Krótko: Jeśli Państwa strona została zhakowana, najważniejsze pytanie brzmi: „co robić, nie niszcząc śladów?”. Przejmujemy zdalnie powstrzymanie ataku, zabezpieczamy logi i pliki, usuwamy złośliwy kod, zamykamy drogę włamania i dokumentujemy całość. Decyzje pozostają po Państwa stronie, my dostarczamy fakty techniczne.
Strona zhakowana: co robić w pierwszej godzinie?
Pierwsze kroki decydują o tym, czy incydent da się później rzetelnie wyjaśnić. Spokój jest ważniejszy niż tempo za wszelką cenę. Te punkty mogą Państwo wykonać sami od razu:
- Niczego nie usuwać: nie kasować plików, nie instalować od nowa na starym stanie, nie przywracać kopii zapasowej, zanim nie wykonano kopii zabezpieczającej.
- Odizolować: przełączyć stronę w tryb konserwacji lub czasowo odłączyć od sieci, jeśli zagrożeni są odwiedzający lub mogą wyciekać dane.
- Zachować logi: poprosić dostawcę hostingu, aby nie nadpisywał dzienników dostępu i błędów. Przy PHP2Shell prasa branżowa radzi zachować logi serwera od 20.10.2026.
- Zanotować dostępy: kto ma dostęp administratora, FTP, SSH i do panelu? Hasła zmieniać dopiero po uzgodnieniu, i to z czystego urządzenia.
- Poinformować zaangażowanych: zarząd, inspektora ochrony danych, a przy istniejącej polisie także ubezpieczyciela.
Należy zakładać, że atakujący z dostępem do serwera WWW mógł odczytać również dane dostępowe z plików konfiguracyjnych. Dostępy do bazy danych, poczty i API powinny więc znaleźć się na liście sekretów do zmiany.
Jakie oznaki wskazują na naruszenie, opisuje strona Czy już doszło do naruszenia?.
Jak konkretnie pomaga PHP SOS?
- Obraz sytuacji: Ustalamy z Państwem, co zaobserwowano, które systemy mogą być dotknięte i jakie dane się na nich znajdują. Powstaje z tego krótka ocena z kolejnymi krokami.
- Zabezpieczenie i powstrzymanie: Zabezpieczamy pliki, bazę danych i logi, zanim cokolwiek zostanie zmienione. Następnie powstrzymujemy atak, na przykład przez zablokowanie podejrzanych dostępów, wyłączenie zainfekowanych funkcji lub czasowe odizolowanie.
- Znalezienie i zamknięcie drogi włamania: Sprawdzamy wersję PHP i stan poprawek, CMS, rozszerzenia i dostępy. Jeśli włamanie przez PHP2Shell jest prawdopodobne, instalujemy poprawkę i restartujemy wszystkie procesy PHP.
- Oczyszczenie i przywrócenie: Webshelle, tylne furtki i zmanipulowane pliki są usuwane albo stan jest odbudowywany z zaufanych źródeł. Szczegóły znajdą Państwo na stronie Usuwanie złośliwego oprogramowania i webshelli.
- Zamknięcie i raport: Otrzymują Państwo dokumentację incydentu i zalecenia dotyczące utwardzania. Jeśli potrzebne jest wyjaśnienie nadające się do sądu, angażujemy wyspecjalizowanych partnerów od informatyki śledczej.
Co od nas otrzymują Państwo
- oś czasu incydentu w zakresie, w jakim można ją udowodnić na podstawie śladów
- listę znalezionych i usuniętych komponentów szkodliwych
- opis prawdopodobnej drogi włamania, wyraźnie podzielony na udowodnione, prawdopodobne i nieznane
- listę wszystkich zmienionych dostępów i sekretów
- zalecenia, co należy zabezpieczyć na stałe
Raport pomaga w rozmowach z inspektorem ochrony danych, ubezpieczycielem i w razie potrzeby policją. Przy ocenie prawnej, na przykład obowiązku zgłoszenia na podstawie RODO w ciągu 72 godzin, nie zastępuje porady specjalistów.
Czego potrzebujemy od Państwa
- Dostępy: do serwera (SSH lub panel), do backendu CMS i do bazy danych, ewentualnie zgoda na bezpośrednią rozmowę z Państwa dostawcą hostingu
- Osoba kontaktowa: osiągalna osoba uprawniona do decyzji o wyłączeniu, restartach i zmianie haseł
- Informacje: od kiedy zauważono problem, jakie zmiany wprowadzono ostatnio, kto miał dostęp
- Kopie zapasowe: gdzie znajdują się kopie i jak są stare
- Kontakt z usługodawcami: agencja, programista lub dostawca hostingu, którzy znają system
Czego nie obiecujemy
Nie możemy obiecać, że każdy atak da się w pełni zrekonstruować. Jeśli brakuje logów lub zostały już nadpisane, pozostają luki, o czym mówimy otwarcie. Nie obiecujemy też, że oczyszczona strona pozostanie bezpieczna na zawsze. Pracujemy nad incydentem, aż zostanie zamknięty i udokumentowany, i mówimy Państwu, co trzeba zrobić potem.
Nie świadczymy porad prawnych. Pytania o obowiązki zgłoszeniowe, odpowiedzialność lub ochronę ubezpieczeniową należą do inspektora ochrony danych, prawnika i ubezpieczyciela. Do uporządkowanego działania po incydencie pomaga nasza lista kontrolna po włamaniu.
Kiedy potrzebna jest szersza obsługa incydentu
Niektóre incydenty wykraczają poza pojedynczą stronę: kilka serwerów, wyciek danych klientów, szantaż lub atakujący przemieszczający się po sieci. Wtedy przechodzimy do uporządkowanego reagowania na incydenty ze stałymi rolami, odprawami dotyczącymi sytuacji i uzgodnioną komunikacją. Przejście omawiamy z Państwem, gdy tylko się zarysuje.
Także po mniejszym incydencie warto spojrzeć w przyszłość. Oczyszczona strona bez utwardzenia, aktualizacji i monitorowania pozostaje oczywistym celem, ponieważ atakujący często ponownie sprawdzają znane ofiary. Dlatego warto po zamknięciu sprawy ustalić, kto w przyszłości odpowiada za aktualizacje, kopie zapasowe i kontrolę. Często incydent pokazuje właśnie tam lukę: nikt nie czuł się odpowiedzialny albo dostępy były u usługodawcy, który nie był już osiągalny. Te kwestie wyjaśniamy z Państwem w rozmowie końcowej, aby z incydentu wyniknęła lepsza eksploatacja.
Częste pytania
Czy powinienem od razu usunąć zhakowaną stronę i postawić ją od nowa?
Proszę nie robić tego pochopnie. Kto usunie wszystko, niszczy ślady, które pokazują, jak atakujący się dostał i czy dane wyciekły. Lepiej odłączyć stronę od sieci lub odizolować ją i najpierw wykonać kopię zabezpieczającą.
Po czym poznam, że moja strona została zhakowana?
Typowe oznaki to obce przekierowania, strony ze spamem w indeksie Google, nieznane konta administratorów, nowe pliki PHP albo ostrzeżenia od przeglądarki, dostawcy hostingu lub Google. Wskazówką może być także silnie wzrosłe obciążenie serwera lub nietypowy ruch wychodzący.
Czy muszę zgłosić atak hakerski?
Jeśli mogły zostać naruszone dane osobowe, może istnieć obowiązek zgłoszenia organowi nadzorczemu w ciągu 72 godzin. Czy dotyczy to Państwa, proszę wyjaśnić z inspektorem ochrony danych lub prawnikiem.
Czy pomoc awaryjna działa także wtedy, gdy serwer znajduje się u dostawcy hostingu?
Tak. Pracujemy z dostępem, który Państwo mają, i w razie potrzeby uzgadniamy działania z Państwa dostawcą hostingu. To, co możemy sprawdzić, zależy od uprawnień, które możecie nam Państwo przyznać.