Jak sprawdzić, czy strona jest zainfekowana - 8 sygnałów

Zainfekowana strona rzadko wygląda na zainfekowaną. Często działa normalnie, ładuje się normalnie, a w panelu nie widać niczego podejrzanego. Atakującemu nie zależy, żebyś zauważył, tylko żeby jak najdłużej korzystać z Twojego serwera i Twojej domeny. Poniżej opisujemy, jak sprawdzić, czy strona jest zainfekowana: osiem sygnałów, które sprawdzisz w kwadrans, bez wiedzy technicznej.

01. Sprawdź, co Google ma w indeksie

Najszybszy test, jaki istnieje. Wpisz w wyszukiwarkę:

site:twoja-domena.pl

Porównaj liczbę wyników z liczbą podstron, które faktycznie masz. Jeśli masz piętnaście podstron, a Google pokazuje tysiące, masz odpowiedź i nie trzeba szukać dalej.

Przewiń też wyniki i poszukaj tytułów, których nie tworzyłeś: obcojęzycznych, o lekach, kasynach, kredytach albo podróbkach. Zwróć też uwagę, czy pod adresem strony nie ma ostrzeżenia, że witryna mogła zostać zhakowana. Tak Google oznacza strony, na których wykrył włamanie.

02. Zajrzyj do Search Console

Search Console to darmowe narzędzie Google dla właścicieli stron. Otwórz sekcję Bezpieczeństwo i ręczne działania. Jeśli Google wykrył problem, znajdziesz tam konkretny komunikat: złośliwe oprogramowanie, socjotechnika albo zhakowane treści.

Sprawdź też raport Indeksowanie stron. Nagły skok liczby wykrytych adresów bez żadnej zmiany z Twojej strony to poważny sygnał. Jeśli nie masz jeszcze Search Console, dodaj do niej stronę i potwierdź, że jesteś jej właścicielem, bo informacje o bezpieczeństwie Google pokazuje tylko zweryfikowanym właścicielom.

03. Otwórz stronę z telefonu, z wyników Google

To ważny szczegół: nie wpisuj adresu ręcznie. Wejdź przez wyszukiwarkę i koniecznie z telefonu.

Część infekcji pokazuje spam albo przekierowanie tylko wybranym odwiedzającym, na przykład wchodzącym z wyszukiwarki albo z telefonu, a osobie, która wpisuje adres wprost, pokazuje normalną stronę. Dlatego właściciele odkrywają problem tak późno.

04. Sprawdź listę użytkowników

W panelu WordPressa otwórz zakładkę Użytkownicy. Szukasz kont, których nikt nie zakładał, często z nazwami przypominającymi systemowe albo z losowymi ciągami znaków.

Sprawdź też, czy któreś z Twoich kont nie zmieniło roli albo adresu e-mail. Przy okazji przejrzyj listę wtyczek: wtyczka, której nikt nie instalował, albo nieznany katalog wśród wtyczek na serwerze to sygnał, że ktoś zostawił sobie furtkę.

05. Sprawdź, czy strona nie ujawnia za dużo

Dwie informacje ułatwiają automatyczne ataki, a znajdujemy je w audytach:

• Publiczna lista kont administratorów. W wielu instalacjach WordPressa da się ją pobrać bez logowania. Znajomość loginu to połowa danych potrzebnych do przejęcia konta.
• Dokładna wersja WordPressa w kodzie strony. Przy nieaktualnej instalacji to gotowa podpowiedź, których znanych luk spróbować.

To nie są objawy infekcji, tylko otwarte drzwi. Zamknij je, zanim ktoś z nich skorzysta.

06. Zobacz, czy nie rozsyłasz spamu

Objawy pośrednie: maile do klientów zaczynają lądować w spamie, dostajesz odbicia wiadomości, których nie wysyłałeś, albo hosting przysyła ostrzeżenie o nietypowej aktywności.

Zainfekowany serwer bywa wykorzystywany do rozsyłania spamu. Skutek jest podwójny: domena trafia na czarne listy, a Twoja zwykła poczta przestaje docierać. Czy domena albo adres IP serwera są na takich listach, sprawdzisz za darmo w narzędziach do sprawdzania czarnych list, na przykład w MxToolbox.

07. Sprawdź daty zmian w plikach

To wymaga zajrzenia na serwer przez FTP albo menedżer plików w panelu hostingu. Posortuj pliki według daty modyfikacji.

Pliki zmienione w dniu, w którym nikt nic nie robił, to jeden z najczystszych sygnałów. Szczególnie przyjrzyj się plikom w głównym katalogu i w folderze z motywem.

08. Przepuść stronę przez skaner

Darmowe narzędzia, na przykład sprawdzanie stanu witryny w Google Safe Browsing albo publiczne skanery stron, pokażą, czy strona nie jest już zgłoszona jako niebezpieczna.

Uwaga na ograniczenie: skanery zewnętrzne widzą tylko to, co publiczne. Infekcja ukryta w bazie danych albo aktywna wyłącznie dla ruchu z wyszukiwarek często przechodzi taki test bez alarmu. Czysty wynik nie dowodzi, że wszystko jest w porządku.

Co zrobić, jeśli coś się potwierdziło

Jeśli strona przetwarza dane osobowe albo płatności, a włamanie mogło dać dostęp do tych danych, RODO wymaga zgłoszenia naruszenia do UODO w ciągu 72 godzin od jego wykrycia, chyba że ryzyko dla osób jest mało prawdopodobne. Wtedy od razu porozmawiaj z prawnikiem.

Jak często sprawdzać, czy strona jest zainfekowana

Najprostszy nawyk to wpisanie site:twoja-domena.pl raz w miesiącu i rzut oka na liczbę wyników. Do tego dodaj swoją stronę do Search Console, jeśli jeszcze tego nie zrobiłeś. Google wysyła właścicielom zweryfikowanych stron powiadomienia e-mail, gdy wykryje problem z bezpieczeństwem, więc dowiesz się szybciej niż od klientów.

Zapobieganie jest prostsze niż sprzątanie: aktualny WordPress, motyw i wtyczki, usunięte wtyczki, których nie używasz, mocne hasła z logowaniem dwuskładnikowym i kopie zapasowe trzymane poza serwerem strony.

Ile masz czasu

Mniej, niż się wydaje, i to jedyna rzecz, którą chcemy tu podkreślić.

Każdy dzień działania infekcji to kolejne śmieciowe adresy w indeksie Google. Przy naszej własnej stronie doszliśmy do siedemdziesięciu pięciu tysięcy i sprzątamy to od miesięcy. Gdyby problem został wykryty tydzień wcześniej, skala byłaby nieporównywalnie mniejsza.

Cały przebieg tamtej sytuacji opisaliśmy we wpisie zawirusowana strona WordPress, a to, jak wygląda usunięcie infekcji, na stronie usuwanie wirusów WordPress. Jeśli masz dziś pięć minut, zacznij od pierwszego punktu tej listy.

Wolisz, żeby ktoś to sprawdził za Ciebie?

W bezpłatnym audycie sprawdzamy między innymi, czy strona nie ujawnia kont administratorów i wersji systemu oraz co Google faktycznie ma w indeksie.

Zamów bezpłatny audyt →