Strona WordPress zhakowana — co robić krok po kroku i ile kosztuje naprawa

Skąd wiesz, że strona faktycznie została zhakowana

Włamanie na WordPressa rzadko wygląda jak w filmach — najczęściej nie ma żadnego komunikatu „zhakowano cię”. Zamiast tego pojawiają się drobne, niepokojące sygnały, które łatwo zignorować, jeśli nie wiesz, czego szukać.

Najczęstsze objawy, które zgłaszają klienci, to: przekierowania na obce strony (kasyna, apteki internetowe, strony w języku rosyjskim lub chińskim), nagły spadek pozycji w Google połączony z ostrzeżeniem „ta strona może być niebezpieczna” w wynikach wyszukiwania, dziwne wpisy lub linki widoczne tylko dla robota Google (tzw. spam SEO w kodzie strony), nieznane konta administratorów w panelu WordPressa, wolniejsze działanie serwera z powodu obcych procesów w tle oraz maile od hostingu z informacją o zawieszeniu konta z powodu złośliwego oprogramowania.

Warto też sprawdzić Google Search Console — zakładka „Problemy z bezpieczeństwem” pokaże wprost, czy Google oznaczył witrynę jako zainfekowaną. Jeśli masz taki komunikat, to pewny sygnał, że trzeba działać, a nie czekać „aż samo przejdzie” — infekcja się nie cofnie sama, a z każdym dniem generuje więcej zaindeksowanego spamu, który trzeba będzie później ręcznie usuwać z indeksu Google.

Pierwsza pomoc: co zrobić w ciągu pierwszej godziny

Zanim zaczniesz cokolwiek naprawiać, musisz zabezpieczyć sytuację, żeby nie stracić danych i nie dać atakującemu więcej czasu na działanie. Kolejność ma znaczenie.

1. Zrób pełną kopię zapasową w obecnym stanie — nawet zainfekowaną. Brzmi to nieintuicyjnie, ale kopia „przed czyszczeniem” to twoje zabezpieczenie na wypadek, gdyby coś poszło nie tak podczas usuwania złośliwego kodu, oraz materiał dowodowy, jeśli będziesz zgłaszać sprawę do hostingu lub na policję (przy kradzieży danych klientów jest to obowiązek).

2. Włącz tryb konserwacji lub czasowo wyłącz stronę po stronie hostingu, jeśli to możliwe — ogranicza to dalsze rozprzestrzenianie się spamu i chroni odwiedzających przed przekierowaniami na złośliwe strony.

3. Zmień wszystkie hasła — do WordPressa, do panelu hostingowego, do FTP/SFTP, do bazy danych oraz do konta e-mail powiązanego z domeną. Atakujący, który zdobył jedno hasło, zwykle ma dostęp do znacznie więcej niż tylko panelu WP.

4. Skontaktuj się z hostingiem — poinformuj o incydencie i zapytaj, czy w logach serwera widać ślady włamania (data, adres IP, metoda). To bardzo przyspiesza dalsze dochodzenie, gdzie dokładnie jest luka.

5. Odetnij nieznane konta administratorów w WordPressie — atakujący bardzo często zakłada sobie własne, ukryte konto z pełnymi uprawnieniami jako „zapasowe wejście” na wypadek, gdyby główne hasło zostało zmienione.

Skanowanie i czyszczenie: Wordfence, Sucuri i ręczny przegląd

Po zabezpieczeniu dostępu przychodzi czas na właściwe czyszczenie. Automatyczne skanery to dobry punkt startowy, ale w praktyce rzadko wystarczają same w sobie — dobra naprawa łączy narzędzie ze skanowaniem ręcznym.

Wordfence (wtyczka) dobrze sprawdza się do szybkiej diagnozy: porównuje pliki motywu i wtyczek z oryginałami z repozytorium WordPress.org i pokazuje, które pliki zostały zmodyfikowane lub dodane. Płatna wersja ma też skaner działający na poziomie serwera, co bywa istotne, gdy strona jest zbyt uszkodzona, by uruchomić panel WP.

Sucuri (zarówno darmowy skaner zewnętrzny, jak i płatna usługa czyszczenia) dobrze pokazuje, czy domena trafiła na czarne listy (Google Safe Browsing, McAfee, Norton) — to ważne, bo samo usunięcie malware nie zdejmuje automatycznie ostrzeżenia w wyszukiwarce; trzeba osobno zgłosić stronę do ponownej weryfikacji.

Poza skanerami konieczny jest przegląd tego, czego automat zwykle nie łapie: podejrzane wpisy w tabeli wp_options i wp_users w bazie danych, nowe zaplanowane zadania (cron) wywołujące obce adresy, pliki .php ukryte w folderze uploads (gdzie w teorii nie powinno być kodu wykonywalnego), zmodyfikowany plik .htaccess z regułami przekierowań widocznymi tylko dla robotów wyszukiwarek, oraz webshelle — pojedyncze pliki dające atakującemu pełną kontrolę nad serwerem, często ukryte pod nazwą łudząco podobną do plików rdzenia WordPressa.

Jeśli nie czujesz się pewnie w grzebaniu w bazie danych i plikach serwera, to jest dokładnie ten moment, w którym warto oddać sprawę komuś, kto robi to na co dzień — błędne usunięcie nie tego pliku potrafi wyłączyć całą stronę na dobre.

Ile realnie kosztuje naprawa zhakowanej strony WordPress

Cena naprawy zależy od skali infekcji, a nie od tego, „jak ważna” jest strona dla właściciela — dlatego widełki bywają szerokie. Poniżej realistyczne przedziały, z jakimi spotykam się w praktyce.

400-800 zł — prosty przypadek. Jedna wtyczka lub motyw ze znaną podatnością, kilka zmodyfikowanych plików, brak backdoorów w bazie danych, strona wciąż w pełni działa. Zakres prac: identyfikacja i usunięcie złośliwego kodu, aktualizacja wtyczek/motywu/rdzenia, zmiana haseł, podstawowe zabezpieczenie na przyszłość.

800-2000 zł — przypadek średniej złożoności. Kilka punktów infekcji, ukryte konto administratora, backdoory w kilku plikach, spam SEO wstrzyknięty do bazy danych, konieczność ręcznego przeglądu kodu motywu i wtyczek pod kątem dodatkowych furtek. Tu dochodzi też zgłoszenie do Google o usunięcie ostrzeżenia z wyników wyszukiwania.

Powyżej 2000 zł — przypadki rozbudowane. Sklepy WooCommerce z bazą klientów i zamówień (gdzie każda zmiana w bazie musi być wykonywana ostrożnie, żeby nie utracić danych transakcyjnych), wielokrotne, powtarzające się infekcje (znak, że luka nie została wcześniej domknięta), strony na przestarzałych, niewspieranych motywach lub wtyczkach premium bez aktualnego licencjonowania, a czasem konieczność migracji całej witryny na czystą instalację, bo liczba zmodyfikowanych plików czyni „chirurgiczne” czyszczenie mniej opłacalnym niż odbudowa od zera.

Uczciwa rada: unikaj ofert w stylu „50 zł, usunę wirusa w 10 minut” — w większości takich przypadków usuwany jest tylko widoczny objaw (np. przekierowanie), a backdoor zostaje i infekcja wraca po kilku dniach. Rzetelna naprawa zawsze obejmuje też ustalenie, jak atakujący się dostał, bo bez tego czyszczenie jest tymczasowe.

Jak zabezpieczyć stronę, żeby to się nie powtórzyło

Po posprzątaniu warto od razu wdrożyć kilka nawyków, które w praktyce eliminują większość ataków na WordPressa — bo zdecydowana ich część nie jest wymierzona personalnie w Ciebie, tylko w masowo skanowane, znane podatności.

Aktualizacje bez zwłoki. Rdzeń WordPressa, motyw i wszystkie wtyczki aktualizuj najszybciej jak to możliwe po wydaniu poprawki — większość realnych infekcji wykorzystuje luki, które producent już załatał, tylko właściciel strony nie zaktualizował wtyczki.

Silne, unikalne hasła i uwierzytelnianie dwuskładnikowe (2FA) dla wszystkich kont administratorów — brute force i wykradzione hasła z innych wycieków to jedna z najczęstszych dróg wejścia.

Ograniczona liczba wtyczek, najlepiej wyłącznie z oficjalnego repozytorium lub sprawdzonych, licencjonowanych źródeł — nulled (pirackie) wersje wtyczek premium bardzo często mają wbudowane backdoory od samego producenta „kopii”.

Regularne, automatyczne kopie zapasowe przechowywane poza serwerem produkcyjnym (np. w chmurze), tak by odtworzenie strony sprzed infekcji było kwestią minut, a nie negocjacji z hostingiem o ostatni dostępny backup.

Firewall aplikacyjny (WAF) — Wordfence, Sucuri lub zabezpieczenia na poziomie hostingu blokują większość zautomatyzowanych ataków, zanim w ogóle dotrą do WordPressa.

Jeśli strona już raz padła ofiarą włamania albo po prostu wolisz mieć pewność zamiast się zastanawiać, dobrym krokiem jest jednorazowy audyt bezpieczeństwa strony WordPress — sprawdzenie konfiguracji, uprawnień, wtyczek i śladów po ewentualnych wcześniejszych włamaniach, zanim staną się one problemem.