Jeśli podejrzewasz, że strona WordPress została zhakowana, nie zaczynaj od chaotycznego usuwania plików ani instalowania kolejnych wtyczek bezpieczeństwa. Najpierw zabezpiecz kopię obecnego stanu, ogranicz możliwość dalszych zmian, sprawdź konta administratorów, pliki i logi, a następnie usuń złośliwy kod i lukę, przez którą doszło do włamania. Po oczyszczeniu witryny zmień dane dostępowe, zaktualizuj oprogramowanie i dokładnie przetestuj stronę.
Co ważne, nietypowe zachowanie witryny niekoniecznie zawsze oznacza włamanie. Błąd wtyczki, źle skonfigurowane przekierowanie czy awaria serwera mogą wyglądać podobnie. Dlatego najpierw trzeba potwierdzić problem i określić jego zakres.
Po czym poznać, że WordPress został zhakowany?
Nie każde włamanie wygląda jak podmiana strony głównej przez atakującego. Złośliwy kod może działać w tle i przez długi czas pozostawać niezauważony.
Do niepokojących objawów należą nieznane konta administratorów, zmodyfikowane pliki, wysyłka spamu, przekierowania na obce domeny, pojawienie się nieznanych podstron oraz ostrzeżenia przeglądarki lub systemów bezpieczeństwa.
Warto również zwrócić uwagę na nagły wzrost wykorzystania zasobów hostingu albo wiadomości od użytkowników zgłaszających zachowanie, którego administrator sam nie widzi.
Niektóre infekcje uruchamiają się tylko w określonych warunkach, na przykład dla użytkowników mobilnych, wejść z wyszukiwarki albo nowych odwiedzających. To utrudnia wykrycie problemu podczas zwykłego przeglądania witryny.
Jakich podstron często dotyczy problem?
Zhakowana strona WordPress nie musi zachowywać się nieprawidłowo wszędzie. Strona główna może wyglądać zupełnie normalnie.
Problemy bywają widoczne między innymi na:
- stronach wyników wyszukiwania,
- wpisach i podstronach odwiedzanych z Google,
- stronach produktów i kategorii,
- stronie logowania,
- nowych, automatycznie utworzonych adresach,
- podstronach otwieranych na urządzeniach mobilnych.
Atakujący może chcieć pozostać niezauważony przez administratora, dlatego nie warto ograniczać kontroli do strony głównej.
Krok 1: Upewnij się, że rzeczywiście doszło do włamania
Zacznij od zebrania konkretnych objawów. Jeśli użytkownik zgłasza przekierowanie, poproś o dokładny adres źródłowy i docelowy oraz informację, na jakim urządzeniu problem wystąpił.
Sprawdź witrynę w oknie prywatnym i na innym urządzeniu. Zobacz również, czy w panelu WordPressa pojawiły się konta, których nie rozpoznajesz.
Przejrzyj ostatnie zmiany. Jeżeli problem zaczął się bezpośrednio po zmianie konfiguracji przekierowań albo instalacji wtyczki, przyczyna może być techniczna, a nie związana z atakiem.
Jeśli jednak widzisz nieautoryzowane modyfikacje, obce konta, złośliwe pliki lub nieznane treści, trzeba potraktować sytuację jak incydent bezpieczeństwa.
Krok 2: Zabezpiecz kopię zainfekowanej strony
Może wydawać się dziwne, że pierwszą czynnością po wykryciu infekcji jest wykonanie kopii zainfekowanej witryny. Taka kopia może jednak pomóc w analizie zdarzenia oraz odzyskaniu danych, które przypadkowo zostałyby usunięte podczas czyszczenia.
Jeśli to możliwe, zabezpiecz pliki, bazę danych oraz dostępne logi.
Nie traktuj tej kopii jako gotowego backupu do późniejszego przywrócenia. Jej zadaniem jest zachowanie stanu strony z momentu wykrycia problemu.
Jednocześnie sprawdź, jakie wcześniejsze kopie zapasowe posiadasz i z kiedy pochodzą. Działający backup sprzed infekcji może znacząco ułatwić odzyskanie witryny.
Krok 3: Ogranicz skutki włamania
Jeżeli witryna aktywnie przekierowuje użytkowników do niebezpiecznych stron, wyłudza dane albo rozsyła złośliwą zawartość, priorytetem jest ograniczenie dalszych szkód.
W zależności od charakteru serwisu może być konieczne czasowe ograniczenie publicznego dostępu do jego części. Nie należy jednak automatycznie wyłączać całej strony przy każdym podejrzeniu.
Prosty blog z pojedynczym podejrzanym plikiem to inna sytuacja niż sklep, w którym naruszony został proces płatności.
W przypadku sklepu internetowego trzeba szczególnie uważać na formularze, konto klienta, koszyk i checkout. Jeśli istnieje podejrzenie przechwytywania danych użytkowników, problem wymaga natychmiastowej reakcji.
Krok 4: Sprawdź konta administratorów
Przejrzyj listę użytkowników WordPressa posiadających wysokie uprawnienia.
Jeżeli znajduje się tam konto administratora, którego nie utworzyłeś i którego nie rozpoznaje żadna uprawniona osoba, należy potraktować je jako poważny sygnał.
Samo usunięcie obcego konta nie kończy jednak naprawy.
Jeżeli atakujący uzyskał dostęp administracyjny, mógł wcześniej zmodyfikować pliki, utworzyć inne mechanizmy dostępu albo wprowadzić zmiany w bazie. Usunięcie użytkownika zamyka tylko jedną z możliwych dróg.
Sprawdź także, czy role istniejących kont nie zostały zmienione.
Krok 5: Zmień hasła i zabezpiecz dostęp
Po wykryciu naruszenia należy zmienić dane dostępowe związane z witryną. Dotyczy to przede wszystkim kont administratorów WordPressa, hostingu oraz innych usług, które mogły zostać objęte incydentem.
Hasła powinny być unikalne. Jeśli to samo hasło było używane w kilku miejscach, należy zmienić je również tam.
Warto także zweryfikować dostęp FTP/SFTP, konta związane z bazą danych oraz inne dane uwierzytelniające używane przez serwis, jeśli istnieje możliwość ich przejęcia.
Sama zmiana hasła administratora WordPressa nie wystarczy, jeżeli złośliwy kod nadal znajduje się na serwerze.
Krok 6: Sprawdź pliki WordPressa
Kolejny etap to analiza plików. Szczególną uwagę zwróć na pliki zmodyfikowane w nietypowym czasie oraz elementy, których pochodzenia nie potrafisz wyjaśnić.
Pomocne może być porównanie plików rdzenia WordPressa z czystą wersją odpowiadającą używanemu wydaniu systemu.
Wtyczki i motywy również powinny pochodzić z zaufanych źródeł. Jeżeli możesz zastąpić ich pliki czystymi kopiami z oficjalnego lub oryginalnego źródła, jest to zwykle bezpieczniejsze niż ręczne wyszukiwanie pojedynczych fragmentów złośliwego kodu.
Trzeba jednak uważać na własne modyfikacje. Nadpisanie niestandardowego motywu czystą wersją może usunąć legalnie wprowadzone zmiany.
Krok 7: Sprawdź bazę danych
Atakujący nie musi ograniczać się do plików. Niepożądane treści mogą znajdować się również w bazie danych WordPressa.
Warto sprawdzić między innymi użytkowników, treści, ustawienia oraz podejrzane dane dodane przez wtyczki.
Nie usuwaj jednak rekordów tylko dlatego, że wyglądają niezrozumiale. WordPress i jego rozszerzenia przechowują w bazie wiele technicznych wartości, które dla osoby niezajmującej się systemem na co dzień mogą wyglądać podejrzanie.
Przed ręcznymi zmianami w bazie wykonaj kopię i upewnij się, że rozumiesz znaczenie modyfikowanych danych.
Krok 8: Sprawdź logi i spróbuj znaleźć źródło ataku
Oczyszczenie strony bez ustalenia sposobu włamania może dać tylko chwilowy efekt.
Przeanalizuj logi serwera i informacje dostępne w panelu hostingu. Spróbuj ustalić, kiedy pojawiły się pierwsze nieautoryzowane zmiany i jakie żądania je poprzedzały.
Źródłem problemu może być między innymi podatne rozszerzenie, przejęte konto, wyciek danych dostępowych albo niewłaściwie zabezpieczony element infrastruktury.
Nie należy automatycznie oskarżać ostatnio aktualizowanej wtyczki. Czas modyfikacji pliku czy pojawienia się objawu nie zawsze wskazuje faktyczne źródło infekcji.
Krok 9: Zaktualizuj WordPress, motyw i wtyczki
Po zabezpieczeniu danych i oczyszczeniu środowiska trzeba sprawdzić wersje używanego oprogramowania.
Zaktualizuj WordPressa oraz rozszerzenia do odpowiednich, wspieranych wersji. Usuń nieużywane wtyczki i motywy, jeśli nie są potrzebne. Samo ich wyłączenie nie zawsze jest wystarczającym powodem, aby pozostawiać zbędny kod na serwerze.
Nie instaluj natomiast kilkunastu wtyczek bezpieczeństwa naraz. Więcej narzędzi nie oznacza automatycznie lepszej ochrony, a nakładające się funkcje mogą komplikować konfigurację i diagnostykę.
Czy wystarczy przywrócić backup?
Przywrócenie czystej kopii sprzed włamania może być bardzo skuteczną metodą, ale tylko wtedy, gdy rzeczywiście wiesz, że backup powstał przed infekcją.
Trzeba również usunąć przyczynę włamania. Jeżeli przywrócisz kopię zawierającą tę samą podatną wtyczkę i nie zmienisz przejętych danych logowania, problem może się powtórzyć.
Szczególnym przypadkiem jest WooCommerce. Przywrócenie starej bazy może usunąć zamówienia złożone po wykonaniu kopii. Dlatego odzyskiwanie aktywnego sklepu wymaga zaplanowania sposobu zachowania nowych danych.
Krok 10: Sprawdź stronę po oczyszczeniu
Nie kończ pracy w momencie, gdy strona główna zacznie wyglądać normalnie.
Przetestuj najważniejsze typy podstron i funkcje. W przypadku WordPressa będą to między innymi wpisy, formularze, wyszukiwarka i panel administracyjny. W WooCommerce sprawdź produkty, kategorie, koszyk, checkout i konto klienta.
Zweryfikuj także stronę na urządzeniu mobilnym i w niezalogowanej przeglądarce. Niektóre niepożądane przekierowania mogą być niewidoczne dla zalogowanego administratora.
Sprawdź również, czy nie pozostały nieznane konta, zadania, pliki lub treści.
Co zrobić, jeśli zhakowana strona pojawia się w Google?
Jeżeli w wynikach wyszukiwania pojawiły się spamerskie podstrony, samo usunięcie infekcji z serwera nie sprawi, że wszystkie ślady natychmiast znikną z wyszukiwarki.
Najpierw upewnij się, że niepożądane adresy rzeczywiście zostały usunięte lub zwracają odpowiednią odpowiedź HTTP. Następnie sprawdź stan witryny w Google Search Console i ewentualne informacje o problemach z bezpieczeństwem.
Nie przekierowuj automatycznie tysięcy spamerskich adresów na stronę główną tylko po to, aby „uratować SEO”. Sposób obsługi usuniętych URL-i powinien wynikać z tego, czy istnieje dla nich rzeczywisty, odpowiadający treścią adres docelowy.
Jak zabezpieczyć WordPress po włamaniu?
Po odzyskaniu witryny ogranicz ryzyko ponownego incydentu. Stosuj unikalne hasła, odpowiednio skonfigurowane dodatkowe uwierzytelnianie, regularne aktualizacje i automatyczne kopie zapasowe przechowywane w bezpiecznym miejscu.
Usuń niepotrzebne konta administratorów, wtyczki i motywy. Regularnie kontroluj logi oraz monitoruj dostępność i nietypowe zachowanie serwisu.
Jeśli strona WordPress została zhakowana, samo usunięcie widocznego spamu lub przekierowania nie wystarczy. Skuteczna reakcja obejmuje zabezpieczenie dowodów i danych, ograniczenie skutków, oczyszczenie plików oraz bazy, zmianę danych dostępowych, znalezienie źródła włamania i przetestowanie całej witryny. Dopiero usunięcie zarówno infekcji, jak i drogi, którą atakujący dostał się do serwisu, pozwala uznać naprawę za zakończoną.