Jak sprawdzić, czy strona WordPress została zhakowana?
Dziwne przekierowania, obce podstrony w Google, nowy administrator albo komunikat przeglądarki o niebezpiecznej witrynie mogą oznaczać włamanie. Problem w tym, że zhakowana strona WordPress nie zawsze wygląda na zhakowaną. Czasem dla właściciela działa normalnie, a spam lub złośliwy kod widzą tylko użytkownicy z wyszukiwarki.
10 objawów, że strona WordPress mogła zostać zhakowana
Strona przekierowuje na obce witryny
Użytkownik wchodzi na stronę firmy, ale trafia do sklepu, fałszywej ankiety, reklamy lub serwisu dla dorosłych. Przekierowanie może pojawiać się tylko na telefonie, przy pierwszej wizycie albo po wejściu z
Google.
W Google pojawiły się obce podstrony
Po wpisaniu site:twojadomena.pl (pamiętaj o braku spacji po site:) widzisz adresy dotyczące leków, hazardu, pożyczek, lub innych tematów niezwiązanych z firmą. To częsty objaw wstrzyknięcia spamu albo utworzenia tysięcy fałszywych adresów.
Google lub przeglądarka pokazuje ostrzeżenie
Komunikaty w rodzaju „ta witryna może wyrządzić szkody” lub raport Problemy dotyczące bezpieczeństwa w Search Console są bardzo mocnym sygnałem, że witryna wymaga sprawdzenia.
W panelu jest nieznane konto administratora
Nowy użytkownik z rolą Administrator, którego nikt w firmie nie tworzył, może oznaczać, że ktoś utrzymuje
dostęp do strony. Należy również sprawdzić dostępy nie tylko administratorskie oraz te na hostingu i domenie.
Nie możesz się zalogować albo hasło przestało działać
Sam błąd logowania nie dowodzi włamania, ale połączony z nieznanymi zmianami, nowymi kontami lub wiadomościami o zmianie hasła wymaga szybkiej reakcji.
Pojawiły się nieznane wtyczki lub pliki
Zwróć uwagę na wtyczki, których nie instalowałeś, pliki o losowych nazwach oraz modyfikacje dokonane w nietypowych godzinach.
Strona zaczęła rozsyłać spam
Hosting może poinformować o dużej liczbie wysyłanych wiadomości, a firmowe maile zaczną trafiać do spamu. Przyczyną może być przejęty formularz, konto pocztowe albo złośliwy skrypt.
Hosting blokuje stronę lub zgłasza malware
Dostawca hostingu może ograniczyć konto po wykryciu złośliwych plików, przeciążenia lub wysyłania
spamu. Nie ignoruj takiego komunikatu i poproś o listę wykrytych ścieżek oraz daty zmian.
Nagły wzrost zużycia procesora, transferu lub miejsca
Nieoczekiwane obciążenie może wynikać z botów, spamu, kopania kryptowalut lub działania złośliwego
skryptu. Może też mieć niewinną przyczynę, dlatego liczy się zestaw objawów.
Wygląd lub treść strony zmienia się bez Twojej wiedzy
Obce linki, reklamy, teksty, formularze płatności albo fragmenty kodu w nagłówku i stopce są powodem do
natychmiastowego sprawdzenia witryny.
Jak sprawdzić stronę krok po kroku
1. Sprawdź raport bezpieczeństwa w Google Search Console
W Search Console otwórz sekcję Bezpieczeństwo i ręczne działania → Problemy dotyczące
bezpieczeństwa. Google pokazuje tam wykryte przypadki złośliwego kodu, phishingu, wstrzykniętej treści
i szkodliwych plików. Brak komunikatu jest dobrą wiadomością, ale nie wyklucza każdego rodzaju
włamania.
2. Wyszukaj obce podstrony w Google
Wpisz w wyszukiwarce site:twojadomena.pl i przejrzyj tytuły oraz adresy. Szukaj nieznanych produktów, języków, kasyn, leków, pożyczek i stron logowania. Pamiętaj, że wyniki Google mogą być niepełne, dlatego ten test jest tylko jednym z elementów diagnozy.
3. Sprawdź użytkowników WordPressa
W panelu wejdź w Użytkownicy → Wszyscy użytkownicy i zweryfikuj każdą osobę z rolą Administrator (i nie tylko). Nieznanego konta nie usuwaj bez zapisania jego nazwy, adresu e-mail i daty utworzenia — te informacje mogą pomóc w ustaleniu, kiedy doszło do problemu.
4. Porównaj wtyczki, motywy i daty modyfikacji
Sprawdź, czy wszystkie dodatki są Ci znane i pochodzą z legalnego źródła. W panelu hostingu lub przez
SFTP przejrzyj ostatnio zmodyfikowane pliki. Sam świeży znacznik czasu nie dowodzi infekcji —
aktualizacje również zmieniają pliki — ale pomaga zawęzić zakres poszukiwań.
3. Przejrzyj komunikaty hostingu i logi
Poproś hosting o informacje dotyczące wykrytego malware, nietypowych logowań, wysyłki poczty i
obciążenia. Przydatne są logi dostępu, logi błędów, historia logowań do panelu i SFTP oraz daty
utworzenia podejrzanych plików.
6. Uruchom skan, ale nie opieraj się wyłącznie na nim
Skaner bezpieczeństwa może znaleźć zmienione pliki, znane sygnatury malware i podejrzane adresy.
Wynik „czysto” nie jest jednak stuprocentowym potwierdzeniem bezpieczeństwa. Złośliwy kod może
znajdować się w bazie danych, zadaniach cron, koncie hostingowym albo innym serwisie na tym samym
koncie.
Co zrobić, gdy włamanie się potwierdzi?
- Zapisz objawy i wykonaj kopię obecnego stanu. Kopia zainfekowanej strony nie służy do późniejszego przywrócenia, lecz może pomóc w analizie.
- Skontaktuj się z hostingiem. Ustal, czy zagrożenie dotyczy tylko jednej instalacji, całego konta hostingowego czy również poczty i baz danych.
- Z czystego urządzenia zmień wszystkie dostępy. Dotyczy to WordPressa, panelu hostingowego, SFTP/FTP, bazy danych i powiązanej skrzynki e-mail. Wyloguj aktywne sesje, usuń ciasteczka.
- Usuń nieznane konta i zamknij źródło włamania. Sama zmiana hasła nie wystarczy, jeżeli na stronie pozostanie podatna wtyczka, backdoor lub przejęte konto hostingowe.
- Wymień zmodyfikowane pliki na czyste kopie. Rdzeń WordPressa, motywy i wtyczki instaluj ponownie z zaufanych źródeł. Nie usuwaj tylko pierwszego podejrzanego pliku — infekcja może mieć kilka elementów.
- Zaktualizuj WordPressa, wtyczki, motywy i PHP. Usuń dodatki nieużywane, porzucone lub pochodzące z niepewnego źródła.
- Przywróć kopię tylko wtedy, gdy jest znana i czysta. Przed uruchomieniem backupu usuń przyczynę włamania, inaczej problem szybko wróci.
- Po pełnym czyszczeniu poproś Google o ponowną weryfikację. Jeżeli Search Console wykazało problem, użyj opcji „Poproś o sprawdzenie” dopiero po naprawieniu wszystkich wykrytych elementów.
Czego nie robić po wykryciu infekcji WordPressa
- Nie ograniczaj się do zainstalowania kolejnej wtyczki zabezpieczającej. Wtyczka nie usunie automatycznie każdego backdoora ani przejęcia hostingu.
- Nie przywracaj pierwszego dostępnego backupu bez sprawdzenia jego daty i przyczyny włamania.
- Nie zmieniaj haseł na komputerze, który sam może być zainfekowany.
- Nie usuwaj wszystkich danych przed zapisaniem objawów, komunikatów i listy podejrzanych plików.
- Nie zgłaszaj strony do ponownej weryfikacji Google, dopóki nie usuniesz problemu w całej witrynie.
Jak zmniejszyć ryzyko ponownego włamania?
- aktualizuj WordPressa, wtyczki, motywy i wersję PHP;
- usuwaj nieużywane dodatki, zamiast tylko je wyłączać;
- stosuj unikalne hasła i MFA dla administratorów;
- twórz automatyczne kopie poza głównym serwerem;
- nadawaj użytkownikom najniższe potrzebne uprawnienia;
- używaj HTTPS i zaufanego hostingu;
- monitoruj zmiany plików, logowania i raport Search Console.
Więcej podstawowych zabezpieczeń znajdziesz w poradniku Bezpieczeństwo strony WordPress w małej
firmie — 4 kroki, od których musisz zacząć.
Kiedy potrzebny jest specjalista?
Pomoc specjalisty jest wskazana szczególnie wtedy, gdy strona przekierowuje użytkowników, Google
pokazuje ostrzeżenie, hosting wykrył malware, infekcja wraca po czyszczeniu albo na jednym koncie
znajduje się kilka witryn. Pełna analiza może wymagać sprawdzenia kodu, bazy danych, logów serwera,
poczty i komputerów używanych do administracji, co niejednokrotnie jest po za zasięgiem kogoś nietechnicznego.
Najczęstsze pytania
Czy zhakowana strona może wyglądać normalnie?
Tak. Złośliwy kod może wyświetlać spam tylko robotom Google, użytkownikom mobilnym albo osobom
wchodzącym z wyszukiwarki. Dlatego nie wystarczy sprawdzić strony we własnej przeglądarce.
Czy certyfikat SSL chroni WordPressa przed włamaniem?
Nie. HTTPS szyfruje połączenie między użytkownikiem a stroną, ale nie naprawia podatnych wtyczek,
słabych haseł ani przejętego panelu hostingowego.
Czy zmiana hasła wystarczy po włamaniu?
Zwykle nie. Trzeba również usunąć złośliwy kod, nieznane konta i przyczynę włamania, a następnie
zmienić wszystkie powiązane dostępy oraz wylogować aktywne sesje.
Czy darmowy skaner potwierdzi, że strona jest czysta?
Skaner może wykryć wiele problemów, ale brak alertu nie jest pełnym audytem. Niektóre infekcje
ukrywają się w bazie danych, zadaniach serwera, kontach użytkowników lub poza samą instalacją
WordPressa.