Hakovana web stranica — šta uraditi? 9 koraka pomoći

Ako je Vaša web stranica hakovana, redoslijed je presudan: prvo zaustaviti pristup napadača, zatim ograničiti štetu, pa uredno obnoviti — i tek na kraju pospremiti i prevenirati. Najčešća greška je u panici odmah „nešto obrisati": time uništavate tragove koji će Vam kasnije trebati, a zadnja vrata napadača često svejedno ostaju.

Ovaj tekst Vas u devet koraka vodi kroz vanredni slučaj — od prve minute do pitanja kako spriječiti drugi incident. Unaprijed dobra vijest: ogromna većina hakovanih poslovnih stranica nije ciljani napad, nego automatizovana masovna roba koja iskorištava zastarjeli softver. To incident ne čini ljepšim, ali ga čini sasvim rješivim.

Po čemu uopšte prepoznajete hakovanje

Mnoga hakovanja ostaju sedmicama neprimijećena jer početna stranica izgleda normalno. Tipični znakovi upozorenja:

Tuđe podstranice: u Google pretrazi za site:vasadomena.com odjednom se pojavljuju stranice koje nikada niste napravili — često spam za lijekove, kladionice ili krivotvorene markirane proizvode, dijelom na stranim jezicima.
Preusmjeravanja: posjetioci završavaju na sumnjivim trećim stranicama, ponekad samo pri dolasku preko Google pretrage ili samo na mobitelu — sam vlasnik od toga ne vidi ništa.
Upozorenja u browseru i pretrazi: browser prije Vaše stranice pokazuje crvenu stranicu upozorenja, ili je Google u rezultatima pretrage označava kao moguće hakovanu.
Pad rangiranja: Vaše pozicije padaju bez vidljivog razloga, jer pretraživači u ocjenu uračunavaju i spam sadržaje.
Tehničke neobičnosti: stranica odjednom postaje spora, potrošnja prostora kod hostera raste, pojavljuju se nepoznati administratorski nalozi ili izmijenjene datoteke.
Pošta od hostera: mnoge incidente prvi primijeti hosting provajder, koji zbog slanja spama ili prijava zlonamjernog koda šalje opomenu ili blokira stranicu.

Već jedan od ovih znakova opravdava temeljitu provjeru.

Plan prve pomoći u 9 koraka

1. Sačuvati mir i dokumentovati

Napravite screenshotove svega upadljivog — tuđe stranice, preusmjeravanja, poruke upozorenja — i zabilježite datum i vrijeme. To kasnije pomaže kod traženja uzroka, u komunikaciji s hosterom i ako se incident mora prijaviti. U ovoj fazi ništa ne brišite.

2. Promijeniti sve pristupne podatke

Napadač ima najmanje jedan pristup — oduzmite mu sve: administratorski pristup stranici, korisnički nalog kod hostera, FTP/SFTP, bazu podataka i, radi sigurnosti, e-mail sanduče preko kojeg se ti pristupi mogu resetovati. Nove, duge, jedinstvene lozinke, najbolje iz menadžera lozinki. Provjerite uz to jesu li kreirani nepoznati korisnički nalozi i uklonite ih.

3. Po potrebi skinuti stranicu s mreže

Ako stranica aktivno širi zlonamjerni kod ili posjetioce preusmjerava na prevarantske stranice, privremeno je skinite s mreže — obična stranica održavanja bolja je od stranice koja ugrožava Vaše posjetioce i šteti Vašem ugledu. Hoster pri tome može pomoći a da se dokazi ne izgube.

4. Kontaktirati hostera

Vaš hosting provajder vidi više nego Vi: serverske logove, vrijeme upada, pogođene datoteke. Mnogi hosteri imaju standardne procedure za kompromitovane stranice, daju log datoteke i kažu Vam jesu li pogođeni drugi klijenti ili susjedni sistemi. Što ranije nazovete, to je više log podataka još sačuvano.

5. Identifikovati zlonamjerni kod i tuđe sadržaje

Sada slijedi istraga: koje datoteke su izmijenjene, koje podstranice kreirane, koja zadnja vrata sakrivena? Tragove daju datoteke s nedavnim datumom izmjene, nepoznate skripte u upload folderima i log datoteke hostera. Kod sistema s bazom podataka na provjeru idu i tamo pohranjeni sadržaji i nalozi. Ko se u to ne razumije, ovdje uključuje stručnjaka — napola uklonjena zadnja vrata glavni su razlog ponovljenih slučajeva.

6. Obnoviti iz čistog backupa

Najpouzdaniji put nazad je backup iz vremena prije upada. Zato je korak 4 bio važan: bez približnog vremena upada rizikujete da vratite već zaraženi backup. Nakon obnove važi: sadržaje nastale u međuvremenu ručno dopuniti — nikada ne „prekopirati" datoteke iz hakovanog stanja.

7. Zatvoriti rupu

Obnovljeni backup s istom starom rupom biće ponovo hakovan za nekoliko dana. Dakle: sistem, predloške dizajna i sva proširenja dovesti na najnovije stanje, ono što više ne treba potpuno ukloniti, uključiti prijavu u dva koraka za sve administratorske pristupe. Automatizovani napadi ciljano traže poznate slabosti u zastarjelim proširenjima — upravo odatle dolazi većina upada.

8. Provjeriti Google Search Console i crne liste

Prijavite se u Google Search Console (ako još niste: postavite je sada) i provjerite područja za sigurnosne probleme i ručne mjere. Ako je Vaša domena na listi upozorenja, nakon čišćenja možete direktno tamo zatražiti ponovnu provjeru — tek onda nestaju upozorenja u browseru i oznake u pretrazi. Kontrolišite uz to nestaju li spam podstranice iz Google indeksa.

9. Provjeriti moraju li se kupci informisati

Ako su se preko stranice obrađivali lični podaci — kontakt formulari, korisnički nalozi, narudžbe — provjerite jesu li podaci incidentom mogli iscuriti i postoje li po propisima o zaštiti podataka obaveze prijave nadzornom organu i obavještavanja pogođenih osoba. To zavisi od pojedinačnog slučaja i dijelom je vezano za rokove — razjasnite to brzo i u nedoumici uz stručnu podršku, umjesto da čekate da samo prođe.

Napomena: ovaj tekst je tehnička orijentacija, a ne pravni savjet. Da li se i kako incident mora prijaviti, razjasnite sa svojim službenikom za zaštitu podataka ili specijalizovanom advokatskom kancelarijom.

Prevencija: da ne dođe do drugog puta

Uzroci gotovo svih hakovanja web stranica su banalni — u skladu s tim banalna je i prevencija:

Ažuriranja, ažuriranja, ažuriranja. Zastarjeli sistemi i proširenja su ulazna vrata broj jedan. Ko ne želi mjesečno ažurirati, treba nekoga ko to radi.
Jake, jedinstvene lozinke za svaki pristup, vođene u menadžeru lozinki. Lozinka koja je negdje drugdje već procurila — nije lozinka.
Prijava u dva koraka za sve administratorske i hosting pristupe — najdjelotvorniji pojedinačni korak protiv ukradenih lozinki.
Redovni backupi, automatski, s više verzija i najmanje jednom kopijom izvan web servera. Backup koji leži pored hakovane stranice biva hakovan zajedno s njom.
Manje je više: svako instalirano proširenje potencijalna je površina napada. Što ne treba — leti van.

Iskreno principijelno pitanje: mora li Vaša stranica uopšte biti meta?

Za kraj misao koja se u raščišćavanju često izgubi: većina hakovanja poslovnih stranica funkcioniše samo zato što tamo radi kompletan redakcijski sistem s bazom podataka, formom za prijavu i desetinama proširenja — za stranicu čiji se sadržaj mijenja dvaput godišnje. Statički građena stranica sve to nema: ni bazu podataka, ni login na mreži, ni proširenja sa sigurnosnim rupama. Jednostavno gotovo da nema šta da se hakuje, a ažuriranja skoro potpuno otpadaju.

Upravo iz tog razloga naše stranice za klijente gradimo statički — primjere možete vidjeti u Showroomu. Ako se Vaša stranica nakon incidenta ionako mora praviti iznova, vrijedi provjeriti je li to pravi trenutak za prelazak; šta nova izrada košta, transparentno smo raščlanili u tekstu nova izrada web stranice: cijena.

Česta pitanja

Kako da znam kuda su napadači ušli?

Najčešće kroz jedna od troja vrata: zastarjeli softver s poznatom rupom, ukradeni ili slabi pristupni podaci, ili nesigurno proširenje. Serverski logovi Vašeg hostera i datum izmjene manipulisanih datoteka sužavaju vremenski okvir — iz toga se put često može rekonstruisati. Bez te analize svako čišćenje ostaje krpljenje.

Je li dovoljno obrisati vidljive spam stranice?

Ne. Vidljivi spam sadržaji su simptom, a ne uzrok. Napadači gotovo uvijek ostavljaju skrivena zadnja vrata kroz koja se nakon „čišćenja" vraćaju. Bez obnove iz čistog backupa ili temeljite forenzičke provjere stranica nije čista.

Koliko traje dok Google ne ukloni upozorenje?

Nakon potpunog čišćenja možete u Google Search Console zatražiti ponovnu provjeru. Obrada po iskustvu traje nekoliko dana; preduslov je da su zaista svi štetni sadržaji uklonjeni — inače se zahtjev odbija i proces kreće ispočetka.

Moram li prijaviti incident?

To zavisi od toga mogu li biti pogođeni lični podaci i koliko je visok rizik za pogođene. Provjerite to brzo — obaveze prijave po propisima o zaštiti podataka dijelom su vezane za rokove — i u nedoumici potražite stručni savjet. Za puko unakazivanje stranice bez veze s podacima važe druga mjerila nego za kompromitovan sistem korisničkih naloga.

Štiti li me sigurnosni plugin pouzdano?

Sigurnosna proširenja mogu otežati napade i dignuti alarm, ali ne liječe zastarjeli softver i sama su kod koji može imati rupe. Redoslijed ostaje: aktuelan softver, jaki pristupi s prijavom u dva koraka, backupi koji rade — i tek onda dodatni zaštitni slojevi.