# Kontrolný zoznam po hacku: 20 bodov na dokončenie

> Kontrolný zoznam pri hacknutom webe: 20 bodov od ohraničenia a zabezpečenia dôkazov cez vyčistenie a nové prístupy až po oznamovacie povinnosti.

Zdroj: https://phpsos.de/sk/ratgeber/checkliste-nach-dem-hack/  
Stav: 25.10.2026  
Poskytovateľ: PHP SOS, Núdzová pomoc pri PHP a bezpečnosť serverov. Okamžitá pomoc cez WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20de%C5%88%2C%20PHP%20SOS%2C%20potrebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20serverom%20s%20PHP.%20Spolo%C4%8Dnos%C5%A5%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

**Stručne:** Ak bol váš web hacknutý, tento kontrolný zoznam pomáha na nič nezabudnúť: najprv ohraničiť a zabezpečiť dôkazy, potom nájsť príčinu a vyčistiť, potom obnoviť všetky prístupy, preveriť povinnosti a incident zdokumentovane uzavrieť. Poradie je dôležité, pretože kto najprv maže, stráca stopy, a kto len čistí bez uzavretia zraniteľnosti, bude napadnutý znova.

## Na čo tento kontrolný zoznam platí, ak bol web hacknutý

Kontrolný zoznam je určený pre vedenie, majiteľov a IT zodpovedných po potvrdenom alebo pravdepodobnom útoku na web, e-shop alebo webový server s PHP. Hodí sa aj po PHP2Shell, ak bol server pred aktualizáciou dostupný a existujú indície kompromitácie.

Nie každý bod sa hodí na každé prostredie. Zoznam napriek tomu prejdite úplne a pri každom bode poznačte, či je vybavený, nepoužiteľný alebo otvorený. Tento protokol je neskôr cenný pre poistenie, ochranu údajov a internú dokumentáciu.

Ku každému kroku zapíšte dátum, čas, zodpovednú osobu a výsledok. Ak je zapojených viac osôb, určite jednu, ktorá zoznam vedie a zaznamenáva rozhodnutia.

## Fáza 1: Okamžite ohraničiť a zabezpečiť

1. **Obmedziť škodu:** Web prepnúť do režimu údržby alebo ho odpojiť od siete, ak sú návštevníci ohrození alebo by mohli unikať údaje. BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) odporúča pri PHP2Shell dočasne odpojiť nezaplátané webové servery od siete, ak aktualizácia nie je okamžite možná.
2. **Nič nemazať:** Neodstraňovať súbory, server nenasadzovať odznova a nečistiť logy, kým nie sú zabezpečené stopy.
3. **Zabezpečiť logy:** Logy access, error, PHP-FPM a systémové skopírovať na iný systém a zachytiť kontrolné súčty. K PHP2Shell odborná tlač radí uchovávať logy od 20. 10. 2026.
4. **Zabezpečiť obraz:** Kópiu súborov a databázy, pri virtuálnych serveroch snapshot, vytvoriť ako dôkazný stav a nemeniť ho.
5. **Informovať zodpovedných:** Včas zapojiť vedenie, zodpovednú osobu pre ochranu údajov, poskytovateľa hostingu a, ak existuje, kyberpoistenie. Mnohé poistenia majú oznamovacie povinnosti.

## Fáza 2: Nájsť príčinu a vyčistiť

6. **Zistiť vstupnú bránu:** Vyhodnotiť logy, zmeny súborov a verzie. Skontrolovať samotné PHP, CMS, témy, rozšírenia, prístupové údaje a serverové služby. Bez známej príčiny zostáva riziko opakovaného útoku.
7. **Uzavrieť zraniteľnosť:** PHP dostať na opravenú verziu (8.5.12, 8.4.27, 8.3.36 alebo 8.2.35, resp. potvrdený backport poskytovateľa), aktualizovať CMS a rozšírenia, reštartovať všetkých workerov PHP.
8. **Vymedziť obdobie:** Určiť najskorší okamih podozrivej aktivity. Rozhoduje o tom, ktoré zálohy môžu byť čisté a ktoré údaje by mohli byť dotknuté.
9. **Odstrániť backdoory:** Skontrolovať a odstrániť webshelly, cudzie súbory PHP v adresároch s uploadmi a cache, zmenené jadrové súbory, cronjoby, kľúče SSH a systémové služby. Jadrové súbory nahradiť z čistého zdroja.
10. **Vyčistiť databázu:** Odstrániť neznáme administrátorské účty, zavlečené skripty v obsahu a nastaveniach a spamový obsah.
11. **Zvážiť novú výstavbu:** Pri hlbokej kompromitácii servera je nová výstavba na čerstvom, zaplátanom systéme s preverenými údajmi často spoľahlivejšou cestou než vyčistenie v bežiacom systéme.

## Fáza 3: Obnoviť prístupy a spevniť

12. **Zmeniť heslá:** Pre CMS, hostingový účet, panel, databázu, FTP, SFTP, SSH a e-mail, a to z čistého zariadenia.
13. **Vymeniť kľúče a tokeny:** Kľúče API, rozhrania platobných a prepravných služieb, kľúče aplikácie CMS, kľúče SSH a certifikáty, ktoré ležali na serveri, vytvoriť nanovo.
14. **Ukončiť relácie:** Odhlásiť všetky aktívne prihlásenia v CMS a pri službách a skontrolovať registrované dvojfaktorové zariadenia.
15. **Aktivovať dvojfaktorové prihlásenie:** Pre všetky administrátorské prístupy, vrátane hostingu, domény a DNS.
16. **Spevniť server:** Skontrolovať a zdokumentovať nastavenia PHP, práva k súborom, blokovanie vykonávania v adresároch s uploadmi, firewall a bezpečnostné hlavičky.

## Fáza 4: Povinnosti, komunikácia a uzavretie

17. **Preveriť oznamovacie povinnosti:** Ak môžu byť dotknuté osobné údaje, môže byť podľa [čl. 33 GDPR potrebné oznámenie do 72 hodín](https://phpsos.de/sk/compliance/dsgvo-meldepflicht-72-stunden/). Posúdenie patrí zodpovednej osobe pre ochranu údajov alebo právnikovi. Povinnosti špecifické pre odvetvie, napríklad podľa NIS2, preveriť osobitne.
18. **Zvážiť trestné oznámenie:** [Zentrale Ansprechstellen Cybercrime](https://phpsos.de/sk/compliance/anzeige-polizei-zac/) polície (nemecké centrálne kontaktné miesta pre kybernetickú kriminalitu) prijímajú oznámenia od podnikov. Zabezpečené logy sú na to dôležitým podkladom.
19. **Informovať zákazníkov a Google:** Dotknutých informovať vecne a koordinovane. Ak Google zobrazuje varovanie, po vyčistení požiadať o preverenie, ako je opísané v príručke [Odstrániť varovanie Google](https://phpsos.de/sk/ratgeber/google-warnung-entfernen/).
20. **Uzavretie zdokumentovať a monitorovať:** Príčinu, obdobie, opatrenia a otvorené body zaznamenať v správe, odvodiť poučenia pre núdzový plán a systémy v nasledujúcich týždňoch zosilnene monitorovať.

## Časté chyby pri dokončovaní

Mnohé incidenty sa preťahujú, pretože sa v prvom rozrušení šetrí na nesprávnom mieste alebo sa koná príliš rýchlo. Týmto chybám by ste sa mali vyhnúť:

- **Odstrániť len viditeľné:** Zmazaná spamová stránka alebo odstránené presmerovanie nie je dôkazom čistého webu. Backdoory často zostanú nepovšimnuté.
- **Meniť heslá z dotknutého systému:** Ak na počítači alebo serveri stále beží škodlivý softvér, môžu nové prístupové údaje okamžite uniknúť.
- **Naslepo obnoviť zálohu:** Bez uzavretej zraniteľnosti a bez kontroly zálohy stojí útočník rýchlo opäť vo dverách.
- **Chápať záplatu ako uvoľnenie:** Aktualizácia na opravenú verziu PHP nedokazuje, že sa predtým nič nestalo, a zavlečený škodlivý softvér neodstráni.
- **Povinnosti preveriť neskoro:** Lehoty začínajú oznámením o incidente, nie koncom vyčistenia.
- **Žiadna dokumentácia:** Bez protokolu sa na otázky poistenia, úradov alebo zákazníkov neskôr dá odpovedať len ťažko.

> **Dôležité:**
> Tento kontrolný zoznam nenahrádza právne poradenstvo. Pri otázkach k oznamovacím povinnostiam, zodpovednosti alebo poisteniu sa obráťte na svoju zodpovednú osobu pre ochranu údajov, právnika alebo poisťovateľa.

## Ako konkrétne pomáha PHP SOS?

- Preberáme štruktúrovanú [reakciu na incidenty](https://phpsos.de/sk/leistungen/incident-response/) a kontrolný zoznam vedieme spolu s vami, bod po bode s protokolom.
- Logy a stavy systému zabezpečujeme tak, aby zostali použiteľné pre poistenie, úrady a prípadnú [IT forenznú analýzu](https://phpsos.de/sk/leistungen/it-forensik/).
- Uzatvárame zraniteľnosť, čistíme alebo budujeme odznova a obnovujeme prístupy v správnom poradí.
- Dodávame záverečnú správu s príčinou, opatreniami a odporúčaniami a systémy potom na želanie ďalej monitorujeme.


## Časté otázky

**Čo mám urobiť ako prvé, ak môj web bol hacknutý?**  
Zachovať pokoj, nič nemazať a obmedziť škodu. Web podľa potreby odpojte od siete alebo prepnite do režimu údržby a skôr než začnete čistiť, zabezpečte logy a súbory. Potom nasleduje hľadanie príčiny a vyčistenie.

**Stačí web obnoviť zo zálohy?**  
Zväčša nie. Záloha už môže obsahovať škodlivý kód a zraniteľnosť, cez ktorú útočník prišiel, je po obnove stále otvorená. Najprv uzavrieť príčinu, potom nasadiť preverený, čistý stav na aktualizovaný systém.

**Musím hack nahlásiť úradu na ochranu údajov?**  
Ak môžu byť dotknuté osobné údaje, čl. 33 GDPR v zásade predpokladá oznámenie do 72 hodín od okamihu, keď sa o ňom dozviete, pokiaľ nie je riziko pre dotknuté osoby nepravdepodobné. Posúdenie patrí vašej zodpovednej osobe pre ochranu údajov alebo právnikovi.

**Kedy je incident skutočne uzavretý?**  
Keď je príčina uzavretá, všetky známe backdoory odstránené, prístupy obnovené, povinnosti splnené a opatrenia zdokumentované. K tomu patrí aj obdobie zosilneného monitorovania, aby sa rozpoznali prehliadnuté stopy.

## Zdroje

- [GDPR čl. 33: oznámenie dozornému orgánu](https://dsgvo-gesetz.de/art-33-dsgvo/)
- [Polícia: Zentrale Ansprechstellen Cybercrime](https://www.polizei.de/)
- [BSI: pokyny k incidentom IT bezpečnosti](https://www.bsi.bund.de/)
- [php.net: bezpečnostné hlásenia k PHP2Shell](https://www.php.net/)