Hakovan sajt: šta da uradite prvih sat vremena

Ako vam je sajt hakovan, u prvih sat vremena nemojte ništa da brišete. Sačuvajte tragove, zaustavite štetu po posetioce, javite se hostingu i promenite lozinke sa uređaja za koji znate da je čist. Čišćenje i vraćanje bekapa dolaze tek kada znate kuda je napadač ušao.

Prva reakcija je skoro uvek ista: obrisati sumnjive fajlove i vratiti jučerašnji bekap. To deluje kao rešenje, ali briše jedini trag o tome kako je napadač ušao. Ako propust ostane otvoren, isti napadač se vraća, često već sledeće noći.

Hakovan sajt nije samo sramota pred kupcima. Može da preusmerava posetioce na lažne prodavnice, da šalje spam sa vašeg servera ili da krade podatke iz formi. Google tada uz rezultat može da prikaže upozorenje da je sajt možda hakovan, a hosting može da suspenduje nalog.

Ispod je redosled koraka za prvi sat, minut po minut, a posle toga šta radite narednih dana. Ne morate da budete programer da biste uradili prvi sat. Dovoljno je da znate gde su vam pristupni podaci za hosting i admin panel.

IT Expert je tim iz Beograda koji radi izradu i održavanje sajtova. Sajtove koje održavamo pratimo svakodnevno i zakrpe stavljamo čim izađu, jer je dodatak ili sistem koji nije ažuriran jedan od najčešćih puteva za napad.

UslugaOdržavanje i unapređenje sajtova

Po čemu prepoznajete da je sajt hakovan

01Preusmeravanje na tuđe sajtove

Posetioci sa telefona ili iz Google pretrage završavaju na kockarnicama ili lažnim prodavnicama. Sa svog računara to često ne vidite, jer napadač namerno cilja samo deo posetilaca.

02Čudni rezultati u pretrazi

Ukucajte site:vasdomen.rs u Google. Stranice koje niste napravili, na japanskom ili sa reklamama za lekove, znače da je na sajt ubačen spam.

03Upozorenje uz rezultat

Google uz vaš rezultat može da prikaže poruku da je sajt možda hakovan, a Chrome crveni ekran upozorenja ako sajt širi zlonamerni softver.

04Nepoznati administratori

U admin panelu postoji korisnik koga niste dodali, ili ne možete da se prijavite jer je neko promenio lozinku.

05Poruka od hostinga

Hosting javlja da sa vašeg naloga ide spam ili da je pronašao zlonamerni kod, a ponekad odmah suspenduje nalog.

06Nagli pad brzine

Sajt je odjednom spor, a server preopterećen. Nekad to znači da neko preko vašeg sajta šalje spam ili napada druge.

Kako da proverite da li je sajt zaista hakovan

Proverite sa dva uređaja i iz pretrage, ne samo iz omiljenog pregledača. Mnogi napadi se prikazuju samo posetiocima koji dolaze sa Googlea ili sa telefona, dok vlasnik koji kuca adresu direktno vidi normalan sajt.

Otvorite sajt na telefonu preko mobilnog interneta, pa ga potražite na Googleu i kliknite na rezultat. Zatim ukucajte site:vasdomen.rs i pregledajte prve dve strane rezultata. Naslovi koje ne prepoznajete su jasan znak.

Ako imate Google Search Console, otvorite izveštaj o bezbednosnim problemima (Security issues). Tu Google navodi šta je pronašao i daje primere zaraženih adresa. To je i mesto odakle kasnije tražite da se upozorenje ukloni.

Na kraju pogledajte listu korisnika u admin panelu i datume poslednjih izmena fajlova kod hostinga. Fajl promenjen u tri ujutru, a niko od vas nije radio na sajtu, vredi zapisati.

VodičŠta obuhvata održavanje sajta

Prvih sat vremena, korak po korak

Redosled je važniji od brzine. Svaki korak štiti nešto: prvi čuva tragove, drugi posetioce, treći i četvrti zatvaraju vrata kroz koja je napadač ušao.

Do 5. minuta, sačuvajte tragove: snimite ekran sa porukom, preusmeravanjem ili upozorenjem i zapišite vreme. Ne brišite sumnjive fajlove i ne vraćajte bekap, jer su fajlovi i logovi servera jedini trag kako je napadač ušao.
Do 10. minuta, zaustavite štetu: ako sajt širi zlonamerni softver, preusmerava posetioce ili ima formu za plaćanje ili prijavu, stavite ga u režim održavanja ili zamolite hosting da ga privremeno isključi. Bolje je da sajt ne radi sat vremena nego da šteti kupcima.
Do 20. minuta, javite se hostingu: hosting vidi logove pristupa i često ima rezervne kopije koje vi nemate. Pitajte koji fajlovi su menjani i kada, i da li je napadnut samo vaš sajt ili ceo server.
Do 35. minuta, promenite lozinke: sa čistog uređaja promenite lozinke za hosting panel, FTP ili SFTP, bazu podataka, admin panel sajta i mejl na koji stižu linkovi za resetovanje. Uključite prijavu u dva koraka gde god postoji.
Do 45. minuta, proverite naloge: uklonite pristup nepoznatim administratorima, ali pre toga zapišite njihova korisnička imena i datume pravljenja. Odjavite sve aktivne sesije, da bi svi morali ponovo da se prijave sa novom lozinkom.
Do 60. minuta, procenite podatke: ako sajt čuva porudžbine, korisničke naloge ili poruke iz formi, zapišite šta je moglo da procuri. Od toga zavisi da li imate zakonsku obavezu da obavestite Poverenika.

Zašto lozinke menjate pre čišćenja

Lozinke menjate pre čišćenja zato što napadač koji ima pristup može da vrati sve što obrišete. Ako je ušao preko ukradene lozinke za FTP ili admin panel, očišćen sajt je ponovo zaražen čim se on sledeći put prijavi.

Menjate sve pristupe koji vode do sajta, ne samo admin panel: hosting panel, FTP ili SFTP, bazu podataka i mejl na koji stižu linkovi za resetovanje lozinke. Mejl je često zaboravljen, a ko ima mejl, može da resetuje sve ostalo.

Svaka nova lozinka mora da bude drugačija i duga. Najlakše je koristiti menadžer lozinki, pa da ne morate nijednu da pamtite. Prijava u dva koraka za hosting i admin panel zatvara većinu napada ukradenom lozinkom.

Ako su pristup imali agencija, programer ili bivši zaposleni, i njima promenite pristup. To nije optužba, nego redovan korak: posle napada niko ne zna sigurno čiji je nalog iskorišćen.

Kada smete da vratite bekap

Bekap smete da vratite tek kada znate kako je napadač ušao i kada je taj propust zatvoren. Bekap vraća fajlove u staro stanje, ali i stari propust, pa sajt bez ažuriranja ostaje jednako ranjiv.

Drugo pitanje je da li je bekap čist. Napadi često počnu nedeljama pre nego što ih primetite, pa i jučerašnja kopija može da sadrži ubačen kod. Pomaže kada imate više kopija iz različitih dana, sačuvanih van servera.

Redosled je zato ovakav: pronađi kako je ušao, zatvori propust, vrati najnoviji čist bekap ili očisti postojeći sajt, ažuriraj sistem i sve dodatke, pa tek onda vrati sajt posetiocima.

Ako bekapa nema, sajt se čisti ručno: poređenjem fajlova sa originalnim verzijama sistema i dodataka i pregledom baze podataka. To traje duže, ali je moguće.

Kako da skinete Googleovo upozorenje

Googleovo upozorenje skidate tako što sajt potpuno očistite i onda zatražite pregled u Google Search Console, u izveštaju o bezbednosnim problemima. Google upozorenje uklanja tek kada proveri da je sajt popravljen.

Ne tražite pregled pre vremena. Google navodi da zahtev za pregled sajta koji još ima problem samo produžava period u kome je sajt označen kao opasan. U zahtevu kratko opišite šta ste uradili: šta je uklonjeno i koji propust je zatvoren.

Prema uputstvu na web.dev, pregled zbog zlonamernog softvera obično traje nekoliko dana, a pregled zbog ubačenog spama i do nekoliko nedelja, jer ga ljudi proveravaju ručno.

Ako ste imali ubačene spam stranice, pošaljite i novu mapu sajta (sitemap). Stare spam adrese treba da vraćaju grešku 404 ili 410, da bi ih Google vremenom izbacio iz rezultata.

Kako da se ne ponovi

Da se napad ne bi ponovio, sajt mora da se ažurira čim izađu zakrpe, a ne jednom mesečno. Napadi na manje sajtove često ne ciljaju baš vašu firmu: automatski alati traže poznate propuste u dodacima i nalaze sajtove koje niko nije ažurirao.

Kod WordPress sajtova najveći rizik su dodaci. Svaki dodatak je kod drugog autora, sa svojim ritmom zakrpa. Što ih je manje, manje je i vrata. O tome više pišemo u tekstu WordPress ili sajt po meri.

Održavanje kod nas znači svakodnevno praćenje rada sajta, zakrpe čim izađu i bekap sačuvan van servera, iz više dana. Kada se nešto desi, znamo šta je menjano i kada, pa prvi sat ne počinje od nule.

Ažurirajte sistem, temu i dodatke čim izađu zakrpe
Obrišite dodatke i naloge koje ne koristite
Uključite prijavu u dva koraka za admin panel i hosting
Čuvajte bekap van servera, iz više različitih dana
Pratite Search Console da biste odmah videli upozorenje

VodičWordPress ili sajt po meri

PaketiPaketi održavanja sajta

Česta pitanja o hakovanom sajtu

Da li je dovoljno da samo vratim bekap?

Nije, ako ne znate kako je napadač ušao. Bekap vraća stare fajlove, ali i stari propust, pa se sajt često ponovo zarazi za nekoliko dana. Prvo zatvorite propust i promenite lozinke, pa tek onda vraćajte čist bekap.

Zašto ja ne vidim ništa čudno, a kupci kažu da ih sajt preusmerava?

Mnogi napadi se namerno prikazuju samo dela posetilaca, na primer onima koji dolaze sa Googlea ili sa telefona. Proverite sajt na telefonu preko mobilnog interneta i kliknite na njega iz Google pretrage.

Koliko traje da Google skine upozorenje?

Kada sajt očistite i zatražite pregled u Search Console, Google navodi da pregled zbog zlonamernog softvera obično traje nekoliko dana, a zbog ubačenog spama do nekoliko nedelja. Pregled pre čišćenja samo produžava upozorenje.

Da li moram nekome da prijavim hakovanje?

Ako su mogli da procure podaci o ličnosti, na primer podaci kupaca ili poruke iz formi, Zakon o zaštiti podataka o ličnosti traži da obavestite Poverenika bez nepotrebnog odlaganja, po mogućstvu u roku od 72 časa. Napad možete da prijavite i SRB-CERT-u.

Mogu li sam da očistim sajt?

Prvi sat možete sami: tragovi, režim održavanja, hosting i lozinke. Pronalaženje propusta i čišćenje koda traže iskustvo, jer jedan zaostali fajl vraća ceo problem. Posle konsultacije birate da li to radimo mi ili neko drugi.

Hakovan sajt: šta da uradite prvih sat vremena