Εν συντομία: Αν ο ιστότοπός σας παραβιάστηκε, αυτή η λίστα ελέγχου βοηθά να μη ξεχάσετε τίποτα: πρώτα περιορισμός και διάσωση τεκμηρίων, έπειτα εύρεση της αιτίας και καθαρισμός, στη συνέχεια ανανέωση όλων των προσβάσεων, έλεγχος υποχρεώσεων και τεκμηριωμένη ολοκλήρωση του περιστατικού. Η σειρά είναι σημαντική, επειδή όποιος διαγράψει πρώτα χάνει ίχνη και όποιος καθαρίσει χωρίς να κλείσει την ευπάθεια δέχεται ξανά επίθεση.
Για ποιες περιπτώσεις ισχύει αυτή η λίστα ελέγχου όταν ο ιστότοπος παραβιάστηκε
Η λίστα ελέγχου απευθύνεται στη διοίκηση, στους ιδιοκτήτες και στους υπευθύνους IT μετά από μια επιβεβαιωμένη ή πιθανή επίθεση σε ιστότοπο, κατάστημα ή διακομιστή ιστού PHP. Ταιριάζει και μετά το PHP2Shell, αν ένας διακομιστής ήταν προσβάσιμος πριν από την ενημέρωση και υπάρχουν ενδείξεις παραβίασης.
Δεν ταιριάζει κάθε σημείο σε κάθε περιβάλλον. Περάστε παρ' όλα αυτά πλήρως από τη λίστα και σημειώστε σε κάθε σημείο αν έχει ολοκληρωθεί, δεν ισχύει ή παραμένει ανοιχτό. Αυτό το πρωτόκολλο είναι αργότερα πολύτιμο για την ασφάλιση, την προστασία δεδομένων και την εσωτερική αποτίμηση.
Καταχωρίστε για κάθε βήμα ημερομηνία, ώρα, υπεύθυνο πρόσωπο και αποτέλεσμα. Αν εμπλέκονται περισσότερα πρόσωπα, ορίστε ένα που θα τηρεί τη λίστα και θα καταγράφει αποφάσεις.
Φάση 1: Άμεσος περιορισμός και διάσωση
- Περιορισμός της ζημιάς: Θέστε τον ιστότοπο σε λειτουργία συντήρησης ή αποσυνδέστε τον από το δίκτυο, αν κινδυνεύουν επισκέπτες ή ενδέχεται να διαρρέουν δεδομένα. Το BSI (η γερμανική Ομοσπονδιακή Υπηρεσία Ασφάλειας Πληροφοριών) συνιστά στο PHP2Shell την προσωρινή απομάκρυνση των διακομιστών ιστού χωρίς patch από το δίκτυο, όταν η ενημέρωση δεν είναι άμεσα εφικτή.
- Μη διαγράφετε τίποτα: Μην αφαιρείτε αρχεία, μη στήνετε ξανά τον διακομιστή και μην αδειάζετε logs προτού διασωθούν τα ίχνη.
- Διάσωση logs: Αντιγράψτε τα logs access, error, PHP-FPM και συστήματος σε άλλο σύστημα και καταγράψτε αθροίσματα ελέγχου. Για το PHP2Shell ο ειδικός τύπος συνιστά τη διατήρηση των logs από τις 20.10.2026.
- Διάσωση ειδώλου: Δημιουργήστε ένα αντίγραφο αρχείων και βάσης δεδομένων, σε εικονικούς διακομιστές ένα snapshot, ως κατάσταση τεκμηρίων και μην το αλλάξετε.
- Ενημέρωση των υπευθύνων: Εμπλέξτε νωρίς τη διοίκηση, τον υπεύθυνο προστασίας δεδομένων, τον πάροχο φιλοξενίας και, αν υπάρχει, την ασφάλιση κυβερνοκινδύνων. Πολλές ασφαλίσεις έχουν υποχρεώσεις γνωστοποίησης.
Φάση 2: Εύρεση της αιτίας και καθαρισμός
- Εντοπισμός της εισόδου: Αναλύστε logs, αλλαγές αρχείων και εκδόσεις. Ελέγξτε την ίδια την PHP, το CMS, τα θέματα, τις επεκτάσεις, τα διαπιστευτήρια και τις υπηρεσίες διακομιστή. Χωρίς γνωστή αιτία παραμένει ο κίνδυνος νέας επίθεσης.
- Κλείσιμο της ευπάθειας: Φέρτε την PHP σε διορθωμένη έκδοση (8.5.12, 8.4.27, 8.3.36 ή 8.2.35 ή επιβεβαιωμένο backport του παρόχου), ενημερώστε το CMS και τις επεκτάσεις, επανεκκινήστε όλους τους workers PHP.
- Περιορισμός του χρονικού διαστήματος: Προσδιορίστε την πρώιμη χρονική στιγμή ύποπτης δραστηριότητας. Καθορίζει ποια backups μπορεί να είναι καθαρά και ποια δεδομένα μπορεί να επηρεάζονται.
- Αφαίρεση κερκόπορτων: Ελέγξτε και αφαιρέστε webshells, ξένα αρχεία PHP σε φακέλους upload και cache, τροποποιημένα αρχεία πυρήνα, cronjobs, κλειδιά SSH και υπηρεσίες συστήματος. Αντικαταστήστε τα αρχεία πυρήνα από καθαρή πηγή.
- Καθαρισμός βάσης δεδομένων: Αφαιρέστε άγνωστους λογαριασμούς διαχειριστή, scripts που έχουν εισαχθεί κρυφά σε περιεχόμενα και ρυθμίσεις, καθώς και περιεχόμενα spam.
- Εξέταση ανοικοδόμησης: Σε βαθιά παραβίαση του διακομιστή, η ανοικοδόμηση σε νέο, ενημερωμένο σύστημα με ελεγμένα δεδομένα είναι συχνά ο πιο αξιόπιστος δρόμος από έναν καθαρισμό στο σύστημα που εκτελείται.
Φάση 3: Ανανέωση προσβάσεων και θωράκιση
- Αλλαγή κωδικών: Για CMS, λογαριασμό φιλοξενίας, πάνελ, βάση δεδομένων, FTP, SFTP, SSH και email, και μάλιστα από μια καθαρή συσκευή.
- Αντικατάσταση κλειδιών και tokens: Δημιουργήστε ξανά κλειδιά API, διεπαφές πληρωμών και υπηρεσιών αποστολής, κλειδιά εφαρμογής του CMS, κλειδιά SSH και πιστοποιητικά που βρίσκονταν στον διακομιστή.
- Τερματισμός συνεδριών: Αποσυνδέστε όλες τις ενεργές συνδέσεις στο CMS και σε υπηρεσίες και ελέγξτε τις καταχωρισμένες συσκευές δύο παραγόντων.
- Ενεργοποίηση σύνδεσης δύο παραγόντων: Για όλες τις προσβάσεις διαχειριστών, συμπεριλαμβανομένων της φιλοξενίας, του domain και του DNS.
- Θωράκιση διακομιστή: Ελέγξτε και τεκμηριώστε τις ρυθμίσεις PHP, τα δικαιώματα αρχείων, τους αποκλεισμούς εκτέλεσης σε φακέλους upload, το firewall και τα security headers.
Φάση 4: Υποχρεώσεις, επικοινωνία και ολοκλήρωση
- Έλεγχος υποχρεώσεων γνωστοποίησης: Αν ενδέχεται να επηρεάζονται προσωπικά δεδομένα, μπορεί να είναι απαραίτητη μια γνωστοποίηση εντός 72 ωρών βάσει άρθρου 33 ΓΚΠΔ. Η αξιολόγηση ανήκει στον υπεύθυνο προστασίας δεδομένων ή σε δικηγόρο. Υποχρεώσεις ειδικές για τον κλάδο, π.χ. βάσει NIS2, ελέγχονται ξεχωριστά.
- Εξέταση καταγγελίας: Τα Zentrale Ansprechstellen Cybercrime (κεντρικά σημεία επαφής για το έγκλημα στον κυβερνοχώρο, Γερμανία) της αστυνομίας δέχονται καταγγελίες από επιχειρήσεις. Τα διασωσμένα logs αποτελούν γι' αυτό σημαντική βάση.
- Ενημέρωση πελατών και Google: Ενημερώστε αντικειμενικά και συντονισμένα όσους επηρεάζονται. Αν η Google εμφανίζει προειδοποίηση, ζητήστε μετά τον καθαρισμό τον επανέλεγχο, όπως περιγράφεται στη σελίδα Αφαίρεση προειδοποίησης Google.
- Τεκμηρίωση της ολοκλήρωσης και παρακολούθηση: Καταγράψτε σε μια έκθεση την αιτία, το χρονικό διάστημα, τα μέτρα και τα ανοιχτά σημεία, εξάγετε συμπεράσματα για το σχέδιο έκτακτης ανάγκης και παρακολουθήστε ενισχυμένα τα συστήματα τις επόμενες εβδομάδες.
Συχνά λάθη στη μεταγενέστερη διαχείριση
Πολλά περιστατικά παρατείνονται, επειδή στην πρώτη αναστάτωση γίνεται οικονομία στο λάθος σημείο ή ενεργείτε πολύ βιαστικά. Αυτά τα λάθη πρέπει να τα αποφύγετε:
- Αφαίρεση μόνο των ορατών: Μια διαγραμμένη σελίδα spam ή μια αφαιρεμένη ανακατεύθυνση δεν αποτελεί απόδειξη καθαρού ιστότοπου. Οι κερκόπορτες παραμένουν συχνά απαρατήρητες.
- Αλλαγή κωδικών από το επηρεαζόμενο σύστημα: Αν στον υπολογιστή ή στον διακομιστή εκτελείται ακόμη κακόβουλο λογισμικό, τα νέα διαπιστευτήρια μπορεί να διαρρεύσουν αμέσως ξανά.
- Τυφλή επαναφορά ενός backup: Χωρίς κλεισμένη ευπάθεια και χωρίς έλεγχο του backup, ο επιτιθέμενος βρίσκεται γρήγορα ξανά στην πόρτα.
- Το patch ως άρση συναγερμού: Μια ενημέρωση σε διορθωμένη έκδοση PHP δεν αποδεικνύει ότι δεν συνέβη τίποτα πριν και δεν αφαιρεί κακόβουλο λογισμικό που έχει εισαχθεί.
- Αργός έλεγχος υποχρεώσεων: Οι προθεσμίες ξεκινούν με τη στιγμή που γίνεται γνωστό το περιστατικό και όχι με το τέλος του καθαρισμού.
- Καμία τεκμηρίωση: Χωρίς πρωτόκολλο, ερωτήματα της ασφάλισης, των αρχών ή των πελατών δύσκολα απαντώνται αργότερα.
Αυτή η λίστα ελέγχου δεν αντικαθιστά νομική συμβουλή. Για ερωτήματα σχετικά με υποχρεώσεις γνωστοποίησης, ευθύνη ή ασφάλιση, απευθυνθείτε στον υπεύθυνο προστασίας δεδομένων, σε δικηγόρο ή στον ασφαλιστή σας.
Πώς βοηθά συγκεκριμένα η PHP SOS;
- Αναλαμβάνουμε τη δομημένη αντιμετώπιση περιστατικών (Incident Response) και ακολουθούμε τη λίστα ελέγχου μαζί σας, σημείο προς σημείο, με πρωτόκολλο.
- Διασώζουμε logs και καταστάσεις συστήματος έτσι ώστε να παραμένουν αξιοποιήσιμα για την ασφάλιση, τις αρχές και μια πιθανή εγκληματολογική ανάλυση IT.
- Κλείνουμε την ευπάθεια, καθαρίζουμε ή ανοικοδομούμε και ανανεώνουμε τις προσβάσεις με τη σωστή σειρά.
- Παραδίδουμε μια τελική έκθεση με αιτία, μέτρα και συστάσεις και παρακολουθούμε στη συνέχεια τα συστήματα, κατόπιν αιτήματος.
Συχνές ερωτήσεις
Ποιο είναι το πρώτο πράγμα που πρέπει να κάνω αν ο ιστότοπός μου παραβιάστηκε;
Διατηρήστε την ψυχραιμία σας, μη διαγράψετε τίποτα και περιορίστε τη ζημιά. Αποσυνδέστε τον ιστότοπο από το δίκτυο ή θέστε τον σε λειτουργία συντήρησης, αν χρειάζεται, και διασώστε logs και αρχεία προτού καθαρίσετε. Ακολουθούν η αναζήτηση της αιτίας και ο καθαρισμός.
Αρκεί να επαναφέρω τον ιστότοπο από ένα backup;
Συνήθως όχι. Το backup μπορεί να περιέχει ήδη κακόβουλο κώδικα και η ευπάθεια από την οποία μπήκε ο επιτιθέμενος παραμένει ανοιχτή μετά την επαναφορά. Πρώτα κλείστε την αιτία, έπειτα εφαρμόστε μια ελεγμένη, καθαρή κατάσταση σε ενημερωμένο σύστημα.
Πρέπει να γνωστοποιήσω ένα hack στην αρχή προστασίας δεδομένων;
Αν ενδέχεται να επηρεάζονται προσωπικά δεδομένα, το άρθρο 33 ΓΚΠΔ προβλέπει κατ' αρχήν γνωστοποίηση εντός 72 ωρών από τη στιγμή που γίνεται γνωστό, εφόσον ο κίνδυνος για τα πρόσωπα που επηρεάζονται δεν είναι απίθανος. Η αξιολόγηση ανήκει στον υπεύθυνο προστασίας δεδομένων ή σε δικηγόρο.
Πότε έχει πράγματι ολοκληρωθεί ένα περιστατικό;
Όταν η αιτία έχει κλείσει, όλες οι γνωστές κερκόπορτες έχουν αφαιρεθεί, οι προσβάσεις έχουν ανανεωθεί, οι υποχρεώσεις έχουν εκπληρωθεί και τα μέτρα έχουν τεκμηριωθεί. Ανήκει σε αυτό και μια περίοδος ενισχυμένης παρακολούθησης μετά, για τον εντοπισμό ιχνών που παραβλέφθηκαν.