Jak sprawdzić, czy strona jest zhakowana

Q: Dlaczego nie widzę infekcji na własnym komputerze, a inni ją widzą?

To celowe działanie atakującego i nazywa się cloaking. Wstrzyknięty kod sprawdza, kto wchodzi, i pokazuje szkodliwą treść wybiórczo: tylko przy wejściu z wyników wyszukiwania, tylko na telefonach, tylko raz na jeden adres IP, tylko poza godzinami pracy albo tylko robotowi wyszukiwarki. Właściciel wchodzi na stronę wielokrotnie z tego samego adresu i zwykle z zakładki, więc trafia na wersję czystą. Dlatego pojedyncze wejście na własną stronę nic nie dowodzi, a wiarygodne sprawdzenie wymaga zmiany warunków: innej sieci, trybu prywatnego i wejścia z wyszukiwarki.

Q: Czy zhakowana strona zawsze wygląda inaczej?

Nie i to najczęstsze nieporozumienie. Większość infekcji nie zmienia wyglądu strony , bo atakującemu zależy, żeby jak najdłużej pozostać niezauważonym. Strona wygląda normalnie, a w tle rozsyła spam, wstrzykuje ukryte linki widoczne tylko dla wyszukiwarki, serwuje dodatkowe podstrony pod Twoją domeną albo trzyma tylne wejście, które czeka na wykorzystanie. Podmiana strony na komunikat atakującego zdarza się, ale to margines. Dlatego objawy szuka się w wynikach wyszukiwania, w poczcie i w kodzie źródłowym, a nie w wyglądzie.

Q: Co zrobić, jeśli okaże się, że strona jest zhakowana?

Zostaw stronę online , bo skasowanie jej nie usuwa infekcji, a niszczy ślady i odcina ruch. Nie zmieniaj nic samodzielnie i nie usuwaj podejrzanych plików przez FTP, bo bez wiedzy, co dany plik robi, łatwo wyłączyć działającą część strony i zostawić tylne wejście. Wstrzymaj się ze zmianą wszystkich haseł, dopóki nie wiadomo, czy w serwisie nie ma webshella, który przechwyci nowe hasło od razu po ustawieniu. Odłóż kopię stanu obecnego, razem z infekcją, bo to materiał do diagnozy. Potem zgłoś stronę do naprawy: przy aktywnej infekcji liczy się czas, bo każda godzina to kolejni odwiedzający, którzy widzą ostrzeżenie.

Q: Ile kosztuje sprawdzenie strony?

Audyt zewnętrzny jest bezpłatny i nie wymaga żadnych dostępów ani zobowiązania do zamówienia naprawy. Wystarczy podać adres strony. Sprawdzamy ślady włamania, czyli ukryte elementy, wstrzyknięty spam, cloaking i podejrzane przekierowania, a przy okazji szybkość, nagłówki bezpieczeństwa, certyfikat, dane strukturalne i dostępność. Jeśli okaże się, że strona wymaga naprawy, dostajesz rekomendację ścieżki wraz z ceną, zanim cokolwiek zaczniemy: naprawa WordPressa lub Joomli kosztuje 850 zł netto, migracja na MaiCMS tyle samo, naprawa rozbudowanego serwisu od 1700 zł, a odbudowa od zera 1700 zł. Ceny netto, plus 23% VAT.

Zacznij od trzech sprawdzeń: wejdź na własną stronę z telefonu w trybie prywatnym po wpisaniu adresu w Google, wpisz w wyszukiwarce site:twojadomena.pl i przejrzyj listę adresów, a potem zajrzyj do zakładki Bezpieczeństwo w Google Search Console. Razem zajmują kilka minut i nie wymagają dostępu do serwera.

Najczęstsze nieporozumienie brzmi: „gdyby strona była zhakowana, tobym to widział”. Większość infekcji nie zmienia wyglądu strony, bo atakującemu zależy na tym, żeby jak najdłużej pozostać niezauważonym. Strona wygląda normalnie, a w tle rozsyła spam, wstrzykuje linki widoczne tylko dla wyszukiwarki albo trzyma tylne wejście na później.

Poniżej dwanaście sygnałów w kolejności od najłatwiejszych do zauważenia. Przy każdym jest metoda weryfikacji, którą wykonasz samodzielnie.

Podejrzewasz włamanie? Najpierw to

Nie zmieniaj nic samodzielnie i nie usuwaj podejrzanych plików. Pierwszy odruch, żeby szybko coś poprawić, zaciera ślady potrzebne do ustalenia, którędy wszedł atakujący, a bez tego naprawa jest tylko odroczeniem problemu. Wstrzymaj się też ze zmianą wszystkich haseł, dopóki nie wiadomo, czy w serwisie nie ma tylnego wejścia, które przechwyci nowe hasło od razu po ustawieniu.

Dwanaście sygnałów włamania

Jeden sygnał to podejrzenie, dwa lub więcej to prawie pewność. Żaden z tych sprawdzeń nie wymaga logowania się na serwer.

Strona przekierowuje na obcy adres

Wpisujesz swoją domenę, a otwiera się kasyno, sklep z lekami, strona w obcym języku albo komunikat o wygranej. Przekierowanie bywa wybiórcze: działa tylko na telefonach, tylko przy wejściu z wyników wyszukiwania albo tylko raz na jeden adres IP, żeby właściciel go nie zauważył.

jak sprawdzić Wejdź na stronę z telefonu, w trybie prywatnym, po wpisaniu adresu w Google, a nie z zakładki. Powtórz przez dane komórkowe, nie przez własne wi-fi, bo infekcja może pamiętać Twój adres IP.

Google ostrzega przed Twoją stroną

Zamiast strony pojawia się czerwony ekran z komunikatem o witrynie wyłudzającej dane albo o szkodliwym oprogramowaniu. Ostrzeżenie widzą użytkownicy Chrome, Firefoksa i Safari, więc strona jest praktycznie odcięta od ruchu, nawet jeśli sama działa poprawnie.

jak sprawdzić Zajrzyj do

Google Search Console → Bezpieczeństwo i działania ręczne → Problemy
            dotyczące bezpieczeństwa

. Google wprost pisze, co wykrył i na których adresach.

W wynikach Google są cudze podstrony

Pod Twoją domeną pojawiają się tytuły, których nigdy nie publikowałeś: tabletki, hazard, pożyczki, adresy w obcym alfabecie. To znaczy, że ktoś dopisał do serwisu własne podstrony i wykorzystuje Twoją domenę oraz jej reputację do pozycjonowania swoich treści.

jak sprawdzić Wpisz w Google site:twojadomena.pl i przejrzyj listę. Jeśli wyników jest dużo więcej niż masz podstron, dopisz frazę, na przykład site:twojadomena.pl viagra albo site:twojadomena.pl casino.

Tytuł i opis w wynikach nie zgadzają się z treścią

W wyszukiwarce Twoja strona ma obcy tytuł, opis w innym języku albo znaki, których na niej nie ma, a po wejściu wygląda normalnie. To klasyczny cloaking: wstrzyknięty kod pokazuje jedną treść robotowi wyszukiwarki, a inną człowiekowi.

jak sprawdzić Porównaj tytuł w wynikach Google z tytułem na stronie. Dokładniej: w Search Console użyj Sprawdzenie adresu URL → Zbadany kod HTML i zobacz, co widzi Googlebot, a nie Ty.

Poczta z domeny przestała dochodzić

Wiadomości wysyłane z Twojego adresu lądują w spamie u odbiorców, którzy wcześniej je dostawali, albo wracają z odmową dostarczenia. Typowa przyczyna to skrypt rozsyłający spam z Twojego serwera, po którym domena albo adres serwera trafiły na czarne listy poczty.

jak sprawdzić Wyślij próbną wiadomość na skrzynkę u innego dostawcy i sprawdź, gdzie trafiła. Zajrzyj też do folderu wysłanych na serwerze: przy takiej infekcji często widać tam setki wiadomości, których nikt nie wysyłał.

Ruch z wyszukiwarki spadł skokowo

Wejścia spadają z dnia na dzień, bez żadnej zmiany na stronie i bez aktualizacji algorytmu. Przy infekcji spamowej wyszukiwarka obniża zaufanie do całej domeny, a nie tylko do zainfekowanej podstrony, więc traci nawet treść, której atakujący nie ruszał.

jak sprawdzić Wykres kliknięć w Search Console za ostatnie trzy miesiące. Szukaj pionowego uskoku z konkretną datą, nie łagodnego zjazdu: łagodny spadek to zwykle konkurencja albo sezon, uskok to zdarzenie.

W kodzie źródłowym jest fragment, którego nikt nie pisał

Długi ciąg znaków bez znaczenia, wywołanie odkodowujące taki ciąg w trakcie działania strony, obcy skrypt z domeny, której nie znasz, albo blok linków odsunięty poza ekran. Wstrzyknięcia bywają wklejane na końcu pliku, po wielu pustych liniach, żeby nie było ich widać przy pobieżnym przeglądaniu.

jak sprawdzić Otwórz kod źródłowy strony skrótem Ctrl+U i przeszukaj go (Ctrl+F) pod kątem fraz eval, base64_decode, fromCharCode oraz obcych adresów w znacznikach script.

W panelu są konta i wtyczki, których nie instalowałeś

Na liście użytkowników pojawia się konto z losową nazwą albo nazwą przypominającą techniczną, z uprawnieniami administratora. Na liście dodatków widzisz wtyczkę, której nigdy nie instalowałeś, czasem z opisem w obcym języku. To znaczy, że atakujący ma uprawnienia właściciela strony.

jak sprawdzić Przejrzyj listę użytkowników i listę wtyczek w panelu. Zwróć uwagę na daty utworzenia kont: konto założone w środku nocy, którego nie pamiętasz, jest wystarczającym powodem do audytu.

W katalogach z obrazkami leżą pliki wykonywalne

W folderze, do którego trafiają wgrywane zdjęcia, albo w katalogu pamięci podręcznej pojawia się plik PHP. Tam nie ma powodu, żeby taki plik istniał. Zwykle nosi nazwę udającą systemową albo nazwę kojarzącą się z kopią zapasową.

jak sprawdzić W menedżerze plików hostingu posortuj zawartość katalogu z wgranymi plikami po dacie modyfikacji i poszukaj rozszerzenia .php tam, gdzie powinny być tylko obrazki. Nic nie usuwaj: zanotuj nazwy i ścieżki.

Hosting ostrzega o nadmiernej aktywności

Dostajesz wiadomość o przekroczeniu limitów, o podejrzanej aktywności albo o wysyłce poczty z konta. W skrajnym przypadku hosting blokuje konto bez uprzedzenia, żeby chronić pozostałe strony na tym samym serwerze.

jak sprawdzić Przejrzyj wiadomości od hostingu za ostatni miesiąc i statystyki wykorzystania zasobów w panelu. Nagły wzrost liczby żądań albo wysłanych wiadomości bez wzrostu sprzedaży to sygnał, nie sukces marketingowy.

Strona zachowuje się inaczej na telefonie niż na komputerze

Na komputerze wszystko działa, a na telefonie pojawiają się wyskakujące okna, przekierowania albo obce reklamy. Infekcja rozpoznaje urządzenie i pokazuje szkodliwą treść wybiórczo, bo ruch mobilny jest większy, a właściciele sprawdzają strony głównie na komputerze.

jak sprawdzić Otwórz stronę na telefonie w trybie prywatnym, przez dane komórkowe, wchodząc z wyników wyszukiwania. Poproś o to samo kogoś z innej sieci: wybiórcze infekcje często pamiętają, kto już był.

Infekcja wróciła po wcześniejszym czyszczeniu

Strona była już czyszczona, wróciła do normy, a po kilku dniach objawy pojawiły się znowu, takie same albo bardzo podobne. To najpewniejszy z dwunastu sygnałów: oznacza, że w serwisie został ukryty plik dający atakującemu powrót, albo że nie zamknięto luki, przez którą wszedł za pierwszym razem.

jak sprawdzić Nie trzeba nic sprawdzać. Powrót infekcji sam jest rozpoznaniem: poprzednia naprawa usunęła objawy, a nie przyczynę. Przy takim przebiegu rekomendujemy migrację na MaiCMS albo odbudowę zamiast trzeciego czyszczenia.

Coś się potwierdziło. Co teraz

Kolejność ma znaczenie. Trzy z najczęstszych odruchów pogarszają sytuację, a jeden potrafi uniemożliwić ustalenie przyczyny.

Zrób to

Zostaw stronę online. Skasowanie jej nie usuwa infekcji, a odcina ruch i niszczy ślady. Wyjątek: gdy hosting sam żąda wyłączenia konta.
Zapisz, co zauważyłeś. Zrzuty ekranu, adresy podstron, daty, treść ostrzeżenia. To skraca diagnozę i bywa potrzebne przy ocenie, czy doszło do naruszenia danych.
Odłóż kopię stanu obecnego. Razem z infekcją. To materiał do ustalenia przyczyny, nie śmieć.
Uprzedź klientów innym kanałem. Krótka informacja, że wiesz o sytuacji, ogranicza szkodę wizerunkową bardziej niż milczenie.
Zamów audyt. Bezpłatny, bez dostępów. Jeśli infekcja jest aktywna, dopisz w zgłoszeniu PILNE.

Nie rób tego

Nie usuwaj podejrzanych plików przez FTP. Bez wiedzy, co dany plik robi, łatwo skasować element potrzebny do działania strony i zostawić tylne wejście, które wygląda niewinnie.
Nie zmieniaj jeszcze wszystkich haseł. Dopóki nie wiadomo, czy w serwisie nie ma webshella, nowe hasło może zostać przechwycone od razu po ustawieniu.
Nie instaluj wtyczek antywirusowych z przypadkowego polecenia. Część narzędzi reklamowanych jako skanery to same trojany, a instalujesz je z panelu, do którego atakujący może mieć dostęp.
Nie poprzestawaj na przywróceniu kopii zapasowej. Backup cofa stronę do stanu przed infekcją, ale luka wejściowa wraca razem z nim.

Najczęstsze pytania

Jak sprawdzić, czy moja strona jest zhakowana?

Zacznij od trzech sprawdzeń, które zajmują łącznie kilka minut i nie wymagają dostępu do serwera. Pierwsze: wejdź na własną stronę z telefonu, w trybie prywatnym, po wpisaniu adresu w Google, a nie z zakładki, bo część infekcji przekierowuje tylko ruch z wyszukiwarki i tylko na urządzeniach mobilnych. Drugie: wpisz w Google zapytanie site: ze swoją domeną i przejrzyj listę adresów, szukając podstron, których nie publikowałeś. Trzecie: sprawdź w Search Console zakładkę Bezpieczeństwo, gdzie Google wprost pisze, czy wykrył szkodliwe treści.

Jeśli którekolwiek sprawdzenie wypadnie niepokojąco, nie zmieniaj nic samodzielnie, bo zaciera to ślady potrzebne do diagnozy.

Dlaczego nie widzę infekcji na własnym komputerze, a inni ją widzą?

To celowe działanie atakującego i nazywa się cloaking. Wstrzyknięty kod sprawdza, kto wchodzi, i pokazuje szkodliwą treść wybiórczo: tylko przy wejściu z wyników wyszukiwania, tylko na telefonach, tylko raz na jeden adres IP albo tylko robotowi wyszukiwarki.

Właściciel wchodzi na stronę wielokrotnie z tego samego adresu i zwykle z zakładki, więc trafia na wersję czystą. Dlatego pojedyncze wejście na własną stronę nic nie dowodzi, a wiarygodne sprawdzenie wymaga zmiany warunków: innej sieci, trybu prywatnego i wejścia z wyszukiwarki.

Czy zhakowana strona zawsze wygląda inaczej?

Nie i to najczęstsze nieporozumienie. Większość infekcji nie zmienia wyglądu strony, bo atakującemu zależy, żeby jak najdłużej pozostać niezauważonym. Strona wygląda normalnie, a w tle rozsyła spam, wstrzykuje ukryte linki widoczne tylko dla wyszukiwarki, serwuje dodatkowe podstrony pod Twoją domeną albo trzyma tylne wejście, które czeka na wykorzystanie.

Podmiana strony na komunikat atakującego zdarza się, ale to margines. Dlatego objawy szuka się w wynikach wyszukiwania, w poczcie i w kodzie źródłowym, a nie w wyglądzie.

Czy darmowe skanery online wykryją włamanie?

Częściowo. Skanery zewnętrzne widzą to, co widać z internetu: wstrzyknięty spam w kodzie strony głównej, przekierowania, obce skrypty, obecność domeny na czarnych listach. Nie zobaczą tylnego wejścia leżącego w pliku, który nie jest linkowany z żadnej podstrony, ani wstrzyknięć w bazie danych, ani ukrytego konta administratora.

Czysty wynik skanera online nie jest więc dowodem, że strona jest bezpieczna, a wynik negatywny przy widocznych objawach zwykle oznacza cloaking. Nasz bezpłatny audyt też działa z zewnątrz, ale sprawdza dodatkowo historię domeny, wybiórcze przekierowania i ślady w wynikach wyszukiwania.

Co zrobić, jeśli okaże się, że strona jest zhakowana?

Zostaw stronę online, bo skasowanie jej nie usuwa infekcji, a niszczy ślady i odcina ruch. Nie zmieniaj nic samodzielnie i nie usuwaj podejrzanych plików przez FTP, bo bez wiedzy, co dany plik robi, łatwo wyłączyć działającą część strony i zostawić tylne wejście.

Wstrzymaj się ze zmianą wszystkich haseł, dopóki nie wiadomo, czy w serwisie nie ma webshella, który przechwyci nowe hasło od razu po ustawieniu. Odłóż kopię stanu obecnego, razem z infekcją, bo to materiał do diagnozy. Potem zgłoś stronę do naprawy: przy aktywnej infekcji liczy się czas, bo każda godzina to kolejni odwiedzający, którzy widzą ostrzeżenie.

Ile kosztuje sprawdzenie strony?

Audyt zewnętrzny jest bezpłatny i nie wymaga żadnych dostępów ani zobowiązania do zamówienia naprawy. Wystarczy podać adres strony. Sprawdzamy ślady włamania, czyli ukryte elementy, wstrzyknięty spam, cloaking i podejrzane przekierowania, a przy okazji szybkość, nagłówki bezpieczeństwa, certyfikat, dane strukturalne i dostępność.

Jeśli okaże się, że strona wymaga naprawy, dostajesz rekomendację ścieżki wraz z ceną, zanim cokolwiek zaczniemy: naprawa WordPressa lub Joomli kosztuje 850 zł netto, migracja na MaiCMS tyle samo, naprawa rozbudowanego serwisu od 1700 zł, a odbudowa od zera 1700 zł. Ceny netto, plus 23% VAT.

Czytaj dalej

01 / usługa

Naprawa zhakowanej strony

Cztery ścieżki naprawy z cenami, co zrobić w pierwszej godzinie po odkryciu włamania i tabela doboru ścieżki według profilu strony.

Zobacz szczegóły

02 / usługa

Usuwanie wirusa z WordPressa

Sześć miejsc, w których siedzi infekcja, drogi wejścia atakujących i dlaczego samo skanowanie wtyczką nie kończy sprawy.