Napadli vám web? Čo urobiť v prvej hodine
Zistili ste, že vám niekto napadol web. Možno vás upozornil hosting, možno ste vo výsledkoch Google našli podivné stránky, možno zákazník napísal, že ho web presmeroval na kasíno. Prvý impulz býva rovnaký: rýchlo všetko podozrivé zmazať. Práve to je však najčastejšia chyba.
Tu je postup na prvú hodinu. Nevyrieši všetko, ale zabráni tomu, aby ste si situáciu zhoršili.
1. Nepanikárte a nemažte naslepo
Útočník si na webe takmer vždy necháva viac ciest späť, takzvané zadné vrátka. Keď zmažete jeden podozrivý súbor alebo článok, ostatné zostanú. Navyše si tým môžete zničiť stopy, podľa ktorých sa dá zistiť, ako sa útočník dostal dnu. A bez toho mu tú cestu nezavriete.
Zapíšte si, čo vidíte, odkedy sa to deje a čo ste na webe v poslednom čase menili. Pomôže to vám, hostingu aj tomu, kto bude web čistiť.
2. Najprv zálohujte
Znie to zvláštne, ale aj napadnutý web si zálohujte. Súbory aj databázu. Ak sa pri čistení niečo pokazí, máte sa kam vrátiť. A záloha poslúži aj pri hľadaní príčiny. Túto zálohu si označte ako napadnutú, aby ju neskôr nikto omylom neobnovil ako „čistú“.
3. Zmeňte heslá
Zmeňte heslá do administrácie WordPressu, do hostingu, k FTP a ak viete, aj k databáze. Pre všetkých používateľov, nielen pre seba. Heslá nech sú dlhé a jedinečné, nikde inde ich nepoužívajte.
Myslite aj na svoj počítač. Zdrojom útoku môže byť aj vírus, ktorý vám ukradol uložené heslá. Ak je to tak, útočník získa aj tie nové. Po vyčistení webu heslá zmeňte ešte raz.
4. Kontaktujte hosting
Napíšte svojmu hostingu, čo sa deje. Vie potvrdiť, čo vidí na serveri, často má staršie zálohy a niekedy pomôže zastaviť škody. Ak sú na serveri ďalšie weby, môžu byť ohrozené aj ony. Hrozí aj to, že e-maily z vášho servera sa dostanú na čierne listiny a prestanú chodiť zákazníkom.
5. Pozor pri mazaní neznámych používateľov
V zozname používateľov nájdete niekoho, koho nepoznáte. Prirodzene ho chcete zmazať. Tu je však pasca: WordPress sa pri mazaní pýta, čo má urobiť s obsahom tohto používateľa. Buď ho celý zmaže, alebo ho priradí inému používateľovi.
Ak útočník predtým prevzal niektoré vaše stránky či obrázky alebo ich na neho niekto prepísal, pri zlej voľbe sa zmažú aj ony. Pred mazaním si preto pozrite, aký obsah má tento účet priradený, a obsah radšej priraďte sebe. Spamové články potom zmažete samostatne.
A ešte jedna vec: skúsený útočník si vie vytvoriť aj administrátora, ktorý sa v zozname vôbec nezobrazí. To, že v zozname nikoho cudzieho nevidíte, ešte neznamená, že tam nikto nie je.
Čo nasleduje po prvej hodine
Prvá hodina je o tom, aby ste nič nepokazili a zastavili ďalšie škody. Samotné čistenie je dôkladnejšia práca:
- porovnať súbory WordPressu s originálmi a nahradiť pozmenené,
- nájsť a odstrániť malvér, webshelly a podvrhnutý obsah, aj tie maskované za bežné súčasti webu,
- zistiť, ktorou cestou sa útočník dostal dnu, najčastejšie cez zastaraný doplnok, a túto cestu zavrieť,
- vygenerovať nové bezpečnostné kľúče, ktoré odhlásia všetkých prihlásených, vrátane útočníka,
- overiť výsledok kontrolou zdrojového kódu a bezpečnostným skenom.
Ak máte zálohu spred útoku a viete, kedy sa útok stal, obnova z nej môže byť najrýchlejšia cesta. Musíte si však byť istí, že je čistá, a pri e-shope myslieť na objednávky, ktoré prišli medzitým. Obnova sama osebe navyše nezavrie dieru, cez ktorú útočník prišiel.
Ako takéto čistenie prebieha v praxi, opisujem v prípadovej štúdii.
Google a varovanie pri webe
Ak Google pri vašom webe zobrazuje varovanie, nájdete podrobnosti v službe Google Search Console v správe Bezpečnostné problémy. Až po vyčistení celého webu v nej požiadajte o kontrolu a napíšte, čo ste urobili. Podľa Googlu môže kontrola trvať dni až týždne. Opakované žiadosti ju nezrýchlia.
Podvrhnuté stránky, ktoré Google stihol zaradiť do výsledkov, z nich vypadnú, keď na ich adrese už nebude žiadny obsah. Ak to súri, pomôže nástroj na odstránenie stránok v tej istej službe. Viac v článku o skrytých spamových odkazoch.
Osobné údaje a GDPR
Ak útočník mohol získať osobné údaje, napríklad objednávky, rezervácie alebo kontakty zákazníkov, ide o porušenie ochrany osobných údajov. Podľa článku 33 GDPR ho prevádzkovateľ musí bez zbytočného odkladu a podľa možnosti do 72 hodín od zistenia oznámiť Úradu na ochranu osobných údajov SR, ak je pravdepodobné, že predstavuje riziko pre ľudí. Každý prípad si zdokumentujte. V takejto situácii sa poraďte s odborníkom na ochranu údajov.
Ako tomu predísť nabudúce
- Pravidelné aktualizácie WordPressu, tém a doplnkov.
- Dlhé jedinečné heslá a dvojfaktorové prihlásenie.
- Doplnky len z dôveryhodných zdrojov a mazanie tých, ktoré nepoužívate.
- Zálohy uložené mimo servera a vyskúšaná obnova.
- Prístupy len pre tých, ktorí ich naozaj potrebujú, a šifrované pripojenie (SSH) namiesto obyčajného FTP.
O toto všetko sa môžem starať v rámci mesačnej správy. A ak je web napadnutý už teraz, pozrite si, čo obsahuje vyčistenie napadnutého webu.
Zdroje: WordPress: FAQ My site was hacked, Google: Správa o bezpečnostných problémoch, GDPR, článok 33.