raport Linki: spamerskie podstrony często ściągają setki linków z obcych stron, które warto znać.
Jak zabezpieczyć stronę przed kolejnym włamaniem
- Aktualizacje. Większość włamań wykorzystuje znane luki w starych wtyczkach, motywach i wersjach PHP, które dawno mają poprawki.
- Silne hasła i logowanie dwuetapowe dla wszystkich administratorów, a także dla panelu hostingu.
- Kopie zapasowe poza serwerem, wykonywane automatycznie i przechowywane przez co najmniej 30 dni. Kopia na tym samym serwerze ginie razem ze stroną.
- Mniej wtyczek i tylko z zaufanych źródeł. Nigdy nie instaluj płatnych wtyczek z nieoficjalnych stron, to częste źródło zainfekowanego kodu.
- Wspierana wersja PHP i hosting, który szybko instaluje poprawki bezpieczeństwa.
- Monitoring. Powiadomienia o nowych kontach administratorów, zmianach plików i problemach w Search Console.
Jak bezpiecznie przejść na nowszą wersję PHP, szczególnie po ostatnich krytycznych łatkach, opisujemy w poradniku jak zaktualizować PHP w WordPressie.
Najczęstsze pytania
Skąd się biorą włamania na strony WordPress?
Najczęściej z nieaktualnych wtyczek i motywów ze znanymi lukami, słabych lub wykradzionych haseł oraz pirackich wersji płatnych wtyczek. Ataki są zautomatyzowane: boty skanują tysiące stron w poszukiwaniu konkretnej podatności, więc mała firmowa strona jest tak samo narażona jak duży portal.
Czy wystarczy zainstalować wtyczkę bezpieczeństwa?
Nie. Wtyczka pomaga wykryć problem i utrudnia część ataków, ale nie zastąpi aktualizacji, kopii zapasowych i silnych haseł. Na zainfekowanej stronie wtyczka może też nie wykryć wszystkiego.
Ile trwa usunięcie infekcji?
Przywrócenie z dobrej kopii zajmuje zwykle kilka godzin. Ręczne czyszczenie bez kopii trwa od jednego do kilku dni, w zależności od skali infekcji. Do tego dochodzi czas, który Google potrzebuje na zdjęcie ostrzeżenia.
Czy po włamaniu trzeba zgłosić coś poza Google?
Jeśli przez stronę mogły wyciec dane Klientów, np. z formularzy lub sklepu, sprawdź z prawnikiem obowiązki wynikające z RODO, w tym ewentualne zgłoszenie do UODO. Przy sklepach warto też uprzedzić operatora płatności.
Kopie zapasowe, aktualizacje i monitoring bezpieczeństwa prowadzimy w ramach obsługi stron internetowych. Zhakowaną stronę oczyścimy i zabezpieczymy w ramach naprawy i przebudowy stron internetowych, a jeśli włamanie odbiło się na pozycjach, odbudujemy je w ramach pozycjonowania stron.
Skontaktuj się z nami
Pomożemy po włamaniu na stronę
Oczyścimy stronę ze szkodliwego kodu, zamkniemy drogę, którą wszedł atakujący, i przeprowadzimy zgłoszenie w Search Console. Potem przejmiemy aktualizacje i kopie zapasowe. Napisz, co dzieje się ze stroną.
Tel: 603 338 970
E-mail: kontakt@emm8.pl
Dlaczego warto zacząć z EMM8
- Łączymy pozycjonowanie, widoczność w AI i reklamę w jedną strategię, dzięki czemu cały budżet pracuje na ten sam cel: nowych Klientów.
- Od 2012 roku pomagamy firmom z różnych branż rosnąć w internecie, więc nie uczymy się na Państwa budżecie.
- Projekt prowadzi jedna osoba, która zna Państwa firmę, wyniki i cele, bez przekazywania sprawy między działami.
Zapytanie ofertowe
Wystarczy kilka zdań o firmie i potrzebach. Szczegóły doprecyzujemy na dalszym etapie.
