Telefon w takich sprawach brzmi zwykle podobnie: „nasza strona wyświetla jakieś obce treści”, „klient mówi, że przeglądarka go ostrzega”, „wpisuję nazwę firmy w Google i widzę coś dziwnego”. Właściciel firmy widzi problem techniczny. W rzeczywistości ma dwa problemy, które trzeba rozwiązać w odpowiedniej kolejności — bo pomylenie tej kolejności potrafi wydłużyć powrót do normalności o tygodnie.
Pierwszy problem to infekcja: ktoś ma dostęp do Twojej strony i coś na niej robi. Drugi to reputacja w wyszukiwarce: Google zauważa efekty tej infekcji i zaczyna ostrzegać przed Tobą Twoich własnych klientów. Sprzątnięcie pierwszego nie usuwa automatycznie drugiego.
Co się dzieje w pierwszych godzinach
Ataki na strony małych i średnich firm rzadko są wymierzone w konkretną firmę. Najczęściej to działanie masowe: automat skanuje internet w poszukiwaniu znanej podatności — nieaktualnej wtyczki, starego motywu, biblioteki z luką bezpieczeństwa — i wchodzi wszędzie tam, gdzie się da. Twoja strona nie jest celem, tylko okazją.
Po wejściu napastnik zwykle nie niszczy strony, bo zniszczona strona zostałaby natychmiast zauważona. Zamiast tego robi coś, co ma pozostać niewidoczne jak najdłużej: dokłada ukryte podstrony ze spamem, wstrzykuje przekierowania działające tylko dla użytkowników z wyszukiwarki lub tylko na telefonach, albo umieszcza skrypt pobierający złośliwe oprogramowanie na komputery odwiedzających. Właściciel wchodzi na stronę, widzi swoją stronę główną i przez tydzień nie ma pojęcia, że coś się stało.
Co widzi Google, a czego nie widzisz Ty
Google skanuje strony pod kątem szkodliwych treści i po ich wykryciu robi dwie rzeczy naraz. Po pierwsze, oznacza witrynę w wynikach wyszukiwania — użytkownik zamiast normalnego wyniku widzi komunikat, że strona mogła paść ofiarą ataku hakerów. Po drugie, przeglądarki korzystające z tej samej bazy zaczynają blokować wejście pełnoekranowym ostrzeżeniem o niebezpiecznej witrynie.
Skutek biznesowy jest natychmiastowy i brutalny: nawet jeśli nadal wyświetlasz się wysoko na swoje frazy, ruch spada niemal do zera, bo nikt nie klika w wynik z ostrzeżeniem. W przypadku poważniejszych infekcji zainfekowane podstrony wypadają z indeksu, a wraz z nimi pozycje, które budowałeś miesiącami.
Sygnał ostrzegawczy dostajesz w Search Console — w raporcie „Problemy dotyczące bezpieczeństwa”. Jeśli nikt w Twojej firmie nie ma dostępu do tego narzędzia albo nikt nie czyta wysyłanych z niego e-maili, o problemie dowiesz się od klienta. To najczęstszy scenariusz, jaki widzimy.
Kolejność działań, która skraca powrót
Poniżej kroki w kolejności, która ma znaczenie — każdy z nich wykonany za wcześnie trzeba potem powtarzać.
| Etap | Co się dzieje | Najczęstszy błąd |
|---|---|---|
| 1. Zabezpieczenie dostępu | Zmiana haseł do panelu, bazy i FTP, wylogowanie wszystkich sesji, odcięcie kont, których nikt nie rozpoznaje | Sprzątanie plików przy nadal aktywnym dostępie napastnika — infekcja wraca w kilka godzin |
| 2. Kopia stanu po ataku | Zrzut plików i bazy „jak jest”, zanim cokolwiek usuniesz | Skasowanie dowodów, przez które nie da się ustalić drogi wejścia |
| 3. Ustalenie drogi wejścia | Logi serwera, daty modyfikacji plików, lista podatności w używanych komponentach | Przywrócenie kopii sprzed ataku bez zamknięcia luki — czyli powtórka za tydzień |
| 4. Usunięcie infekcji | Czyste pliki systemu, weryfikacja bazy, usunięcie dorzuconych podstron i przekierowań | Usunięcie widocznych objawów przy pozostawieniu tylnej furtki |
| 5. Aktualizacje i zamknięcie luki | Aktualizacja systemu, wtyczek i bibliotek, usunięcie nieużywanych komponentów | Odkładanie aktualizacji „na spokojniejszy tydzień” |
| 6. Zgłoszenie do Google | Prośba o ponowne sprawdzenie w Search Console | Wysłanie zgłoszenia przed faktycznym końcem sprzątania |
| 7. Odbudowa widoczności | Kontrola indeksu, usunięcie spamowych adresów, obserwacja pozycji | Uznanie, że po zdjęciu ostrzeżenia sprawa jest zamknięta |
Etapy od pierwszego do piątego to praca informatyczna i tu wchodzi stała obsługa informatyczna firm w Koszalinie — przy umowie serwisowej ten proces zaczyna się w godzinach, a nie po tygodniu poszukiwania kogoś, kto się tym zajmie.
Zgłoszenie do Google: trzy warunki, które muszą być spełnione
Gdy strona jest naprawdę czysta, w raporcie „Problemy dotyczące bezpieczeństwa” wysyłasz prośbę o ponowne sprawdzenie. Google jasno opisuje, co powinna zawierać dobra prośba: dokładne omówienie problemu, opis podjętych działań i udokumentowanie ich wyników. Zdanie „naprawiliśmy wszystko” nie wystarczy — potrzebne są konkrety: co było przyczyną, co zostało usunięte, co zmienione, co wdrożone na przyszłość.
Warto wiedzieć, ile to trwa, żeby nie panikować w trakcie: weryfikacja większości zgłoszeń zajmuje od kilku dni do kilku tygodni, a o postępach Google informuje e-mailem. Do czasu decyzji nie wysyła się zgłoszenia po raz drugi — powtarzanie niczego nie przyspiesza.
Czego nie odzyska się samym sprzątaniem
Po zdjęciu ostrzeżenia zaczyna się część, o której mało kto uprzedza. W indeksie wyszukiwarki mogą wciąż siedzieć adresy, które napastnik dorzucił — czasem setki spamowych podstron, które trzeba świadomie wyprowadzić z indeksu, a nie tylko usunąć z serwera. Pozycje wracają stopniowo i nierówno, bo część stron traci w międzyczasie zaufanie zbudowane linkami i ruchem. Zdarza się też, że po przywróceniu kopii zapasowej sprzed ataku znikają zmiany z ostatnich tygodni — w tym treści, które właśnie zaczynały rankować.
To dlatego traktujemy odbudowę widoczności jako osobny etap i przy naszych klientach prowadzimy go razem z agencją Samurai SEO, która odpowiada za nasze SEO i która opisuje takie przypadki od strony wyszukiwarki — u nich znajdziesz między innymi rozbiór świeżej podatności w WordPressie i jej konsekwencji dla stron firmowych. Podział jest naturalny: my odpowiadamy za to, żeby strona była czysta i bezpieczna, oni za to, żeby wróciła tam, gdzie była. Jeśli szukasz szerszego kontekstu, zajrzyj też do naszych usług IT dla firm — bezpieczeństwo strony to jeden z elementów większej całości.
Jak nie znaleźć się w tej sytuacji drugi raz
Powtarzalny zestaw, który realnie działa i nie wymaga dużego budżetu:
- Aktualizacje w rytmie, nie w kryzysie. Zdecydowana większość udanych ataków na strony firmowe wykorzystuje luki, na które łatka istniała od dawna. Ustalony dzień w miesiącu na przegląd aktualizacji rozwiązuje większość problemu.
- Kopie zapasowe według zasady 3-2-1. Trzy kopie, na dwóch różnych nośnikach, jedna poza siedzibą firmy — i, co najważniejsze, okresowo testowana. Kopia, której nigdy nie odtworzono, jest tylko nadzieją. Więcej o tym, jak to ustawić, opisaliśmy przy okazji kopii zapasowych na Proxmox Backup Server.
- Porządek w dostępach. Osobne konta zamiast jednego wspólnego, uwierzytelnianie dwuskładnikowe w panelu, odbieranie dostępów osobom, które już z Wami nie pracują — zwłaszcza byłym wykonawcom strony.
- Ktoś, kto patrzy na Search Console. Konto z dostępem do raportu bezpieczeństwa i adres e-mail, który ktoś faktycznie czyta. To najtańszy system wczesnego ostrzegania, jaki istnieje.
- Monitoring dostępności i zmian. Prosty alert, gdy strona przestaje odpowiadać albo zmienia się jej zawartość, skraca czas reakcji z dni do minut.
Kiedy dzwonić
Jeśli widzisz ostrzeżenie w przeglądarce, dziwne przekierowania, nagły spadek ruchu bez wyraźnej przyczyny albo wiadomość z Search Console — nie czekaj do poniedziałku. Im dłużej strona jest oznaczona, tym więcej klientów zobaczy ostrzeżenie zamiast Twojej oferty, a odbudowa pozycji potrwa dłużej.
Zajmujemy się takimi zgłoszeniami w ramach outsourcingu IT w Koszalinie i okolicach — zarówno doraźnie, jak i w ramach stałej opieki, która ma po prostu do tego nie dopuścić. Jeśli nie masz pewności, czy Twoja strona jest czysta, umów rozmowę — pierwsze sprawdzenie zajmuje krótką chwilę i nie wymaga od Ciebie żadnej wiedzy technicznej.