Zhakowany sklep WooCommerce w piątek wieczorem – co się dzieje krok po kroku, ile to kosztuje i jak długo trwa

Ten wpis to relacja z konkretnej naprawy zhakowanego sklepu na WooCommerce – od pierwszego telefonu od klienta, przez diagnozę, aż po pełne oczyszczenie strony. Pokazuję realny koszt, realny czas i konkretne sygnały, po których poznasz, że ktoś naprawia stronę rzetelnie, a nie na pół gwizdka.

Telefon zadzwonił w piątek o 22:37. Klient prowadzący mały sklep z kosmetykami naturalnymi napisał jedno zdanie: „Strona przekierowuje na jakieś kasyno online, ludzie piszą, że boją się kupować”. Brzmi znajomo? Właśnie tak zaczyna się większość historii o zhakowanych stronach – nie w spokojny wtorek po kawie, ale w najgorszym możliwym momencie.

Jak wyglądała diagnoza

Pierwsze co sprawdziłem – zanim jeszcze zalogowałem się do panelu – to źródło strony w przeglądarce i konsolę deweloperską. Widać było ukryty skrypt JavaScript, który przekierowywał część odwiedzających (głównie z Google) na podstrony niezwiązane z branżą klienta. Klasyczny objaw tzw. pharma hack albo jego wariacji z kasynami – Google zresztą już zaczynał oznaczać niektóre linki w wynikach wyszukiwania jako podejrzane.

Wgląd do plików przez FTP pokazał to, co widzę w większości takich przypadków: zainfekowany plik functions.php w motywie, dorzucone losowe pliki .php w katalogu uploads (gdzie w ogóle nie powinno być kodu wykonywalnego) oraz konto administratora dodane przez atakującego, o którym klient nawet nie wiedział.

Co robiłem krok po kroku

Kolejność ma znaczenie, bo naprawianie na oślep często kończy się tym, że infekcja wraca po tygodniu.

1. Odcięcie strony od ruchu publicznego (tryb konserwacji) i zmiana wszystkich haseł – WordPress, baza danych, FTP, hosting.
2. Pełne skanowanie plików i porównanie z czystą kopią motywu/wtyczek – szukanie wszystkiego, co nie powinno tam być.
3. Usunięcie złośliwego kodu, podejrzanych kont administratora i ukrytych zadań cron, które regenerowały infekcję.
4. Aktualizacja WordPressa, motywu i wszystkich wtyczek do najnowszych wersji – w tym przypadku dwie wtyczki miały znane, niezałatane podatności.
5. Wdrożenie podstawowej ochrony: firewall na poziomie WordPressa, ograniczenie prób logowania, monitoring integralności plików.

Osobna sprawa to sprawdzenie, czy Google nie oznaczyło strony jako niebezpiecznej w Search Console – w tym przypadku niestety tak, więc trzeba było zgłosić prośbę o ponowną weryfikację po oczyszczeniu.

Ile to kosztowało i ile trwało

Ten konkretny przypadek zajął mi łącznie około dwóch dni roboczych – nie ciągiem, bo część czasu to czekanie na reakcję hostingu i weryfikację Google. Poniżej realne widełki, które stosuję zależnie od skali problemu.

W opisywanym przypadku klient zapłacił 950 zł – bliżej górnej granicy środkowego przedziału, bo skala infekcji była większa niż wyglądało na pierwszy rzut oka. Więcej o samym procesie i typowych scenariuszach pisałem w tym wpisie – warto go przeczytać, jeśli podejrzewasz, że coś jest nie tak z Twoją stroną.

Po czym poznać, że wykonawca robi to solidnie

Po tej i podobnych naprawach zauważyłem kilka rzeczy, które odróżniają rzetelną pracę od naprawy „na pokaz”:

• Nie kończy się na jednym skanie – solidny wykonawca sprawdza pliki ręcznie, nie tylko puszcza automatyczny skaner i mówi „czysto”.
• Zmienia wszystkie hasła, nie tylko do WordPressa, ale też FTP, bazy danych i konta hostingowego.
• Tłumaczy, jak doszło do infekcji – jeśli usłyszysz tylko „już naprawione”, to sygnał ostrzegawczy.
• Proponuje monitoring po naprawie, bo bez tego infekcja często wraca w ciągu kilku tygodni.
• Nie boi się pokazać, co znalazł – konkretne pliki, konkretne linie kodu, nie ogólniki.

Jeśli w ogóle rozważasz zmianę wykonawcy po takim incydencie, przydatny może być wpis o tym, jak bezpiecznie zmienić firmę obsługującą stronę, nie tracąc pozycji w Google.

FAQ

Czy po naprawie strona może zostać zhakowana ponownie?

Tak, jeśli nie usunie się przyczyny (np. przestarzałej wtyczki) albo nie zmieni się wszystkich haseł. Dlatego dobra naprawa zawsze obejmuje też zabezpieczenie na przyszłość, nie tylko usunięcie skutków.

Czy stracę dane klientów lub zamówienia po ataku?

W większości przypadków dane w bazie zostają nietknięte, bo atakujący najczęściej wstrzykuje kod do wyświetlania reklam lub przekierowań, a nie kradnie bazę. Warto jednak zawsze sprawdzić logi i w razie wątpliwości poinformować klientów, zwłaszcza jeśli sklep przechowuje dane kart czy hasła.

Jak długo Google trzyma ostrzeżenie o niebezpiecznej stronie?

Po oczyszczeniu i zgłoszeniu prośby o weryfikację w Google Search Console ostrzeżenie zwykle zdejmowane jest po ponownym zaindeksowaniu strony – w praktyce od kilku dni do około dwóch tygodni.

Czy backup mógłby uchronić przed tym problemem?

Backup nie zapobiega infekcji, ale drastycznie skraca czas naprawy – czasem wystarczy przywrócić czystą kopię z okresu przed atakiem i doinstalować zabezpieczenia, zamiast ręcznie przeszukiwać każdy plik.