+48 501 250 220

Strona zhakowana? Pierwsza pomoc w 24 godziny od uzyskania dostępu

Google ostrzega przed Państwa stroną, odwiedzający trafiają na obce strony albo dostawca hostingu zablokował konto? Izolujemy stronę, zamykamy lukę i usuwamy złośliwy kod w ciągu 24 godzin od uzyskania dostępu, także w weekend. Potem otrzymują Państwo pisemny raport.

Zadzwoń teraz: +48 501 250 220 Zamów pierwszą pomoc
  • Wsparcie i awarie całą dobę (24/7)
  • 24 godziny od uzyskania dostępu, także w weekend, w stałej cenie
  • PHP i WordPress od 2012 r.
Obrys strony internetowej z kilkoma blokami treści; obca linia zygzakowata wchodzi przez mały otwór w krawędzi, otwór jest zaznaczony małym pomarańczowym pierścieniem, a linia przerywana pokazuje drogę

Po czym poznać, że Państwa strona została zhakowana

  • Google lub przeglądarka ostrzega odwiedzających przed Państwa stroną.
  • Odwiedzający, zwłaszcza z wyszukiwarki Google lub ze smartfona, trafiają na obce strony.
  • W wynikach wyszukiwania pod Państwa domeną pojawiają się strony z obcymi reklamami, których nikt u Państwa nie tworzył.
  • Dostawca hostingu zablokował konto, bo wychodzi z niego spam lub złośliwy kod.
  • W panelu administracyjnym są użytkownicy, których nikt nie zna, albo Państwa hasło przestało działać.

Najczęściej dotyczy to stron na WordPressie. Pomagamy także przy stronach na Craft CMS i przy innych aplikacjach w PHP lub CFML.

Okno przeglądarki z paskami treści; jeden pasek zastąpiła linia zygzakowata, na pasku tytułowym świeci pomarańczowa kropka

Co robić, a czego nie robić, zanim zaczniemy

  • Prosimy nie usuwać plików ani użytkowników, nawet jeśli wyglądają podejrzanie. Pokazują nam, jak atakujący dostał się do środka.
  • Prosimy nie przywracać kopii zapasowej na ślepo. Luka pozostałaby otwarta, a kopia może już zawierać złośliwy kod.
  • Warto zanotować, co Państwo zauważyli i od kiedy.
  • Prosimy przygotować dostępy, które Państwo mają: konto hostingowe, panel administracyjny, domenę, serwer i istniejące kopie zapasowe.
Dwie kartki: po lewej trzy wiersze z haczykami, co robić, pierwszy haczyk pomarańczowy; po prawej trzy wiersze z krzyżykami, czego unikać

Co dzieje się w ciągu 24 godzin od uzyskania dostępu

  1. Izolacja i zabezpieczenie

    Wyłączamy stronę lub odcinamy ją od ruchu i zabezpieczamy pliki, bazę danych i logi, zanim cokolwiek zostanie usunięte. Od uzyskania dostępu biegną 24 godziny, także w weekend.

  2. Droga włamania

    Ustalamy, jak atakujący dostał się do środka: przez wtyczkę lub motyw, skradzione dane dostępowe, serwer czy własny kod.

  3. Zamknięcie i oczyszczenie

    Zamykamy lukę albo tymczasowo ją zabezpieczamy. Stronę oczyszczamy, w miarę możliwości z kopii zapasowej sprzed ataku, i usuwamy tylne drzwi oraz obce konta użytkowników.

  4. Nowe dostępy

    Zmieniamy hasła, klucze i dostępy do panelu administracyjnego, bazy danych, hostingu i serwera.

  5. Google i raport

    Jeśli Google oznaczył stronę jako niebezpieczną, składamy wniosek o ponowną weryfikację. Otrzymują Państwo pisemny raport z technicznym przebiegiem zdarzenia i kolejnymi krokami.

Czego nie obiecujemy

  • Nie zawsze da się z pewnością ustalić, czy dane wyciekły. To, co ustalimy, opisujemy w raporcie.
  • O tym, kiedy ostrzeżenie zniknie, decyduje Google.
  • 24 godziny liczymy od uzyskania dostępu. Jeśli brakuje danych dostępowych, na przykład do hostingu, czas zaczyna biec, gdy je otrzymamy.
  • Jeśli czasu nie wystarczy, mówimy o tym niezwłocznie, gdy to zauważymy. Dalsze prace zaczynamy dopiero po Państwa zgodzie.
Rama z trzema prostokątami oznaczającymi to, co wchodzi w zakres; poza nią przerywany prostokąt na to, czego nie obejmuje; odcinek ramy między nimi jest pomarańczowy

Co następuje po 24 godzinach

Gdy strona jest znów czysta, chodzi o to, żeby taka pozostała. Raport wymienia kolejne kroki, na przykład:

  • aktualizacje CMS, wtyczek i PHP, najpierw sprawdzane w środowisku testowym
  • wymiana lub usunięcie porzuconych wtyczek i motywów
  • logowanie dwuskładnikowe do panelu administracyjnego, właściwe uprawnienia do plików i WAF na serwerze
  • kopie zapasowe z testem odtworzenia i monitoring

O tym, kto to wdroży, decydują Państwo. Na życzenie zajmiemy się tym jednorazowo lub na stałe, jak opisują strony Bezpieczeństwo aplikacji webowych i stron oraz Przejęcie i utrzymanie. Dla stron na Craft CMS lub WordPressie dobrym następnym krokiem jest Przegląd CMS.

Linia zaczyna się po lewej krótkim zygzakiem oznaczającym incydent, a potem biegnie prosto z sześcioma równomiernie rozmieszczonymi punktami kontrolnymi; pierwszy za zygzakiem jest pomarańczowy

Doświadczenie naszych inżynierów ze stronami i serwerami, na których działają

PHP
od 2012 r. ze Smarty, Slim i WordPress
Craft CMS
w projektach u klientów, także ta strona
Full stack i DevOps
od 2012 r., od aplikacji po serwer
Serwery
Linux z WAF, Nginx i Apache

Pierwszy krok: pomoc po włamaniu ze stałą ceną za pierwsze 24 godziny

Pierwsza pomoc po włamaniu na stronę

Dla firm, których strona internetowa została zhakowana: Google ostrzega przed nią, odwiedzający trafiają na obce strony, w wynikach wyszukiwania pojawia się spam albo dostawca hostingu zablokował stronę.

  • Odizolowanie strony i zabezpieczenie jej stanu, zanim cokolwiek zostanie usunięte
  • Ustalenie drogi włamania: wtyczka, dane dostępowe, serwer lub kod
  • Zamknięcie luki albo jej tymczasowe zabezpieczenie
  • Oczyszczenie strony, w miarę możliwości z kopii zapasowej sprzed ataku
  • Zmiana haseł, kluczy i dostępów
  • Wniosek o ponowną weryfikację w Google, jeśli strona jest oznaczona jako niebezpieczna

24 godziny liczymy od uzyskania dostępu, także w weekend. Nie zawsze da się z pewnością ustalić, czy dane wyciekły; to, co ustalimy, opisujemy w raporcie. O tym, kiedy ostrzeżenie zniknie, decyduje Google. Dalsze prace po pierwszych 24 godzinach zaczynamy dopiero po Państwa zgodzie.

Co zawiera wynik

W ciągu 24 godzin od uzyskania dostępu odizolowana i oczyszczona strona oraz pisemny raport z technicznym przebiegiem zdarzenia i kolejnymi krokami zabezpieczenia. Raport należy do Państwa.

od 1 500 € netto

Zamów pierwszą pomoc

Przypadek z naszej pracy

  • Trzy tory z pola kropek kończą się na pomarańczowym murze z podpisem WAF; jeden tor od laptopa przechodzi przez przerwę do witryny sklepu

    Sklep zalewany przez boty, które udawały klientów

    Sklep na WooCommerce z 52 produktami ładował się bardzo długo albo wcale. Przyczyną była opłacana sieć botów, która wysyłała dziesiątki tysięcy żądań na godzinę, każde z innego domowego adresu, a każdy bot z osobna zachowywał się wzorowo. Nasi inżynierowie zatrzymali ten ruch na brzegu sieci, a gdy miesiąc później boty zmieniły taktykę, druga reguła zdjęła obciążenie w dwie minuty.

Pytania w pierwszych godzinach po ataku

Czy nie wystarczy po prostu przywrócić ostatniej kopii zapasowej?

Samo przywrócenie zwykle nie wystarcza. Luka, przez którą wszedł atakujący, jest także w kopii, a jeśli atak zaczął się wcześniej, niż się wydaje, kopia zawiera już złośliwy kod. Wtedy strona po krótkim czasie znów jest zainfekowana.

Dlatego najpierw ustalamy drogę włamania, potem przywracamy kopię sprzed ataku i zamykamy lukę, zanim strona znów będzie dostępna. Jeśli czystej kopii nie ma, oczyszczamy stronę bezpośrednio.

Kiedy zniknie ostrzeżenie w Google?

O tym decyduje Google. Gdy strona jest już oczyszczona, przez Państwa konto w Google Search Console składamy wniosek o ponowną weryfikację i opisujemy, co usunęliśmy. Jeśli nie mają Państwo jeszcze takiego konta, zakładamy je razem z Państwem.

Czas weryfikacji ustala Google, dlatego nie możemy obiecać konkretnego terminu.

Czy mogą Państwo ustalić, czy dane wyciekły?

Nie w każdym przypadku. Sprawdzamy logi, bazę danych i pliki pod kątem śladów dostępu i zapisujemy w raporcie, co ustaliliśmy, a czego nie da się już wyjaśnić, na przykład z powodu brakujących logów.

Im wcześniej stan strony zostanie zabezpieczony, tym więcej da się wyjaśnić. Dlatego zabezpieczamy go w pierwszej kolejności, zanim cokolwiek zostanie usunięte.

Czy pomagają Państwo tylko przy stronach na WordPressie?

Nie. Najczęściej dotyczy to stron na WordPressie, na przykład przez przestarzałą wtyczkę lub skradzione dane dostępowe. Pomagamy także przy stronach na Craft CMS i przy innych aplikacjach w PHP, ColdFusion lub Lucee.

Serwer, na którym działa strona, zawsze sprawdzamy razem z nią, także jeśli wcześniej go nie znaliśmy.

Co, jeśli 24 godziny nie wystarczą?

Pierwsze 24 godziny od uzyskania dostępu mają stałą cenę. Jeśli okaże się, że potrzeba więcej czasu, na przykład gdy na serwerze zainfekowanych jest kilka stron, mówimy o tym wcześnie, szacujemy dalszy nakład pracy i zaczynamy dopiero po Państwa zgodzie.

Kolejne kroki zabezpieczenia opisujemy w raporcie. O tym, kto je wdroży, decydują Państwo.

Co zrobić, jeśli brakuje nam danych dostępowych?

Zwykle da się to rozwiązać. Zaczynamy od tego, czym Państwo dysponują: umową i kontem u dostawcy hostingu, dostępem do domeny oraz, jeśli istnieją, repozytorium i kopiami zapasowymi. Dostęp do serwera często można zresetować przez dostawcę hostingu, jeśli występują Państwo jako strona umowy. Dostęp do systemu uzyskujemy wyłącznie za Państwa wyraźną zgodą.

Czy czasem pełnią Państwo dyżury w weekendy?

Tak. Wsparcie i awarie obsługujemy całą dobę (24/7), także w weekendy. Prace planowane na weekend, na przykład przełączenie w oknie serwisowym, wykonujemy po uzgodnieniu. W pozostałych sprawach jesteśmy dostępni od poniedziałku do piątku od 9:00 do 17:00 czasu środkowoeuropejskiego, a na zapytania odpowiadamy w ciągu jednego dnia roboczego.

Atak trwa? Prosimy zadzwonić

Wsparcie i awarie obsługujemy całą dobę (24/7), także w weekend. Przez telefon rozmawiają Państwo z inżynierami, którzy oczyszczą Państwa stronę.

Telefon +48 501 250 220
E-mail E-mail

Kontakt

Co się stało z Państwa stroną?

Prosimy podać adres strony, system (jeśli jest znany) i to, co Państwo zauważyli. Przy trwającym ataku lepiej zadzwonić.

Pola oznaczone jako „opcjonalnie” można zostawić puste.

Kontakt e-mailowy

Do kontaktu telefonicznego wystarczy numer: awarie całą dobę, w pozostałych sprawach w ciągu jednego dnia roboczego.

Jaki system, jaka technologia, co chcą Państwo osiągnąć? Prosimy nie przesyłać haseł ani poufnych dokumentów.

Odpowiedź w ciągu jednego dnia roboczego · bez zobowiązań

Wykorzystujemy Państwa dane wyłącznie do odpowiedzi na zapytanie. Prownex IT Services Sp. z o. o. jest administratorem danych. Okres przechowywania i Państwa prawa opisano w polityce prywatności.