Pe scurt: Dacă site-ul dumneavoastră a fost hackuit, această listă de verificare vă ajută să nu uitați nimic: mai întâi circumscrieți și salvați probele, apoi găsiți cauza și curățați, după aceea reînnoiți toate accesurile, verificați obligațiile și închideți incidentul documentat. Ordinea este importantă, deoarece cine șterge primul pierde urmele, iar cine curăță fără să închidă vulnerabilitatea este atacat din nou.
Pentru ce se aplică această listă de verificare, dacă site-ul a fost hackuit
Lista se adresează conducerii, proprietarilor și responsabililor IT după un atac confirmat sau probabil asupra unui site, a unui magazin sau a unui server web PHP. Se potrivește și după PHP2Shell, dacă un server a fost accesibil înainte de actualizare și există indicii ale unei compromiteri.
Nu orice punct se potrivește oricărui mediu. Parcurgeți totuși lista în întregime și consemnați la fiecare punct dacă este rezolvat, nu se aplică sau este deschis. Acest protocol este valoros ulterior pentru asigurare, protecția datelor și evaluarea internă.
Notați la fiecare pas data, ora, persoana responsabilă și rezultatul. Dacă sunt implicate mai multe persoane, stabiliți o persoană care ține lista și consemnează deciziile.
Faza 1: circumscrieți și salvați imediat
- Limitați paguba: Puneți site-ul în modul de întreținere sau scoateți-l din rețea, dacă vizitatorii sunt expuși sau datele ar putea ieși. La PHP2Shell, BSI recomandă scoaterea temporară din rețea a serverelor web nepatchuite, dacă o actualizare nu este posibilă imediat.
- Nu ștergeți nimic: Nu eliminați fișiere, nu reinstalați serverul și nu goliți loguri înainte ca urmele să fie salvate.
- Salvați logurile: Copiați logurile de acces, de erori, PHP-FPM și de sistem pe alt sistem și consemnați sumele de control. Pentru PHP2Shell, presa de specialitate recomandă păstrarea logurilor începând cu 20.10.2026.
- Salvați o imagine: Creați ca stare probatorie o copie a fișierelor și a bazei de date, la serverele virtuale un snapshot, și nu o modificați.
- Informați responsabilii: Implicați din timp conducerea, responsabilul cu protecția datelor, furnizorul de hosting și, dacă există, asigurarea cyber. Multe asigurări au obligații de notificare.
Faza 2: găsiți cauza și curățați
- Stabiliți poarta de intrare: Evaluați logurile, modificările de fișiere și versiunile. Verificați PHP însuși, CMS, temele, extensiile, datele de acces și serviciile serverului. Fără o cauză cunoscută rămâne riscul unui nou atac.
- Închideți vulnerabilitatea: Aduceți PHP la o versiune corectată (8.5.12, 8.4.27, 8.3.36 sau 8.2.35, respectiv backport confirmat de furnizor), actualizați CMS și extensiile, reporniți toți workerii PHP.
- Delimitați perioada: Stabiliți cel mai timpuriu moment al activității suspecte. El decide ce backupuri pot fi curate și ce date ar putea fi afectate.
- Eliminați ușile din spate: Verificați și eliminați webshell-uri, fișiere PHP străine din directoare de încărcări și de cache, fișiere de bază modificate, cronjoburi, chei SSH și servicii de sistem. Înlocuiți fișierele de bază dintr-o sursă curată.
- Curățați baza de date: Eliminați conturile de admin necunoscute, scripturile introduse în conținut și în setări, precum și conținutul de spam.
- Luați în calcul reconstruirea: La o compromitere profundă a serverului, o reconstruire pe un sistem proaspăt, patchuit, cu date verificate este adesea calea mai fiabilă decât o curățare în sistemul în funcțiune.
Faza 3: reînnoiți accesurile și securizați
- Schimbați parolele: Pentru CMS, contul de hosting, panou, baza de date, FTP, SFTP, SSH și e-mail, și anume de pe un dispozitiv curat.
- Schimbați cheile și tokenurile: Regenerați cheile API, interfețele cu furnizorii de plăți și de expediere, cheile de aplicație ale CMS, cheile SSH și certificatele care se aflau pe server.
- Încheiați sesiunile: Deconectați toate autentificările active din CMS și de la servicii și verificați dispozitivele înregistrate pentru autentificarea cu doi factori.
- Activați autentificarea cu doi factori: Pentru toate accesurile de admin, inclusiv hosting, domeniu și DNS.
- Securizați serverul: Verificați și documentați setările PHP, drepturile fișierelor, blocările de execuție din directoarele de încărcări, firewall-ul și antetele de securitate.
Faza 4: obligații, comunicare și încheiere
- Verificați obligațiile de notificare: Dacă pot fi afectate date cu caracter personal, poate fi necesară, conform art. 33 RGPD, o notificare în termen de 72 de ore. Evaluarea revine responsabilului cu protecția datelor sau unui avocat. Verificați separat obligațiile sectoriale, de exemplu conform NIS2.
- Luați în calcul o sesizare: Punctele centrale de contact Cybercrime ale poliției primesc sesizări de la companii. Logurile salvate sunt pentru aceasta o bază importantă.
- Informați clienții și Google: Informați persoanele afectate factual și coordonat. Dacă Google afișează un avertisment, solicitați reexaminarea după curățare, așa cum este descris la Eliminarea avertismentului Google.
- Documentați încheierea și monitorizați: Consemnați într-un raport cauza, perioada, măsurile și punctele deschise, deduceți lecțiile pentru planul de urgență și monitorizați sistemele mai atent în săptămânile următoare.
Greșeli frecvente la postcontrol
Multe incidente se prelungesc deoarece, în prima agitație, se economisește în locul greșit sau se acționează prea repede. Ar trebui să evitați aceste greșeli:
- Eliminarea doar a ceea ce se vede: O pagină de spam ștearsă sau o redirecționare eliminată nu este o dovadă a unui site curat. Ușile din spate rămân adesea neobservate.
- Schimbarea parolelor de pe sistemul afectat: Dacă pe calculator sau pe server mai rulează software malițios, noile date de acces pot ieși imediat din nou.
- Restaurarea orbește a unui backup: Fără vulnerabilitatea închisă și fără verificarea backupului, atacatorul este repede din nou în ușă.
- Considerarea patchului drept semnal de liniștire: O actualizare la o versiune PHP corectată nu dovedește că înainte nu s-a întâmplat nimic și nu elimină software-ul malițios introdus.
- Verificarea prea târzie a obligațiilor: Termenele încep odată cu luarea la cunoștință a incidentului, nu odată cu sfârșitul curățării.
- Lipsa documentației: Fără protocol, întrebările asigurării, ale autorităților sau ale clienților pot fi greu lămurite ulterior.
Această listă de verificare nu înlocuiește consultanța juridică. Pentru întrebări despre obligațiile de notificare, răspundere sau asigurare, adresați-vă responsabilului dumneavoastră cu protecția datelor, unui avocat sau asigurătorului.
Cum ajută PHP SOS concret?
- Preluăm răspunsul structurat la incidente și parcurgem lista de verificare împreună cu dumneavoastră, punct cu punct, cu protocol.
- Salvăm logurile și stările sistemului astfel încât să rămână utilizabile pentru asigurare, autorități și o eventuală criminalistică IT.
- Închidem vulnerabilitatea, curățăm sau reconstruim și reînnoim accesurile în ordinea corectă.
- Livrăm un raport final cu cauza, măsurile și recomandările și, la cerere, monitorizăm apoi în continuare sistemele.
Întrebări frecvente
Care este primul lucru pe care ar trebui să-l fac dacă site-ul meu a fost hackuit?
Păstrați calmul, nu ștergeți nimic și limitați paguba. Scoateți site-ul din rețea sau treceți-l în modul de întreținere, la nevoie, și salvați logurile și fișierele înainte să curățați. Apoi urmează căutarea cauzei și curățarea.
Este suficient să restaurez site-ul dintr-un backup?
De regulă nu. Backupul poate conține deja cod malițios, iar vulnerabilitatea prin care a intrat atacatorul este încă deschisă după restaurare. Mai întâi închideți cauza, apoi aplicați o stare verificată, curată, pe un sistem actualizat.
Trebuie să raportez un hack autorității pentru protecția datelor?
Dacă pot fi afectate date cu caracter personal, art. 33 RGPD prevede, în principiu, o notificare în termen de 72 de ore de la luarea la cunoștință, cu condiția ca un risc pentru persoanele vizate să nu fie improbabil. Evaluarea revine responsabilului dumneavoastră cu protecția datelor sau unui avocat.
Când este un incident cu adevărat încheiat?
Când cauza este închisă, toate ușile din spate cunoscute sunt eliminate, accesurile sunt reînnoite, obligațiile sunt îndeplinite, iar măsurile sunt documentate. O perioadă de monitorizare întărită după aceea face parte din proces, pentru a recunoaște urmele ratate.