Strona na WordPressie zaatakowana, co robić i jak zapobiegać

Strona na WordPressie zaatakowana, co zrobić w pierwszej kolejności

Jeśli Twoja strona na WordPressie jest zaatakowana, pierwsza zasada jest prosta: nie panikuj i działaj według ustalonej kolejności. Typowy atak polega albo na wstrzyknięciu złośliwego kodu, albo na przejęciu konta administratora, albo na instalacji backdoora ukrytego w plikach. We wszystkich tych przypadkach kolejność działań jest podobna. Najpierw odizolowanie i ocena, potem wyczyszczenie i przywrócenie, a na końcu zabezpieczenie, żeby historia się nie powtórzyła.

Ten artykuł przeprowadzi Cię przez oba etapy, czyli reagowanie na incydent i wdrożenie bezpieczeństwa WordPress na stałe. Jeśli jeszcze nie miałeś włamania, ale chcesz zabezpieczyć stronę zanim do niego dojdzie, ten tekst jest też dla Ciebie.

Skąd wiadomo, że strona WordPress została zaatakowana

Nie każde włamania jest widoczne gołym okiem. Część ataków celowo pozostaje niewidoczna dla właściciela, bo atakujący woli traktować serwer jako narzędzie do spamowania, phishingu lub kopania kryptowalut bez wzbudzania podejrzeń.

Sygnały, które powinny wywołać reakcję:

• Strona wyświetla nieznane treści, reklamy lub przekierowania na inne adresy
• Google Search Console pokazuje ostrzeżenie o złośliwym oprogramowaniu
• Hosting zablokował konto lub zawiesił stronę bez wcześniejszego zgłoszenia
• W wynikach wyszukiwania pod Twoim adresem pojawiają się opisy w innych językach lub niezwiązane z Twoją działalnością
• Wysyłanie formularza kontaktowego powoduje błąd, choć wcześniej działało
• Panel administracyjny WordPress jest niedostępny lub pokazuje błąd
• Dostajesz alerty od Google o nieznanych weryfikacjach w Google Search Console

Krok po kroku, jak postępować po wykryciu włamania

Nie próbuj działać na zainfekowanej stronie bez wcześniejszego zabezpieczenia. Oto właściwa kolejność.

Jak oczyścić zainfekowany WordPress bez kopii zapasowej

Sytuacja jest trudniejsza, gdy nie masz czystej kopii. Można ją jednak rozwiązać metodycznie.

Zastąpienie plików rdzenia WordPress

Pobierz czystą wersję WordPress z wordpress.org w tej samej wersji, co zainfekowana instalacja. Zastąp pliki rdzenia, czyli katalogi wp-admin i wp-includes oraz pliki w katalogu głównym z wyjątkiem wp-config.php i .htaccess. Nie dotykaj katalogu wp-content, bo tam są Twoje treści, motywy i wtyczki.

Sprawdzenie katalogu wp-content

Katalog wp-content zawiera motywy, wtyczki i pliki mediów. To tutaj najczęściej ukrywa się złośliwy kod. Każdą wtyczkę i motyw, który nie pochodzi z oficjalnego repozytorium lub od sprawdzonego producenta, traktuj jako podejrzany. Usuń wtyczki i motywy, których nie używasz. Zainstaluj je od nowa z czystych źródeł zamiast próbować naprawiać zainfekowane pliki.

Sprawdzenie bazy danych

Złośliwy kod może być wstrzyknięty do bazy danych, szczególnie do treści wpisów, widgetów lub ustawień motywu. Szukaj podejrzanych wpisów zawierających tagi script, eval, base64_decode lub zewnętrzne adresy URL w polach, gdzie ich nie powinno być. Wordfence lub Sucuri Scanner potrafią przeskanować też bazę danych.

Bezpieczeństwo WordPress, jak zapobiegać atakom na stałe

Włamania na strony WordPress niemal nigdy nie są przypadkowe. Atakują boty, które automatycznie skanują internet w poszukiwaniu znanych luk w popularnych wtyczkach i nieaktualnych instalacjach. Jeśli Twoja strona ma niezałataną lukę, bot ją znajdzie w ciągu godzin lub dni od jej upublicznienia.

Dobra wiadomość jest taka, że zdecydowana większość ataków można zatrzymać przez kilka podstawowych działań.

Aktualizacje, fundament bezpieczeństwa WordPress

Badania branżowe konsekwentnie pokazują, że 96 procent podatności w ekosystemie WordPress pochodzi z wtyczek, a nie z rdzenia systemu. 39 procent zaatakowanych stron było nieaktualnych w chwili ataku. Jeśli aktualizujesz wtyczki i motyw regularnie, eliminujesz główne wejście dla atakujących.

Praktyczna zasada: aktualizacje rdzenia WordPress i krytyczne poprawki wtyczek wdrażaj jak najszybciej po publikacji. Pozostałe aktualizacje raz w miesiącu, po sprawdzeniu, że nie ma doniesień o konfliktach.

Automatyczne aktualizacje rdzenia są domyślnie włączone dla drobnych poprawek bezpieczeństwa. Dla dużych aktualizacji wersji (np. WordPress 6.4 do 6.5) warto przeprowadzić je ręcznie, po wcześniejszym wykonaniu kopii zapasowej.

Silne hasła i uwierzytelnianie dwuskładnikowe

Ataki brute force na panel WordPress to jeden z najczęstszych rodzajów ataków, które boty przeprowadzają automatycznie. Próbują dziesiątek tysięcy kombinacji loginu i hasła na godzinę. Dwa działania całkowicie je neutralizują.

Po pierwsze, unikalne i trudne hasło dla każdego konta administratora. Minimum 16 znaków, losowe, przechowywane w menedżerze haseł. Żadne słownikowe słowo ani kombinacja z datą urodzin.

Po drugie, uwierzytelnianie dwuskładnikowe (2FA). Wtyczka Two Factor Authentication lub Wordfence dodaje drugi krok przy logowaniu, który wymaga kodu z aplikacji na telefonie. Bez tego kodu nawet znajomość hasła nie wystarczy, żeby się zalogować.

Zmiana domyślnej nazwy użytkownika "admin" na unikalną nazwę to kolejne działanie, które eliminuje połowę zadania dla atakujących. WordPress pozwala to zmienić po zalogowaniu lub przez bazę danych.

Zabezpieczenie pliku wp-config.php i .htaccess

Plik wp-config.php zawiera dane dostępowe do bazy danych i klucze bezpieczeństwa WordPress. Plik .htaccess kontroluje reguły dostępu na poziomie serwera. Oba powinny być chronione.

Podstawowe zabezpieczenia przez .htaccess:

# Blokuj bezpośredni dostęp do wp-config.php
<files wp-config.php>
order allow,deny
deny from all
</files>

# Wyłącz przeglądanie katalogów
Options -Indexes

# Zablokuj dostęp do pliku xmlrpc.php jeśli nie jest używany
<files xmlrpc.php>
order deny,allow
deny from all
</files>

Plik xmlrpc.php to kolejna częsta droga włamania. Jeśli nie korzystasz z aplikacji mobilnej WordPress ani z Jetpack, możesz go całkowicie zablokować.

Wpływ włamania na pozycje w Google

Zaatakowana strona to problem nie tylko techniczny, ale też widoczności w wyszukiwarce. Google regularnie skanuje strony w poszukiwaniu złośliwego kodu i przekierowań. Strona zidentyfikowana jako niebezpieczna trafia na listę Safe Browsing Google i zaczyna wyświetlać ostrzeżenie w przeglądarce przed otwarciem.

Konsekwencje dla SEO są poważne. Pierwsze trzy wyniki organiczne zbierają łącznie ponad połowę wszystkich kliknięć na daną frazę (Backlinko, Google CTR Stats). Strona z ostrzeżeniem "Ta strona może być niebezpieczna" zgarnie z tej puli praktycznie zero. Nawet po usunięciu zagrożenia i złożeniu wniosku o ponowny przegląd, odbudowa zaufania Google zajmuje czas.

Złośliwy kod, który generuje ukryte linki wychodzące lub tworzy nowe podstrony ze spamem, może też prowadzić do manualnej kary od Google. Kary manualne wymagają osobnego wniosku o reconsideration i mogą utrzymywać się przez tygodnie po wyczyszczeniu. (Google Search Central)

Jeśli chcesz wiedzieć, jak budować widoczność w wyszukiwarce na solidnym fundamencie technicznym, zajrzyj do naszego przewodnika jak wypozycjonować firmę lokalnie lub sprawdź, jak działamy w Twoim mieście: Warszawa, Kraków, Wrocław, Poznań.

Regularna opieka techniczna, czyli jak nie wracać do tego tematu

Bezpieczeństwo WordPress to nie projekt, który ma koniec. To powtarzalny proces. Strony bez opiekuna technicznego prędzej czy później są atakowane, bo boty skanujące internet nie śpią.

Minimalny zestaw czynności, który chroni typową stronę firmową:

• Aktualizacje wtyczek i motywu raz w miesiącu
• Weryfikacja kopii zapasowych raz w miesiącu, czy są aktualne i kompletne
• Sprawdzenie Google Search Console w poszukiwaniu ostrzeżeń o bezpieczeństwie raz w miesiącu
• Zmiana haseł do panelu WordPress i hostingu raz na pół roku
• Audyt zainstalowanych wtyczek raz na pół roku, usunięcie nieużywanych

Jeśli nie masz czasu ani zasobów, żeby robić to samodzielnie, opieka techniczna prowadzona przez agencję to rozsądna inwestycja. Koszt miesięcznej opieki jest wielokrotnie niższy niż koszt odbudowy strony po skutecznym ataku.

Więcej o tym, co ma sens technicznie przy budowie i utrzymaniu strony, piszemy w artykule wordpress czy strona kodowana. Jeśli zastanawiasz się, jak zbudować stronę pod widoczność lokalną, przeczytaj też jak zbudować stronę pod pozycjonowanie lokalne. Koszty utrzymania strony omawia osobny artykuł: ile kosztuje utrzymanie strony internetowej rocznie.