# Strona zhakowana, co robić? Zdalna pomoc awaryjna > Strona zhakowana? Zabezpieczamy ślady, powstrzymujemy atak, czyścimy serwer i dokumentujemy incydent. Zdalna pomoc awaryjna dla firm w całej Europie. Źródło: https://phpsos.de/pl/leistungen/website-gehackt-notfallhilfe/ Stan: 25.10.2026 Dostawca: PHP SOS, Pomoc awaryjna PHP i bezpieczeństwo serwerów. Natychmiastowa pomoc przez WhatsApp: https://wa.me/491736494914?text=Dzie%C5%84%20dobry%2C%20PHP%20SOS%2C%20potrzebujemy%20pomocy%20z%20naszym%20serwerem%20PHP.%20Firma%3A%20%E2%80%A6%20Strona%20internetowa%3A%20%E2%80%A6 **Krótko:** Jeśli Państwa strona została zhakowana, najważniejsze pytanie brzmi: „co robić, nie niszcząc śladów?”. Przejmujemy zdalnie powstrzymanie ataku, zabezpieczamy logi i pliki, usuwamy złośliwy kod, zamykamy drogę włamania i dokumentujemy całość. Decyzje pozostają po Państwa stronie, my dostarczamy fakty techniczne. ## Strona zhakowana: co robić w pierwszej godzinie? Pierwsze kroki decydują o tym, czy incydent da się później rzetelnie wyjaśnić. Spokój jest ważniejszy niż tempo za wszelką cenę. Te punkty mogą Państwo wykonać sami od razu: - **Niczego nie usuwać:** nie kasować plików, nie instalować od nowa na starym stanie, nie przywracać kopii zapasowej, zanim nie wykonano kopii zabezpieczającej. - **Odizolować:** przełączyć stronę w tryb konserwacji lub czasowo odłączyć od sieci, jeśli zagrożeni są odwiedzający lub mogą wyciekać dane. - **Zachować logi:** poprosić dostawcę hostingu, aby nie nadpisywał dzienników dostępu i błędów. Przy PHP2Shell prasa branżowa radzi zachować logi serwera od 20.10.2026. - **Zanotować dostępy:** kto ma dostęp administratora, FTP, SSH i do panelu? Hasła zmieniać dopiero po uzgodnieniu, i to z czystego urządzenia. - **Poinformować zaangażowanych:** zarząd, inspektora ochrony danych, a przy istniejącej polisie także ubezpieczyciela. > **Działać natychmiast:** > Należy zakładać, że atakujący z dostępem do serwera WWW mógł odczytać również dane dostępowe z plików konfiguracyjnych. Dostępy do bazy danych, poczty i API powinny więc znaleźć się na liście sekretów do zmiany. Jakie oznaki wskazują na naruszenie, opisuje strona [Czy już doszło do naruszenia?](https://phpsos.de/pl/php2shell/bin-ich-gehackt-anzeichen/). ## Jak konkretnie pomaga PHP SOS? 1. **Obraz sytuacji:** Ustalamy z Państwem, co zaobserwowano, które systemy mogą być dotknięte i jakie dane się na nich znajdują. Powstaje z tego krótka ocena z kolejnymi krokami. 2. **Zabezpieczenie i powstrzymanie:** Zabezpieczamy pliki, bazę danych i logi, zanim cokolwiek zostanie zmienione. Następnie powstrzymujemy atak, na przykład przez zablokowanie podejrzanych dostępów, wyłączenie zainfekowanych funkcji lub czasowe odizolowanie. 3. **Znalezienie i zamknięcie drogi włamania:** Sprawdzamy wersję PHP i stan poprawek, CMS, rozszerzenia i dostępy. Jeśli włamanie przez PHP2Shell jest prawdopodobne, instalujemy poprawkę i restartujemy wszystkie procesy PHP. 4. **Oczyszczenie i przywrócenie:** Webshelle, tylne furtki i zmanipulowane pliki są usuwane albo stan jest odbudowywany z zaufanych źródeł. Szczegóły znajdą Państwo na stronie [Usuwanie złośliwego oprogramowania i webshelli](https://phpsos.de/pl/leistungen/malware-entfernung/). 5. **Zamknięcie i raport:** Otrzymują Państwo dokumentację incydentu i zalecenia dotyczące utwardzania. Jeśli potrzebne jest wyjaśnienie nadające się do sądu, angażujemy wyspecjalizowanych partnerów od informatyki śledczej. ## Co od nas otrzymują Państwo - oś czasu incydentu w zakresie, w jakim można ją udowodnić na podstawie śladów - listę znalezionych i usuniętych komponentów szkodliwych - opis prawdopodobnej drogi włamania, wyraźnie podzielony na udowodnione, prawdopodobne i nieznane - listę wszystkich zmienionych dostępów i sekretów - zalecenia, co należy zabezpieczyć na stałe Raport pomaga w rozmowach z inspektorem ochrony danych, ubezpieczycielem i w razie potrzeby policją. Przy ocenie prawnej, na przykład [obowiązku zgłoszenia na podstawie RODO w ciągu 72 godzin](https://phpsos.de/pl/compliance/dsgvo-meldepflicht-72-stunden/), nie zastępuje porady specjalistów. ## Czego potrzebujemy od Państwa - **Dostępy:** do serwera (SSH lub panel), do backendu CMS i do bazy danych, ewentualnie zgoda na bezpośrednią rozmowę z Państwa dostawcą hostingu - **Osoba kontaktowa:** osiągalna osoba uprawniona do decyzji o wyłączeniu, restartach i zmianie haseł - **Informacje:** od kiedy zauważono problem, jakie zmiany wprowadzono ostatnio, kto miał dostęp - **Kopie zapasowe:** gdzie znajdują się kopie i jak są stare - **Kontakt z usługodawcami:** agencja, programista lub dostawca hostingu, którzy znają system ## Czego nie obiecujemy Nie możemy obiecać, że każdy atak da się w pełni zrekonstruować. Jeśli brakuje logów lub zostały już nadpisane, pozostają luki, o czym mówimy otwarcie. Nie obiecujemy też, że oczyszczona strona pozostanie bezpieczna na zawsze. Pracujemy nad incydentem, aż zostanie zamknięty i udokumentowany, i mówimy Państwu, co trzeba zrobić potem. Nie świadczymy porad prawnych. Pytania o obowiązki zgłoszeniowe, odpowiedzialność lub ochronę ubezpieczeniową należą do inspektora ochrony danych, prawnika i ubezpieczyciela. Do uporządkowanego działania po incydencie pomaga nasza [lista kontrolna po włamaniu](https://phpsos.de/pl/ratgeber/checkliste-nach-dem-hack/). ## Kiedy potrzebna jest szersza obsługa incydentu Niektóre incydenty wykraczają poza pojedynczą stronę: kilka serwerów, wyciek danych klientów, szantaż lub atakujący przemieszczający się po sieci. Wtedy przechodzimy do uporządkowanego [reagowania na incydenty](https://phpsos.de/pl/leistungen/incident-response/) ze stałymi rolami, odprawami dotyczącymi sytuacji i uzgodnioną komunikacją. Przejście omawiamy z Państwem, gdy tylko się zarysuje. Także po mniejszym incydencie warto spojrzeć w przyszłość. Oczyszczona strona bez utwardzenia, aktualizacji i monitorowania pozostaje oczywistym celem, ponieważ atakujący często ponownie sprawdzają znane ofiary. Dlatego warto po zamknięciu sprawy ustalić, kto w przyszłości odpowiada za aktualizacje, kopie zapasowe i kontrolę. Często incydent pokazuje właśnie tam lukę: nikt nie czuł się odpowiedzialny albo dostępy były u usługodawcy, który nie był już osiągalny. Te kwestie wyjaśniamy z Państwem w rozmowie końcowej, aby z incydentu wyniknęła lepsza eksploatacja. ## Częste pytania **Czy powinienem od razu usunąć zhakowaną stronę i postawić ją od nowa?** Proszę nie robić tego pochopnie. Kto usunie wszystko, niszczy ślady, które pokazują, jak atakujący się dostał i czy dane wyciekły. Lepiej odłączyć stronę od sieci lub odizolować ją i najpierw wykonać kopię zabezpieczającą. **Po czym poznam, że moja strona została zhakowana?** Typowe oznaki to obce przekierowania, strony ze spamem w indeksie Google, nieznane konta administratorów, nowe pliki PHP albo ostrzeżenia od przeglądarki, dostawcy hostingu lub Google. Wskazówką może być także silnie wzrosłe obciążenie serwera lub nietypowy ruch wychodzący. **Czy muszę zgłosić atak hakerski?** Jeśli mogły zostać naruszone dane osobowe, może istnieć obowiązek zgłoszenia organowi nadzorczemu w ciągu 72 godzin. Czy dotyczy to Państwa, proszę wyjaśnić z inspektorem ochrony danych lub prawnikiem. **Czy pomoc awaryjna działa także wtedy, gdy serwer znajduje się u dostawcy hostingu?** Tak. Pracujemy z dostępem, który Państwo mają, i w razie potrzeby uzgadniamy działania z Państwa dostawcą hostingu. To, co możemy sprawdzić, zależy od uprawnień, które możecie nam Państwo przyznać. ## Źródła - [BSI: Federalny Urząd ds. Bezpieczeństwa Informacji (Niemcy)](https://www.bsi.bund.de/) - [RODO art. 33: zgłoszenie do organu nadzorczego](https://dsgvo-gesetz.de/art-33-dsgvo/) - [Pomoc Google Search Console](https://support.google.com/webmasters/) - [Policja: centralne punkty kontaktowe ds. cyberprzestępczości (Niemcy)](https://www.polizei.de/)