Zawirusowana strona WordPress - jak wygląda odzyskiwanie

Wiele tekstów o zhakowanym WordPressie pisze ktoś, kto o problemie czytał. Ten piszemy z drugiej strony, bo zainfekowana została nasza własna strona, a skutki sprzątamy do dziś. Jeśli masz zawirusowaną stronę WordPress albo podejrzewasz, że ją masz, zobaczysz tu, jak odzyskiwanie wygląda naprawdę.

Opisujemy to z liczbami, bo nigdzie nie znaleźliśmy uczciwej odpowiedzi na pytanie, jak długo trwa sprzątanie po ataku. Wszędzie było „szybko i sprawnie”.

Co się stało z naszą stroną na WordPressie

Wcześniejsza wersja naszej strony stała na WordPressie. Infekcja nie objawiła się awarią ani komunikatem. Strona działała i wyglądała normalnie, a w panelu na pierwszy rzut oka nie było nic niepokojącego.

Problem było widać tylko w jednym miejscu: w Google. Obok naszych podstron w indeksie zaczęły się pojawiać tysiące adresów, których nikt nie tworzył. Wygenerowane maszynowo, wypchane spamem, podpięte pod naszą domenę.

To nie jest sytuacja, w której usuwa się kilka plików i temat się kończy. To domena, która w oczach wyszukiwarki przestała być stroną firmy, a stała się farmą spamu.

Dlaczego to trwa tak długo

Tu jest sedno, o którym rzadko mówi się przy sprzedaży usługi „odwirusowanie strony”. Sprzątanie po ataku to dwie zupełnie różne rzeczy:

Jeśli ktoś obiecuje Ci usunięcie skutków ataku w tydzień, mówi wyłącznie o pierwszym punkcie. Dopytaj o to, zanim zapłacisz.

Co robiliśmy krok po kroku

1. Decyzja o technologii

Mogliśmy wyczyścić WordPressa i zostawić. Zdecydowaliśmy inaczej i przenieśliśmy stronę na Astro, czyli technologię bez bazy danych, bez wtyczek i bez panelu logowania pod znanym adresem.

Powód był prosty: znika cała kategoria zagrożeń, która doprowadziła do ataku. Nie ma wtyczki, która się zestarzeje, i nie ma bazy, do której da się coś wstrzyknąć. To nie jest rozwiązanie dla każdej strony i każdego budżetu, ale w naszym przypadku usunęło przyczynę problemu.

2. Uporządkowanie tego, co zostaje

Nowa strona nie mogła po prostu wystartować i udawać, że nic się nie stało. Trzeba było spisać, które adresy istniały przed atakiem, a które są śmieciami, i zbudować mapę przekierowań, żeby to, co miało wartość, przeszło na nowy serwis.

3. Zgłoszenia w Search Console

Ta część jest żmudna i nie da się jej przyspieszyć. Śmieciowe adresy trzeba zgłaszać do usunięcia, a potem obserwować, jak indeks powoli się kurczy. Wykres w Search Console spadał tygodniami: z siedemdziesięciu pięciu tysięcy, przez pięćdziesiąt, czterdzieści i dwadzieścia pięć, aż do obecnych około 2 100.

4. Odbudowa treści

Równolegle budowaliśmy to, co miało zająć miejsce śmieci: podstrony usługowe, lokalne, branżowe i artykuły. W dwa miesiące liczba poprawnie zindeksowanych podstron urosła z 49 do 85.

To ta część, o której się nie mówi: po ataku nie wystarczy posprzątać. Trzeba dać Google powód, żeby wrócił. Jak długo to trwa w różnych scenariuszach, rozpisaliśmy w tekście ile trwa odzyskanie pozycji w Google.

Czego nauczyliśmy się po drodze

• Atak nie wymaga, żeby ktoś się Tobą interesował. Boty skanują internet automatycznie w poszukiwaniu znanych luk. Nie trzeba być dużą firmą, wystarczy nie aktualizować.
• Objawy bywają niewidoczne z panelu. Nasza strona działała normalnie. Problem było widać tylko w wynikach wyszukiwania.
• Kopia zapasowa jest bezcenna, ale bywa zainfekowana. Jeśli infekcja siedziała tam od miesiąca, przywrócenie kopii sprzed tygodnia niczego nie rozwiązuje.
• Sprawdzaj site:twoja-domena.pl regularnie. To pięć sekund i najwcześniejszy sygnał ostrzegawczy, jaki znamy.
• Skutki są długoterminowe. Domena z historią spamu wolniej odzyskuje zaufanie wyszukiwarki. To realny koszt, którego nie widać na fakturze.

Ile to kosztuje

Samo wyczyszczenie i uszczelnienie strony kosztuje u nas od 600 zł przy pojedynczej stronie z prostą infekcją do 2 500 zł przy rozbudowanym serwisie albo sklepie. Przy dużym ataku prawdziwy koszt leży jednak gdzie indziej.

Prawdziwym kosztem są miesiące obniżonej widoczności, czyli zapytania, które nie przyszły. Przy firmie, która żyje z ruchu z Google, to znacznie więcej niż faktura za usunięcie wirusa.

Dlatego przy naszej stronie zmiana technologii wyszła taniej niż czyszczenie WordPressa i czekanie na kolejny atak.

Jak tego uniknąć

Trzy rzeczy wyraźnie zmniejszają ryzyko i żadna nie jest skomplikowana:

• Aktualizuj i sprzątaj. System, motyw i wtyczki, regularnie, a nie „kiedyś”. Według raportu Patchstack w 2025 roku 46% nowo ujawnionych luk w ekosystemie WordPressa nie miało jeszcze poprawki od twórcy, więc same aktualizacje nie wystarczą. Usuwaj wtyczki, których nie używasz albo których nikt już nie rozwija.
• Mocne hasła i logowanie dwuskładnikowe dla każdego konta administratora.
• Kopie zapasowe poza serwerem strony. Kopia leżąca na tym samym koncie hostingowym co zainfekowana strona jest kopią zainfekowaną.

Do tego jedna rzecz, którą sprawdź jeszcze dziś: czy Twoja strona nie ujawnia publicznie listy kont administratorów i dokładnej wersji WordPressa. To dwie informacje, które wyraźnie ułatwiają automatyczne ataki.

Co z tego wynika

Zhakowana strona to nie jest problem informatyczny, który kończy się wraz z usunięciem plików. To miesiące odbudowy widoczności, a przy dużej skali ataku także decyzja, czy w ogóle zostawać przy tej samej technologii.

Jeśli podejrzewasz infekcję, zacznij od tekstu jak sprawdzić, czy strona jest zainfekowana i jeszcze dziś wpisz w Google site: ze swoją domeną. Jeśli już wiesz, że masz problem, zobacz, jak wygląda odwirusowanie.

Podejrzewasz, że coś jest nie tak?

Sprawdzimy Twoją stronę bezpłatnie, między innymi to, czy ujawnia dane ułatwiające atak i czy w Google nie ma adresów, których nie tworzyłeś.

Zamów bezpłatny audyt →