Pe scurt: Dacă site-ul dumneavoastră a fost hackuit, întrebarea cea mai importantă este „ce faci fără să distrugi urmele?”. Preluăm la distanță izolarea, salvăm logurile și fișierele, eliminăm codul malițios, închidem ușa de intrare și documentăm totul. Dumneavoastră păstrați deciziile, noi livrăm faptele tehnice.
Site hackuit: ce faci în prima oră?
Primii pași decid dacă incidentul poate fi elucidat curat mai târziu. Calmul este mai important decât viteza cu orice preț. Aceste puncte le puteți rezolva imediat chiar dumneavoastră:
- Nu ștergeți nimic: nu eliminați fișiere, nu reinstalați peste vechea stare, nu restaurați un backup înainte de a salva.
- Izolați: treceți site-ul în modul de mentenanță sau scoateți-l temporar din rețea dacă vizitatorii sunt în pericol sau dacă datele ar putea fi exfiltrate.
- Păstrați logurile: rugați furnizorul de hosting să nu suprascrie jurnalele de acces și de erori. În cazul PHP2Shell, presa de specialitate recomandă păstrarea logurilor serverului începând cu 20.10.2026.
- Notați accesurile: cine are accesuri de administrator, FTP, SSH și la panou? Schimbați parolele abia după înțelegere, și anume de pe un dispozitiv curat.
- Informați persoanele implicate: conducerea, responsabilul cu protecția datelor și, dacă există o poliță, asigurătorul.
Porniți de la premisa că un atacator cu acces la serverul web a putut citi și date de acces din fișierele de configurare. Accesurile la baza de date, la e-mail și la API fac, de aceea, parte din lista secretelor de schimbat.
Ce semne indică o compromitere descrie pagina Am fost deja compromis?.
Cum ajută PHP SOS concret?
- Imagine de situație: Clarificăm cu dumneavoastră ce a fost observat, ce sisteme ar putea fi afectate și ce date se află acolo. Din aceasta rezultă o scurtă evaluare cu pașii următori.
- Salvare și izolare: Salvăm fișierele, baza de date și logurile înainte de a modifica ceva. Apoi izolăm atacul, de exemplu prin blocarea accesurilor suspecte, oprirea funcțiilor infectate sau izolarea temporară.
- Găsirea și închiderea punctului de intrare: Verificăm versiunea PHP și starea patchului, CMS-ul, extensiile și accesurile. Dacă intrarea prin PHP2Shell este probabilă, aplicăm patchul și repornim toate procesele PHP.
- Curățare și refacere: Webshell-urile, ușile dosnice și fișierele manipulate sunt eliminate sau starea este reconstruită din surse de încredere. Detalii găsiți la Eliminarea malware-ului și a webshell-urilor.
- Încheiere și raport: Primiți o documentare a incidentului și recomandări pentru securizare. Dacă este necesară o elucidare cu valoare în fața instanței, implicăm parteneri specializați în criminalistică.
Ce primiți de la noi
- o cronologie a incidentului, în măsura în care poate fi dovedită din urme
- o listă a componentelor malițioase găsite și eliminate
- descrierea punctului probabil de intrare, separată clar în dovedit, probabil și necunoscut
- o listă a tuturor accesurilor și secretelor schimbate
- recomandări despre ce ar trebui securizat permanent
Raportul ajută în discuțiile cu responsabilul cu protecția datelor, cu asigurătorul și, după caz, cu poliția. Pentru încadrarea juridică, de exemplu obligația de notificare conform RGPD în termen de 72 de ore, nu înlocuiește consultanța din partea specialiștilor.
De ce avem nevoie de la dumneavoastră
- Accesuri: la server (SSH sau panou), la backendul CMS și la baza de date, alternativ permisiunea de a vorbi direct cu furnizorul dumneavoastră de hosting
- Interlocutor: o persoană disponibilă, cu putere de decizie pentru oprire, reporniri și schimbarea parolelor
- Informații: de când se observă problema, ce modificări au existat în ultima vreme, cine a avut acces
- Backupuri: unde se află salvările și cât de vechi sunt
- Contact cu furnizorii de servicii: agenția, dezvoltatorul sau furnizorul de hosting care cunosc sistemul
Ce nu promitem
Nu putem promite că orice atac poate fi reconstituit complet. Dacă logurile lipsesc sau au fost deja suprascrise, rămân lacune, iar pe acestea le menționăm deschis. Nu promitem nici că o pagină curățată rămâne sigură pentru totdeauna. Lucrăm la incident până când este încheiat și documentat și vă spunem ce mai este de făcut după aceea.
Nu oferim consultanță juridică. Întrebările despre obligații de notificare, răspundere sau acoperirea asigurării aparțin responsabilului cu protecția datelor, avocatului și asigurătorului. Pentru o parcurgere structurată după incident ajută lista noastră de verificare după un hack.
Când este necesară o tratare mai amplă a incidentului
Unele incidente depășesc un singur site: mai multe servere, date ale clienților exfiltrate, extorcare sau un atacator care se deplasează mai departe prin rețea. Atunci trecem la o Incident Response structurată, cu roluri fixe, ședințe de situație și comunicare coordonată. Trecerea o discutăm cu dumneavoastră de îndată ce se conturează.
Și după un incident mai mic merită o privire înainte. Un site curățat, fără securizare, actualizări și supraveghere, rămâne o țintă la îndemână, pentru că atacatorii își verifică adesea din nou victimele cunoscute. Este util, de aceea, ca după încheiere să se stabilească cine răspunde pe viitor de actualizări, backupuri și control. Adesea incidentul arată exact acolo o lacună: nimeni nu se simțea responsabil sau accesurile se aflau la un furnizor de servicii care nu mai era de găsit. Aceste întrebări le clarificăm cu dumneavoastră în discuția finală, pentru ca din incident să rezulte o funcționare mai bună.
Întrebări frecvente
Ar trebui să șterg imediat site-ul hackuit și să-l reinstalez?
Vă rugăm, nu pripit. Cine șterge totul distruge urmele care arată cum a pătruns atacatorul și dacă datele au fost exfiltrate. Este mai bine să scoateți pagina din rețea sau să o izolați și să salvați mai întâi.
Cum recunosc că site-ul meu a fost hackuit?
Semne tipice sunt redirecționările străine, paginile spam din indexul Google, conturile de administrator necunoscute, fișierele PHP noi sau avertismentele din partea browserului, a furnizorului de hosting ori a Google. Și o încărcare a serverului puternic crescută sau un trafic neobișnuit spre exterior pot fi indicii.
Trebuie să notific un atac informatic?
Dacă ar putea fi afectate date cu caracter personal, poate exista o obligație de notificare către autoritatea de supraveghere în termen de 72 de ore. Dacă este cazul la dumneavoastră, clarificați, vă rugăm, cu responsabilul dumneavoastră cu protecția datelor sau cu un avocat.
Ajută asistența de urgență și dacă serverul se află la furnizorul de hosting?
Da. Lucrăm cu accesul pe care îl aveți și ne coordonăm la nevoie cu furnizorul dumneavoastră de hosting. Ce putem verifica depinde de drepturile pe care ni le puteți acorda.