Zostałeś zhakowany? Zachowaj spokój, ale działaj natychmiast. Najpierw zabezpiecz dane i dowody, potem odizoluj stronę, przywróć ją z czystej kopii zapasowej i zmień wszystkie dane logowania. Jeśli atak naruszył dane osobowe, przeanalizuj obowiązek zgłoszenia do UODO, na które RODO przewiduje co do zasady 72 godziny od stwierdzenia naruszenia.
Priorytety są proste: bezpieczeństwo danych, ciągłość działania, a dopiero potem widoczność w Google. Zbyt szybkie kasowanie plików lub resetowanie serwera może utrudnić ustalenie, co się wydarzyło.
Jak rozpoznać atak hakerski?
Nie każda awaria oznacza włamanie. Podejrzenie incydentu jest uzasadnione, gdy pojawia się kilka niezależnych sygnałów albo zmiany, których nikt z zespołu nie wprowadzał. Zwróć uwagę na:
- komunikat przeglądarki informujący, że strona może być niebezpieczna,
- spamerskie podstrony, przekierowania lub obce treści w wynikach Google,
- nagłe, wyraźne spowolnienie witryny albo jej niedostępność,
- nieznane pliki, skrypty, konta administratorów lub zmiany w kodzie.
Sprawdź też Google Search Console. W sekcji dotyczącej bezpieczeństwa mogą pojawić się informacje o złośliwym oprogramowaniu, phishingu lub innych zagrożeniach. Brak komunikatu nie wyklucza włamania, ponieważ nie każdy incydent zostaje wykryty automatycznie.
Jak usunąć skutki ataku krok po kroku?
Postępuj według kolejności, która ogranicza ryzyko dalszej utraty danych. Jeżeli strona obsługuje płatności, formularze klientów lub jest głównym źródłem przychodu, warto równolegle zaangażować administratora serwera albo specjalistę od reagowania na incydenty.
- Odizoluj stronę – wyłącz ją z publicznego dostępu albo przełącz w tryb serwisowy. Jeśli to niemożliwe, zablokuj ruch na poziomie serwera lub zapory. Nie usuwaj jeszcze podejrzanych plików, logów ani wiadomości.
- Zabezpiecz dowody – zapisz kopię logów, listę użytkowników, daty modyfikacji plików, komunikaty z Google Search Console i informacje od hostingu. Zanotuj, kiedy zauważono problem oraz jakie działania wykonano.
- Ustal, czy istnieje czysty backup – wybierz kopię wykonaną przed pierwszym podejrzeniem włamania. Przywrócenie sprawnej wersji z kopii zapasowej zwykle jest szybsze i bezpieczniejsze niż wyszukiwanie każdej zmiany ręcznie.
- Przeskanuj środowisko – sprawdź pliki strony, bazę danych, zadania cron, konta administracyjne i konfigurację serwera. Jeżeli nie masz pewności, że kopia jest czysta, nie przywracaj jej bez wcześniejszej weryfikacji.
- Wyczyść lub odbuduj witrynę – przy braku aktualnego backupu usuń złośliwy kod po analizie plików i logów albo odtwórz stronę z bezpiecznych źródeł. Samo skasowanie widocznego spamu nie gwarantuje usunięcia ukrytej furtki.
- Zmień wszystkie hasła – zrób to po odizolowaniu i oczyszczeniu środowiska. Dotyczy to panelu CMS, hostingu, FTP lub SSH, bazy danych, poczty, domeny, kont administratorów i integracji z zewnętrznymi usługami.
- Zaktualizuj system – wgraj aktualną wersję CMS, wtyczek, motywów i komponentów serwera. Usuń nieużywane dodatki oraz konta, których nie da się uzasadnić.
- Sprawdź indeks Google – w Google Search Console przeanalizuj ostrzeżenia, zainfekowane adresy i nietypowe podstrony. Po usunięciu zagrożenia poproś o ponowną weryfikację. Spamerskie adresy można zgłaszać do usunięcia w narzędziu „Usunięcia”, ale nie zastępuje to oczyszczenia serwera.
Nie zaczynaj od samego usuwania adresów z indeksu. Google może ponownie je wykryć, jeśli złośliwy kod nadal działa. Reguły blokujące dostęp, na przykład w konfiguracji serwera, stosuj dopiero po zachowaniu dowodów i przygotowaniu poprawnej strategii przekierowań lub odpowiedzi 404.
Backup czy ręczne czyszczenie – co wybrać?
Wybór zależy od jakości kopii, czasu trwania ataku i ilości danych, które zmieniły się od momentu jej wykonania. Nie przywracaj bez sprawdzenia najnowszego backupu, jeśli mógł zawierać już zainfekowane pliki.
| Metoda | Zalety | Wady | Kiedy stosować |
|---|---|---|---|
| Przywrócenie z kopii zapasowej | Szybki powrót do znanego stanu i mniejsze ryzyko pominięcia ukrytego kodu | Możliwa utrata nowszych zamówień, wpisów lub danych | Gdy istnieje kopia wykonana przed atakiem i można ją zweryfikować |
| Ręczne czyszczenie | Możliwość zachowania bieżących danych i zmian w witrynie | Wymaga wiedzy, jest czasochłonne i łatwo pominąć furtkę | Gdy brak czystego backupu albo dane po jego wykonaniu są krytyczne |
Przy poważnym incydencie rozsądny bywa wariant łączony: odtworzenie witryny z bezpiecznej kopii, a następnie porównanie jej z obecnym środowiskiem i analiza przyczyny włamania.
Jakie są obowiązki prawne po wycieku danych?
Atak techniczny nie zawsze oznacza naruszenie ochrony danych osobowych. Trzeba jednak ustalić, czy napastnik mógł uzyskać dostęp do danych klientów, pracowników, kontrahentów, kont użytkowników, formularzy, zamówień lub korespondencji.
Jeśli doszło do naruszenia danych osobowych, administrator powinien udokumentować incydent, ocenić ryzyko dla osób, których dane dotyczą, oraz – gdy zachodzi wymagane ryzyko – zgłosić naruszenie Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia. Jeżeli naruszenie może powodować wysokie ryzyko, konieczne może być także poinformowanie osób, których dane dotyczą.
Przygotuj opis zdarzenia, zakres i kategorie danych, przybliżoną liczbę osób, możliwe konsekwencje oraz działania ograniczające skutki. Gdy część informacji nie jest jeszcze znana, zgłoszenie może wymagać uzupełnienia. Wyciek warto również rozważyć jako przestępstwo i zgłosić Policji lub prokuraturze, a incydent cyberbezpieczeństwa można przekazać CERT Polska.
Ta sekcja ma charakter informacyjny i nie stanowi porady prawnej. Ocena obowiązków zależy od konkretnego incydentu, roli administratora oraz rodzaju naruszonych danych. W razie wątpliwości skonsultuj się z inspektorem ochrony danych lub prawnikiem.
Jak zapobiec kolejnemu atakowi?
Po przywróceniu strony nie kończ analizy. Sprawdź, jak napastnik uzyskał dostęp, i usuń tę drogę. Po odzyskaniu witryny przejdź przez poniższą checklistę:
- zaktualizuj CMS, wtyczki, motywy, biblioteki i oprogramowanie serwera,
- usuń nieużywane dodatki, konta i usługi oraz ogranicz uprawnienia administratorów,
- ustaw unikalne, długie hasła i włącz uwierzytelnianie dwuskładnikowe wszędzie, gdzie jest dostępne,
- wdroż monitoring zmian plików, logowania i nietypowego ruchu oraz zaporę aplikacyjną,
- twórz regularne kopie zapasowe i przechowuj je poza głównym serwerem,
- przetestuj odtworzenie backupu, zanim będzie potrzebne w prawdziwym incydencie.
Uwierzytelnianie dwuskładnikowe ogranicza ryzyko przejęcia konta po wycieku hasła, ale nie zastępuje aktualizacji i kontroli uprawnień. Kopia zapasowa także nie rozwiązuje problemu sama w sobie, jeśli jest przechowywana na tym samym, zaatakowanym serwerze.
Jeżeli strona nadal przekierowuje użytkowników, wysyła spam, jest oznaczona jako niebezpieczna albo atak dotyczył danych klientów, wstrzymaj jej normalne działanie do czasu potwierdzenia, że środowisko jest czyste. Najbliższym krokiem powinno być zabezpieczenie logów i ustalenie, czy masz wiarygodną kopię sprzed incydentu.
Materiał ma charakter informacyjny i nie stanowi porady prawnej. W przypadku naruszenia danych osobowych lub poważnego incydentu skonsultuj działania z inspektorem ochrony danych, prawnikiem albo specjalistą ds. reagowania na incydenty.
