Čo robiť, keď niekto napadol váš web

Dárius Barnáš · 30. 10. 2026 · 6 min čítania

Napadnutý web nemusí vyzerať napadnuto. Často vyzerá úplne normálne, a pritom posiela návštevníkov na podvodné stránky alebo z vášho servera odchádza spam. Čím skôr to zistíte, tým menej škôd vznikne. Tento postup vychádza z odporúčaní WordPressu a Googlu.

Ako to spoznať

• Google alebo prehliadač pri vašom webe zobrazuje varovanie.
• Hosting vám web zablokoval alebo vás upozornil na škodlivý kód.
• Vo výsledkoch hľadania sa pri vašom webe objavujú cudzie texty, často o liekoch alebo hazarde.
• Návštevníkov to presmerúva inam, niekedy iba z mobilu alebo z Google.
• Vo WordPresse je administrátor, ktorého nepoznáte.
• Zákazníkovi hlási antivírus problém, alebo z vašej domény odchádza spam.

Čo urobiť hneď

1. Zaznamenajte, čo vidíte. Čo sa deje, odkedy a čo ste nedávno menili. Pomôže to pri hľadaní príčiny aj pri komunikácii s hostingom.

2. Kontaktujte hosting. Vie potvrdiť, čo sa deje, a môže to mať dosah aj na ďalšie weby. Hrozí aj to, že e-maily z vášho servera sa dostanú na čierne listiny.

3. Zmeňte všetky prístupy. WordPress, FTP, hosting aj databáza, pre všetkých používateľov. Heslá nech sú dlhé a jedinečné. Odhláste všetkých prihlásených, teda aj útočníka, a vymažte neznáme účty. Heslá znova zmeňte po vyčistení.

4. Skontrolujte svoj počítač. Zdrojom útoku môže byť vírus, ktorý vám ukradol heslá. Inak útočník získa aj tie nové.

5. Urobte si zálohu aj napadnutého webu. Znie to divne, ale ak sa čistením niečo pokazí, môžete sa k nej vrátiť a poslúži aj pri hľadaní príčiny.

Čistenie

Najistejšie je obnoviť web zo zálohy spred útoku, ak viete, kedy sa útok stal, a máte istotu, že záloha je čistá. Pri e-shope si dajte pozor na novšie objednávky.

Ak takú zálohu nemáte, web sa čistí ručne:

• nahraďte priečinky wp-admin a wp-includes čistými súbormi rovnakej verzie WordPressu,
• pluginy a šablónu nahrajte čisté z oficiálneho zdroja, nepoužívané vymažte,
• skontrolujte .htaccess, index.php a súbory šablóny, ktoré útočníci často upravujú,
• pozrite wp-config.php a vygenerujte nové bezpečnostné kľúče,
• skontrolujte, či v databáze nie sú cudzí používatelia alebo vložený kód.

Priečinok wp-content si vyžaduje najväčšiu pozornosť, lebo sú v ňom pluginy, šablóny aj nahrané súbory. Útočníci si zvyknú nechať zadné dvierka, preto web, ktorý bol „vyčistený“ len sčasti, býva napadnutý znova.

Google a červená obrazovka

V službe Google Search Console nájdete správu Bezpečnostné problémy. Ukáže, čo Google našiel a kde. Po vyčistení celého webu v nej požiadajte o kontrolu a napíšte, čo ste urobili. Podľa Googlu môže kontrola trvať dni až týždne. Opakované žiadosti ju nezrýchlia.

Osobné údaje a GDPR

Ak útočník mohol získať osobné údaje, napríklad objednávky zákazníkov, ide o porušenie ochrany osobných údajov. Podľa článku 33 GDPR ho prevádzkovateľ musí bez zbytočného odkladu a podľa možnosti do 72 hodín od zistenia oznámiť Úradu na ochranu osobných údajov SR, ak je pravdepodobné, že predstavuje riziko pre ľudí. Každý prípad si zdokumentujte. V takejto situácii sa poraďte s odborníkom na ochranu údajov.

Ako tomu predísť

• Pravidelné aktualizácie WordPressu, pluginov a šablón.
• Dlhé jedinečné heslá a dvojfaktorové prihlásenie.
• Pluginy len z dôveryhodných zdrojov. Nelegálne „nulled“ verzie platených pluginov často obsahujú škodlivý kód.
• Zálohy uložené mimo servera a vyskúšaná obnova.
• Prístupy len pre tých, ktorí ich potrebujú, a šifrované pripojenie (SSH alebo SFTP) namiesto obyčajného FTP.

Zdroje: WordPress: FAQ My site was hacked, Google: Správa o bezpečnostných problémoch, GDPR, článok 33.