Co zrobić po włamaniu na stronę lub do sklepu: pierwsze godziny

Spis treści

1. 1. Nie kasuj plików i nie przywracaj kopii na ślepo
2. 2. Zabezpiecz kopię strony z wirusem
3. 3. Zbierz dowody
4. 4. Zmień hasła, ale w odpowiedniej kolejności
5. 5. Powiadom hosting
6. 6. Oceń, czy doszło do naruszenia danych osobowych
7. 7. Zleć diagnozę, nie samo czyszczenie
8. Jak ograniczyć ryzyko kolejnego włamania?

1. Nie kasuj plików i nie przywracaj kopii na ślepo

To pierwszy odruch, który najczęściej szkodzi. Usunięcie podejrzanych plików zaciera ślady, po których można ustalić przyczynę włamania. Przywrócenie starej kopii bez ustalenia, którędy wszedł atakujący, często oznacza powrót do wersji, która była już podatna albo miała już wirusa, i kolejny atak po kilku dniach.

2. Zabezpiecz kopię strony z wirusem

Zapisz pliki serwisu i bazę danych w obecnym stanie, zanim cokolwiek zmienisz. Taka kopia jest materiałem do diagnozy. Jeśli nie wiesz, jak ją wykonać, poproś o pomoc hosting lub specjalistę.

3. Zbierz dowody

• zrzuty ekranu przekierowań, ostrzeżeń i obcych podstron,
• adresy stron, na których pojawia się problem,
• godziny, kiedy zauważono pierwsze objawy,
• treść wiadomości od hostingu lub klientów.

4. Zmień hasła, ale w odpowiedniej kolejności

Po zabezpieczeniu kopii zmień hasła do panelu administracyjnego serwisu, hostingu, bazy danych oraz dostępu przez FTP lub SSH. Zrób to z komputera, o którego bezpieczeństwie masz pewność. Jeśli atakujący ma na serwerze ukryty dostęp, samo zmienianie haseł nie wystarczy, dlatego diagnoza jest konieczna.

5. Powiadom hosting

Hosting może pomóc ustalić, kiedy i skąd nastąpiły podejrzane logowania, a także odblokować konto, jeśli zostało zablokowane z powodu spamu lub złośliwego kodu.

6. Oceń, czy doszło do naruszenia danych osobowych

Jeśli w serwisie przechowywane są dane klientów, trzeba ocenić, czy naruszenie ich dotyczy. Zgodnie z RODO naruszenie ochrony danych osobowych zgłasza się do Prezesa UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia naruszenia, chyba że jest mało prawdopodobne, by powodowało ryzyko naruszenia praw lub wolności osób. Przy wysokim ryzyku trzeba także zawiadomić osoby, których dane dotyczą.

7. Zleć diagnozę, nie samo czyszczenie

Usunięcie widocznych skutków to dopiero początek. Trzeba ustalić, którędy atakujący wszedł, co zostawił w systemie i co zmienił, a następnie zamknąć tę drogę. W przeciwnym razie wirus wraca. Dlatego zakres prac najlepiej ustalić po diagnozie, a cenę poznać przed rozpoczęciem czyszczenia.

Jak ograniczyć ryzyko kolejnego włamania?

• regularnie aktualizuj system, wtyczki i moduły oraz usuwaj te, których nie używasz,
• używaj unikalnych haseł i włącz logowanie dwuskładnikowe dla administratorów,
• przechowuj kopie zapasowe poza serwerem,
• raz na jakiś czas zleć audyt bezpieczeństwa albo skorzystaj ze stałej opieki technicznej.

Więcej o objawach wirusa znajdziesz w artykule Jak rozpoznać wirusa na stronie lub w sklepie.