Stručne: Ak bol váš web hacknutý, najdôležitejšia otázka znie „čo robiť bez zničenia stôp?“. Na diaľku prevezmeme zastavenie útoku, zabezpečíme logy a súbory, odstránime škodlivý kód, uzavrieme vstupnú bránu a všetko zdokumentujeme. Rozhodnutia zostávajú vám, technické fakty dodáme my.
Web hacknutý: čo robiť v prvej hodine?
Prvé kroky rozhodujú o tom, či sa incident neskôr podarí čisto objasniť. Pokoj je dôležitejší ako tempo za každú cenu. Tieto body môžete vybaviť hneď sami:
- Nič nemazať: neodstraňovať súbory, neinštalovať nanovo cez starý stav, neobnovovať zálohu, kým nie je všetko zabezpečené.
- Izolovať: web prepnúť do režimu údržby alebo ho dočasne odpojiť od siete, ak sú ohrození návštevníci alebo by mohli unikať údaje.
- Uchovať logy: požiadať poskytovateľa hostingu, aby neprepisoval prístupové a chybové protokoly. Pri PHP2Shell odborná tlač radí uchovať logy serverov od 20. 10. 2026.
- Zapísať si prístupy: kto má administrátorský, FTP, SSH a panelový prístup? Heslá meniť až po dohode, a to z čistého zariadenia.
- Informovať zúčastnených: vedenie, zodpovednú osobu pre ochranu údajov a pri existujúcej poistke aj poisťovateľa.
Vychádzajte z toho, že útočník s prístupom na webový server mohol čítať aj prístupové údaje z konfiguračných súborov. Prístupy k databáze, e-mailu a API preto patria na zoznam tajomstiev, ktoré treba zmeniť.
Ktoré príznaky naznačujú kompromitáciu, popisuje stránka Som už kompromitovaný?.
Ako konkrétne pomáha PHP SOS?
- Obraz situácie: S vami objasníme, čo sa pozorovalo, ktoré systémy by mohli byť dotknuté a aké údaje sa na nich nachádzajú. Vznikne z toho krátke posúdenie s ďalšími krokmi.
- Zabezpečiť a zastaviť: Súbory, databázu a logy zálohujeme skôr, než sa čokoľvek zmení. Potom útok zastavíme, napríklad zablokovaním podozrivých prístupov, vypnutím napadnutých funkcií alebo dočasnou izoláciou.
- Nájsť a uzavrieť vstupnú bránu: Preveríme verziu PHP a stav záplat, CMS, rozšírenia a prístupy. Ak je vstup cez PHP2Shell pravdepodobný, záplatujeme a reštartujeme všetky procesy PHP.
- Vyčistiť a obnoviť: Webshelly, zadné vrátka a zmanipulované súbory sa odstránia alebo sa stav znovu zostaví z dôveryhodných zdrojov. Podrobnosti nájdete na stránke Odstránenie malvéru a webshellov.
- Záver a správa: Dostanete dokumentáciu incidentu a odporúčania na spevnenie zabezpečenia. Ak je potrebné súdne použiteľné objasnenie, prizveme špecializovaných partnerov na forenziku.
Čo od nás dostanete
- časovú os incidentu, pokiaľ sa dá doložiť zo stôp
- zoznam nájdených a odstránených škodlivých komponentov
- opis pravdepodobnej vstupnej brány, jasne oddelene podľa kategórií preukázané, pravdepodobné a neznáme
- zoznam všetkých zmenených prístupov a tajomstiev
- odporúčania, čo by sa malo trvalo zabezpečiť
Správa pomáha pri rozhovoroch so zodpovednou osobou pre ochranu údajov, poisťovateľom a prípadne políciou. Pre právne zaradenie, napríklad oznamovaciu povinnosť podľa GDPR do 72 hodín, nenahrádza poradenstvo odborníkov.
Čo potrebujeme od vás
- Prístupy: k serveru (SSH alebo panel), k backendu CMS a k databáze, prípadne povolenie komunikovať priamo s vaším poskytovateľom hostingu
- Kontaktná osoba: dostupná osoba s právomocou rozhodovať o vypnutí, reštartoch a zmene hesiel
- Informácie: odkedy je problém viditeľný, aké zmeny nedávno prebehli, kto mal prístup
- Zálohy: kde sú uložené a aké sú staré
- Kontakt na dodávateľov: agentúra, vývojár alebo poskytovateľ hostingu, ktorí systém poznajú
Čo nesľubujeme
Nemôžeme sľúbiť, že každý útok sa dá úplne rekonštruovať. Ak logy chýbajú alebo už boli prepísané, zostanú medzery a tie otvorene pomenujeme. Nesľubujeme ani to, že vyčistený web zostane navždy bezpečný. Na incidente pracujeme, kým nie je uzavretý a zdokumentovaný, a povieme vám, čo je potom ešte potrebné urobiť.
Právne poradenstvo neposkytujeme. Otázky k oznamovacím povinnostiam, zodpovednosti alebo poistnému krytiu patria zodpovednej osobe pre ochranu údajov, právnikovi a poisťovateľovi. Na štruktúrované spracovanie po incidente vám pomôže náš kontrolný zoznam po hacknutí.
Kedy je potrebné rozsiahlejšie spracovanie incidentu
Niektoré incidenty presahujú jediný web: viac serverov, uniknuté údaje zákazníkov, vydieranie alebo útočník, ktorý sa pohybuje ďalej v sieti. Vtedy prejdeme na štruktúrovanú reakciu na incident (Incident Response) s pevnými rolami, poradami o situácii a koordinovanou komunikáciou. Prechod s vami prerokujeme, hneď ako sa naznačí.
Aj po menšom incidente sa oplatí pozrieť dopredu. Vyčistený web bez spevnenia zabezpečenia, aktualizácií a monitorovania zostáva ľahkým cieľom, pretože útočníci známe obete často kontrolujú opakovane. Preto je rozumné po skončení určiť, kto bude v budúcnosti zodpovedný za aktualizácie, zálohy a kontrolu. Incident často ukáže slabinu práve tam: nikto sa necítil zodpovedný alebo prístupy mal dodávateľ, ktorý už nebol dostupný. Tieto otázky s vami objasníme v záverečnom rozhovore, aby z incidentu vznikla lepšia prevádzka.
Časté otázky
Mám hacknutý web okamžite zmazať a nainštalovať odznova?
Prosím, nie unáhlene. Kto všetko zmaže, zničí stopy, ktoré ukazujú, ako sa útočník dostal dnu a či unikli údaje. Lepšie je web odpojiť od siete alebo ho izolovať a najprv zálohovať.
Podľa čoho spoznám, že môj web bol hacknutý?
Typickými znakmi sú cudzie presmerovania, spamové stránky v indexe Google, neznáme administrátorské účty, nové súbory PHP alebo upozornenia od prehliadača, poskytovateľa hostingu či Google. Aj výrazne vyššie zaťaženie servera alebo nápadná odchádzajúca prevádzka môžu byť náznakom.
Musím hackerský útok oznámiť?
Ak by mohli byť dotknuté osobné údaje, môže existovať povinnosť oznámiť incident dozornému orgánu do 72 hodín. Či sa to týka vás, si prosím vyjasnite so svojou zodpovednou osobou pre ochranu údajov alebo s právnikom.
Pomôže núdzová pomoc aj vtedy, keď je server u poskytovateľa hostingu?
Áno. Pracujeme s prístupom, ktorý máte, a v prípade potreby sa dohodneme s vaším poskytovateľom hostingu. Čo môžeme preveriť, závisí od práv, ktoré nám môžete udeliť.