Röviden: Ha feltörték a weboldalát, a legfontosabb kérdés: „mit tegyek úgy, hogy ne semmisítsem meg a nyomokat?“. Távolról átvesszük a megfékezést, mentjük a naplókat és a fájlokat, eltávolítjuk a kártékony kódot, lezárjuk a behatolási pontot, és mindent dokumentálunk. A döntések Önnél maradnak, mi a technikai tényeket szolgáltatjuk.
Feltörték a weboldalt: mit tegyek az első órában?
Az első lépések döntik el, hogy az incidens később tisztán kivizsgálható-e. A nyugalom fontosabb, mint a mindenáron való sietség. Ezeket a pontokat azonnal maga is elvégezheti:
- Ne töröljön semmit: ne távolítson el fájlokat, ne telepítsen újra a régi állapot fölé, és ne állítson vissza mentést, amíg nem készült biztonsági mentés az aktuális állapotról.
- Zárja el: kapcsolja az oldalt karbantartási módba, vagy vegye ideiglenesen le a hálózatról, ha a látogatók veszélyben lehetnek, vagy adatok szivároghatnak ki.
- Őrizze meg a naplókat: kérje meg a tárhelyszolgáltatót, hogy a hozzáférési és hibanaplókat ne írja felül. A PHP2Shell esetében a szakmai sajtó azt tanácsolja, hogy a szervernaplókat 2026. 10. 20-tól őrizzék meg.
- Jegyezze fel a hozzáféréseket: kinek van rendszergazdai, FTP-, SSH- és panel-hozzáférése? A jelszavakat csak egyeztetés után módosítsa, mégpedig egy tiszta eszközről.
- Értesítse az érintetteket: a vezetést, az adatvédelmi felelősöket, és meglévő biztosítás esetén a biztosítót.
Számoljon azzal, hogy a webszerverhez hozzáférő támadó a konfigurációs fájlokból hozzáférési adatokat is olvashatott. Az adatbázis-, levelezési és API-hozzáférések ezért rákerülnek a megváltoztatandó titkok listájára.
Hogy mely jelek utalnak feltörésre, azt a Már feltörték a rendszeremet? oldal írja le.
Hogyan segít konkrétan a PHP SOS?
- Helyzetkép: Tisztázzuk Önnel, mit észleltek, mely rendszerek lehetnek érintettek, és milyen adatok vannak rajtuk. Ebből rövid értékelés készül a következő lépésekkel.
- Mentés és megfékezés: Mentjük a fájlokat, az adatbázist és a naplókat, mielőtt bármi megváltozna. Ezután megfékezzük a támadást, például gyanús hozzáférések zárolásával, megtámadott funkciók kikapcsolásával vagy átmeneti elzárással.
- A behatolási pont megtalálása és lezárása: Ellenőrizzük a PHP-verziót és a javítási állapotot, a CMS-t, a bővítményeket és a hozzáféréseket. Ha a belépés a PHP2Shell-en keresztül valószínű, javítunk és újraindítjuk az összes PHP-folyamatot.
- Tisztítás és helyreállítás: A webshelleket, hátsó ajtókat és manipulált fájlokat eltávolítjuk, vagy az állapotot megbízható forrásokból építjük újra. A részletek a Kártevők és webshellek eltávolíttatása oldalon vannak.
- Lezárás és jelentés: Dokumentációt kap az incidensről és javaslatokat a keményítésre. Ha bíróság előtt is megálló kivizsgálás szükséges, forenzikára szakosodott partnereket vonunk be.
Mit kap tőlünk
- az incidens idővonala, amennyire a nyomok alapján igazolható
- a megtalált és eltávolított kártékony összetevők listája
- a valószínű behatolási pont leírása, egyértelműen megkülönböztetve a bizonyítottat, a valószínűt és az ismeretlent
- az összes megváltoztatott hozzáférés és titok listája
- javaslatok arra, mit kell tartósan biztosítani
A jelentés segít az adatvédelmi felelősökkel, a biztosítóval és adott esetben a rendőrséggel folytatott beszélgetésekben. A jogi besorolást, például a 72 órán belüli GDPR szerinti bejelentési kötelezettséget nem helyettesíti szakemberek tanácsadása. Ez nem jogi tanácsadás.
Mire van szükségünk Öntől
- Hozzáférések: a szerverhez (SSH vagy panel), a CMS-háttérrendszerhez és az adatbázishoz, vagy alternatívaként engedély arra, hogy közvetlenül beszéljünk a tárhelyszolgáltatójával
- Kapcsolattartó: egy elérhető személy döntési jogkörrel a lekapcsolásról, újraindításról és jelszócseréről
- Információk: mióta feltűnő a probléma, milyen változtatások történtek utoljára, kinek volt hozzáférése
- Mentések: hol vannak a mentések, és milyen régiek
- Kapcsolat a szolgáltatókkal: az ügynökség, a fejlesztő vagy a tárhelyszolgáltató, akik ismerik a rendszert
Amit nem ígérünk
Nem ígérhetjük, hogy minden támadás teljesen rekonstruálható. Ha hiányoznak a naplók, vagy már felülírták őket, hézagok maradnak, és ezeket nyíltan megnevezzük. Azt sem ígérjük, hogy egy megtisztított oldal örökre biztonságos marad. Addig dolgozunk az incidensen, amíg le nem zárul és dokumentálva nincs, és megmondjuk, mi a teendő utána.
Jogi tanácsadást nem nyújtunk. A bejelentési kötelezettségekkel, felelősséggel vagy biztosítási fedezettel kapcsolatos kérdések az adatvédelmi felelősre, az ügyvédre és a biztosítóra tartoznak. Az incidens utáni strukturált munkához segít a Feltörés utáni ellenőrzőlista.
Mikor szükséges nagyobb incidenskezelés
Egyes incidensek túlmutatnak egyetlen weboldalon: több szerver, kiszivárgott ügyféladatok, zsarolás, vagy egy támadó, aki a hálózatban tovább halad. Ilyenkor áttérünk egy strukturált Incident Response folyamatra rögzített szerepekkel, helyzetmegbeszélésekkel és összehangolt kommunikációval. Az átmenetet megbeszéljük Önnel, amint kirajzolódik.
Egy kisebb incidens után is érdemes előre tekinteni. Egy megtisztított weboldal keményítés, frissítések és felügyelet nélkül kézenfekvő célpont marad, mert a támadók az ismert áldozatokat gyakran újra ellenőrzik. Ezért érdemes a lezárás után meghatározni, ki felel a jövőben a frissítésekért, a mentésekért és az ellenőrzésért. Az incidens gyakran éppen itt mutat hiányosságot: senki sem érezte magát felelősnek, vagy a hozzáférések egy olyan szolgáltatónál voltak, aki már nem volt elérhető. Ezeket a kérdéseket a záró megbeszélésen tisztázzuk Önnel, hogy az incidensből jobb üzemeltetés legyen.
Gyakori kérdések
Töröljem azonnal a feltört weboldalt, és állítsam fel újra?
Kérjük, ne kapkodjon. Aki mindent töröl, megsemmisíti azokat a nyomokat, amelyek megmutatják, hogyan jutott be a támadó, és hogy szivárogtak-e ki adatok. Jobb az oldalt levenni a hálózatról vagy elzárni, és először mentést készíteni.
Miből veszem észre, hogy feltörték a weboldalamat?
Tipikus jelek az idegen átirányítások, a spam-oldalak a Google indexében, az ismeretlen rendszergazdai fiókok, az új PHP-fájlok, valamint a böngésző, a tárhelyszolgáltató vagy a Google figyelmeztetései. A feltűnően megnövekedett szerverterhelés vagy a szokatlan kimenő adatforgalom is utalhat erre.
Be kell jelentenem egy hackertámadást?
Ha személyes adatok érintettek lehetnek, a felügyeleti hatóság felé 72 órán belüli bejelentési kötelezettség állhat fenn. Hogy ez Önre vonatkozik-e, azt kérjük, tisztázza az adatvédelmi felelőssel vagy egy ügyvéddel.
Segít a vészhelyzeti segítség akkor is, ha a szerver a tárhelyszolgáltatónál van?
Igen. Azzal a hozzáféréssel dolgozunk, amellyel Ön rendelkezik, és szükség esetén egyeztetünk a tárhelyszolgáltatóval. Hogy mit tudunk ellenőrizni, az attól függ, milyen jogokat tud nekünk adni.