Audyt bezpieczeństwa WordPress na sygnał ostrzegawczy – case study biura rachunkowego

Telefon w czwartek popołudniu

Właścicielka biura rachunkowego z Poznania zadzwoniła z dwoma konkretnymi obserwacjami: strona ładowała się zauważalnie dłużej niż zwykle, a jeden z klientów napisał, że dostał od niej maila z linkiem, którego nigdy nie wysyłała. Strona działała na WordPressie od 2019 roku, bez żadnej opieki technicznej po wdrożeniu, z sześcioma wtyczkami zainstalowanymi przez poprzedniego wykonawcę.

Zamiast czekać na pełne włamanie, zaproponowałem audyt bezpieczeństwa WordPress w wersji podstawowej, 450 zł, wykonany w ciągu 48 godzin. To nie jest usługa reagowania na katastrofę, tylko sprawdzenie stanu strony zanim katastrofa się wydarzy, dokładnie w sytuacji, jaką opisała klientka.

Co wykazał audyt

Skan i ręczna weryfikacja plików zajęły około 3 godzin pracy. Wynik nie był dramatyczny, ale jednoznaczny: strona była już częściowo skompromitowana, tylko atak nie zdążył się jeszcze w pełni rozwinąć.

Ukryty plik w katalogu uploads odpowiadał za wysyłkę spamu podszywającego się pod adres klientki, co dokładnie zgadzało się z jej zgłoszeniem. Bez audytu ten plik mógłby działać miesiącami, bo nie generował widocznych zmian na stronie, wpływał tylko na reputację domeny w filtrach antyspamowych.

Naprawa i koszt realny

Usunięcie złośliwego pliku, aktualizacja wtyczek, wyłączenie edytora plików w panelu i wdrożenie uwierzytelniania dwuetapowego zajęło kolejne 4 godziny pracy, łącznie 600 zł. Dla porównania, gdyby atak rozwinął się w pełni, na przykład do wstrzyknięcia się do bazy danych klientów biura rachunkowego, koszt naprawy po realnym włamaniu w tej skali sytuowałby się bliżej 1000-1500 zł, licząc czyszczenie, odtwarzanie z backupu i zgłoszenie incydentu do UODO, bo dane osobowe klientów mogły wyciekać.

Cały koszt reakcji na sygnał ostrzegawczy zamknął się w 1050 zł plus jednorazowa konfiguracja backupu automatycznego, którego strona wcześniej nie miała w ogóle.

Co by się stało bez audytu

Scenariusz bez interwencji jest przewidywalny, bo powtarza się w praktyce kilkanaście razy w roku wśród podobnych zgłoszeń. Ukryty skrypt spamowy zwykle zostaje wykryty przez dostawcę hostingu po 2-6 tygodniach, kiedy domena trafia na czarną listę serwerów pocztowych. W tym momencie hosting często blokuje konto, strona przestaje działać, a firma traci widoczność w Google na czas nieokreślony, bo Google Search Console potrafi oznaczyć witrynę jako niebezpieczną.

Naprawa po takim scenariuszu, opisana szerzej w Strona WordPress zhakowana, co robić krok po kroku i ile kosztuje naprawa, kosztuje w przypadku prostej infekcji 400-800 zł, ale w poważniejszych przypadkach, z odtwarzaniem bazy danych i weryfikacją wycieku, przekracza 1000 zł i trwa kilka dni, a nie kilka godzin.

Wniosek z tego przypadku

Różnica między 1050 zł zapłaconymi proaktywnie a potencjalnie 1500-2500 zł plus tygodniem przestoju wynikała z jednego telefonu wykonanego na sygnał, a nie po fakcie. Klientka po tym incydencie wykupiła stałą opiekę techniczną, bo audyt jednorazowy naprawia stan na dany dzień, ale nie chroni przed kolejną nieaktualizowaną wtyczką za pół roku. Szczegóły usługi opisane są na stronie Audyt Bezpieczeństwa, a aktualne stawki za audyt i naprawę znajdują się w Cenniku.