Накратко: Когато уебсайтът Ви е хакнат, най-важният въпрос е „какво да правя, без да унищожа следите?“. Ние поемаме отдалечено ограничаването, запазваме логовете и файловете, премахваме злонамерения код, затваряме входната врата и документираме всичко. Вие запазвате решенията, ние предоставяме техническите факти.
Хакнат уебсайт: какво да правя през първия час?
Първите стъпки определят дали инцидентът по-късно ще може да се изясни чисто. Спокойствието е по-важно от темпото на всяка цена. Тези неща можете да направите веднага сами:
- Нищо не изтривайте: не премахвайте файлове, не инсталирайте наново върху старото състояние, не възстановявайте резервно копие, преди да е направен архив.
- Изолирайте: поставете уебсайта в режим на поддръжка или го изключете временно от мрежата, ако посетителите са застрашени или може да изтичат данни.
- Запазете логовете: помолете хостинг доставчика да не презаписва протоколите за достъп и грешки. При PHP2Shell специализираната преса съветва да се съхраняват сървърните логове от 20.10.2026 г. нататък.
- Запишете достъпите: кой има администраторски, FTP, SSH достъп и достъп до панела? Паролите се сменят едва след уговорка и от чисто устройство.
- Информирайте участниците: управителите, длъжностното лице по защита на данните и, ако има полица, застрахователя.
Приемете, че атакуващ с достъп до уеб сървъра е могъл да прочете и данни за достъп от конфигурационни файлове. Затова достъпите до базата данни, до имейл и до API трябва да влязат в списъка на тайните, които се сменят.
Кои признаци сочат компрометиране, описва страницата Вече компрометиран ли съм?.
Как помага PHP SOS конкретно?
- Картина на положението: С Вас изясняваме какво е наблюдавано, кои системи може да са засегнати и какви данни има там. От това се получава кратка оценка със следващите стъпки.
- Запазване и ограничаване: Архивираме файловете, базата данни и логовете, преди нещо да бъде променено. След това ограничаваме атаката, например чрез блокиране на подозрителни достъпи, изключване на засегнати функции или временна изолация.
- Откриване и затваряне на входната врата: Проверяваме PHP версията и състоянието на пачовете, CMS, разширенията и достъпите. Ако входът през PHP2Shell е вероятен, пачваме и рестартираме всички PHP процеси.
- Почистване и възстановяване: Уеб шеловете, задните вратички и променените файлове се премахват или състоянието се изгражда наново от надеждни източници. Подробности има на страницата Премахване на злонамерен софтуер и уеб шелове.
- Приключване и доклад: Получавате документация на инцидента и препоръки за заздравяване (hardening). Ако е нужно разследване, годно пред съд, привличаме специализирани партньори за форензика.
Какво получавате от нас
- времева линия на инцидента, доколкото може да се докаже от следите
- списък на намерените и премахнатите злонамерени компоненти
- описание на вероятния входен път, ясно разграничено на доказано, вероятно и неизвестно
- списък на всички променени достъпи и тайни
- препоръки какво да се защити трайно
Докладът помага при разговори с длъжностното лице по защита на данните, със застрахователя и, ако е необходимо, с полицията. За правната оценка, например задължението за уведомяване по ОРЗД в рамките на 72 часа, той не замества консултация със специалисти.
Какво ни е нужно от Вас
- Достъпи: до сървъра (SSH или панел), до администрацията на CMS и до базата данни, като алтернатива разрешение да говорим директно с Вашия хостинг доставчик
- Лице за контакт: достъпен човек с право да решава за изключване, рестартиране и смяна на пароли
- Информация: от кога се забелязва проблемът, какви промени е имало напоследък, кой е имал достъп
- Резервни копия: къде се намират архивите и колко са стари
- Контакт с доставчици на услуги: агенция, разработчик или хостинг доставчик, които познават системата
Какво не обещаваме
Не можем да обещаем, че всяка атака може да бъде възстановена изцяло. Ако логовете липсват или вече са презаписани, остават пропуски, и ние ги назоваваме открито. Не обещаваме и че един почистен сайт ще остане сигурен завинаги. Работим по инцидента, докато той бъде приключен и документиран, и Ви казваме какво още трябва да се направи след това.
Правни консултации не предоставяме. Въпросите за задълженията за уведомяване, отговорността или застрахователната защита са работа на длъжностното лице по защита на данните, на адвоката и на застрахователя. За структурирано отработване след инцидента Ви помага нашият контролен списък след хакване.
Кога е нужна по-голяма обработка на инцидента
Някои инциденти излизат отвъд един уебсайт: няколко сървъра, изтекли клиентски данни, изнудване или атакуващ, който се придвижва в мрежата. Тогава преминаваме към структурирано реагиране при инциденти (Incident Response) с твърди роли, оперативки и съгласувана комуникация. Прехода обсъждаме с Вас, щом той се очертае.
И след по-малък инцидент си струва да се погледне напред. Почистен уебсайт без заздравяване (hardening), актуализации и наблюдение остава очевидна цел, защото атакуващите често проверяват вече известни жертви отново. Затова е разумно след приключването да се определи кой занапред отговаря за актуализациите, резервните копия и контрола. Често инцидентът показва пропуск точно там: никой не се е чувствал отговорен или достъпите са били при доставчик на услуги, който вече не е бил достъпен. Тези въпроси изясняваме с Вас в заключителния разговор, за да стане от инцидента по-добра експлоатация.
Често задавани въпроси
Да изтрия ли веднага хакнатия уебсайт и да го настроя наново?
Моля, не прибързвайте. Който изтрие всичко, унищожава следите, които показват как е влязъл атакуващият и изтекли ли са данни. По-добре е сайтът да се изключи от мрежата или да се изолира и първо да се архивира.
По какво разбирам, че уебсайтът ми е хакнат?
Типични признаци са чужди пренасочвания, спам страници в индекса на Google, непознати администраторски акаунти, нови PHP файлове или предупреждения от браузъра, хостинг доставчика или Google. Също така силно нараснало натоварване на сървъра или необичаен изходящ трафик могат да са сигнали.
Трябва ли да съобщя за хакерска атака?
Ако може да са засегнати лични данни, може да съществува задължение за уведомяване на надзорния орган в рамките на 72 часа. Дали това важи при Вас, изяснете с Вашето длъжностно лице по защита на данните или с адвокат.
Помага ли спешната помощ и когато сървърът е при хостинг доставчик?
Да. Работим с достъпа, с който разполагате, и при нужда се съгласуваме с Вашия хостинг доставчик. Какво можем да проверим, зависи от правата, които можете да ни дадете.