Strona firmy zhakowana? Co zrobić w pierwszej godzinie

Jak sprawdzić, czy strona jest zhakowana?

Najszybciej w Google: wpisz w wyszukiwarkę site:twojadomena.pl i sprawdź, czy nie ma obcych podstron, a adres strony wpisz w narzędziu stanu witryny w raporcie przejrzystości Google, które pokazuje, czy Bezpieczne przeglądanie uznaje ją za niebezpieczną. Typowe sygnały włamania:

• W Google pod Twoją domeną pojawiają się obce podstrony, często ze spamem albo w innym języku.
• Strona na telefonie przekierowuje na inną witrynę, choć na komputerze wygląda normalnie.
• W panelu są konta administratorów, których nikt nie zakładał, albo nieznane pliki na serwerze.
• Hosting blokuje konto albo informuje o wysyłce spamu z serwera.
• Raport problemów dotyczących bezpieczeństwa w Search Console pokazuje zhakowane treści, złośliwe oprogramowanie albo socjotechnikę, a Chrome wyświetla ostrzeżenie przed wejściem na stronę.

Pierwsza godzina krok po kroku

1. Nie usuwaj plików w pośpiechu. Zrób kopię obecnego stanu: pliki, baza danych i logi serwera. Przydadzą się, żeby ustalić, jak doszło do włamania i jakie dane mogły wyciec.
2. Zapisz godzinę, o której stwierdziłeś problem, i prowadź krótką notatkę: kto, co i kiedy zrobił. Od tej chwili może biec termin na zgłoszenie do UODO.
3. Skontaktuj się z firmą hostingową. Ma logi, często własne kopie i może zablokować podejrzany ruch.
4. Odizoluj stronę: wyłącz ją albo pokaż stronę serwisową, żeby nie infekowała odwiedzających. Google opisuje ten krok jako kwarantannę witryny.
5. Z czystego urządzenia zmień hasła do hostingu, panelu strony, FTP lub SFTP, bazy danych, panelu domeny i skrzynek pocztowych. Wyloguj wszystkie sesje i usuń nieznane konta administratorów.
6. Włącz logowanie dwuetapowe wszędzie, gdzie się da, zaczynając od hostingu, domeny i poczty.
7. Unieważnij klucze API i tokeny, które mogły wyciec, na przykład do płatności, wysyłki maili albo map.
8. Sprawdź, czy strona przechowywała dane osobowe: formularze kontaktowe, konta klientów, zamówienia, zapisy na newsletter.

Dane osobowe: 72 godziny i zgłoszenie do UODO

Art. 33 ust. 1 RODO mówi, że administrator zgłasza naruszenie ochrony danych osobowych organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w terminie 72 godzin po jego stwierdzeniu, chyba że jest mało prawdopodobne, by skutkowało ryzykiem naruszenia praw lub wolności osób. Do zgłoszenia złożonego później trzeba dołączyć wyjaśnienie przyczyn opóźnienia. Jeśli nie znasz jeszcze wszystkich szczegółów, informacje można przekazywać sukcesywnie (art. 33 ust. 4). Zgłoszenie opisuje co najmniej charakter naruszenia, kategorie i przybliżoną liczbę osób, dane kontaktowe, możliwe konsekwencje i podjęte środki. Gdy naruszenie może powodować wysokie ryzyko, trzeba też bez zbędnej zwłoki zawiadomić osoby, których dane dotyczą (art. 34). W Polsce organem nadzorczym jest Prezes UODO, a zgłoszenia można złożyć elektronicznie przez formularz na biznes.gov.pl. Każde naruszenie, także niezgłoszone, administrator dokumentuje (art. 33 ust. 5). To nie jest porada prawna. Incydent możesz też zgłosić do CERT Polska.

Sprzątanie i przywracanie

1. Ustal, którędy wszedł atakujący: nieaktualna wtyczka lub motyw, słabe albo wykradzione hasło, wyciek danych FTP, luka w formularzu.
2. Załataj przyczynę: aktualizacje systemu i dodatków, usunięcie nieużywanych wtyczek, nowe hasła.
3. Przywróć stronę z kopii sprzed włamania. Sprawdź, czy kopia jest czysta, bo infekcja mogła zacząć się wcześniej, niż ją zauważyłeś.
4. Porównaj pliki z czystą wersją, usuń nieznane pliki, konta i zadania harmonogramu na serwerze.
5. Podstrony ze spamem dodane przez atakującego usuń tak, żeby serwer zwracał dla nich kod 404. Te, które nigdy nie powinny być w Google, możesz szybciej usunąć z wyników narzędziem Usunięcia w Search Console. Google zaznacza, żeby nie używać go dla dobrych stron, które atakujący tylko zmienił.
6. W Search Console usuń problemy na wszystkich wskazanych stronach i wyślij z raportu prośbę o sprawdzenie (Request Review), opisując problem, wykonane kroki i efekt. Według Google sprawdzenie strony z phishingiem trwa około jednego dnia, ze złośliwym oprogramowaniem kilka dni, a ze spamem nawet kilka tygodni.
7. Przez kolejne tygodnie obserwuj logi, nowe konta i wyniki wyszukiwania dla Twojej domeny.

Kopie zapasowe 3-2-1

Amerykańska agencja CISA opisuje prostą zasadę: 3 kopie ważnych danych (jedna podstawowa i dwie zapasowe), na 2 różnych rodzajach nośników, z czego 1 przechowywana poza siedzibą. Przy stronie internetowej oznacza to, że kopia trzymana na tym samym koncie hostingowym nie wystarczy, bo atakujący z dostępem do konta może usunąć także ją. Trzymaj co najmniej jedną kopię poza hostingiem, przechowuj kilka wersji z różnych dni i przynajmniej raz sprawdź, czy da się z nich odtworzyć stronę. Automatyczne kopie poza serwerem z przetestowanym przywracaniem są częścią naszej opieki nad stroną.

Jak zmniejszyć ryzyko na przyszłość

• Aktualizuj system, motyw i wtyczki na bieżąco i usuwaj te, których nie używasz. Dlaczego to tak ważne przy WordPressie, pokazujemy w porównaniu WordPress czy strona dedykowana.
• Każda osoba ma własne konto z minimalnymi uprawnieniami, a konta byłych pracowników i wykonawców są usuwane.
• Unikalne, długie hasła w menedżerze haseł i logowanie dwuetapowe do hostingu, domeny, poczty i panelu.
• Monitoring dostępności strony i powiadomienia o nowych kontach administratorów.
• Mniej miejsc do ataku: strona generowana jako gotowe pliki nie ma bazy danych ani wtyczek po stronie serwera, choć nadal wymaga ochrony kont hostingu i domeny.
• Wiedza o tym, kto ma dostęp do czego. Pomoże w tym nasza lista czy na pewno jesteś właścicielem swojej strony i aplikacji.

Najczęstsze błędy

• Przywrócenie kopii bez znalezienia luki. Strona wraca, a po kilku dniach atak się powtarza.
• Zmiana tylko hasła do panelu strony, bez hostingu, FTP, bazy danych i poczty.
• Usunięcie wszystkiego od razu, przez co nie wiadomo, jak doszło do włamania i jakie dane wyciekły.
• Pominięcie oceny, czy wyciekły dane osobowe, i przekroczenie 72 godzin bez wyjaśnienia.
• Ponowne wysyłanie prośby o sprawdzenie w Search Console, zanim poprzednia zostanie rozpatrzona. Google ostrzega, że może to wydłużyć weryfikację.

Jak możemy pomóc

Jeśli Twoja strona została zhakowana albo chcesz sprawdzić, jak jest zabezpieczona, w audycie strony przeglądamy wersje systemu i dodatków, dostępy, kopie zapasowe i formularze. Gdy strona jest w złym stanie, czasem taniej wychodzi przebudowa strony niż kolejne sprzątanie.

Źródła

• RODO (rozporządzenie 2016/679), art. 33 i 34
• UODO: zgłoszenie naruszenia ochrony danych osobowych
• EROD: wytyczne 9/2022 w sprawie zgłaszania naruszeń ochrony danych
• CERT Polska: zgłoś incydent
• web.dev (Google): pomoc dla zhakowanych witryn
• web.dev (Google): oczyszczanie i utrzymanie witryny
• web.dev (Google): prośba o sprawdzenie witryny i czas weryfikacji
• Google: raport przejrzystości, stan witryny w Bezpiecznym przeglądaniu
• Google Search Console: raport problemów dotyczących bezpieczeństwa
• CISA: Data Backup Options (zasada 3-2-1)