Fałszywe konta administratora — cichy ślad po włamaniu

Wchodzisz w Użytkownicy i widzisz konto, którego nikt nie zakładał: wp_support, admin2, sysmaint. Rola: administrator. Data rejestracji: trzy tygodnie temu, w nocy.

To nie jest usterka ani pozostałość po wtyczce. Obce konto administratora oznacza jedno: ktoś już był w środku i zostawił sobie klucze. Włamywacze zakładają je rutynowo zaraz po wejściu — bo nawet gdy zaktualizujesz dziurawą wtyczkę i usuniesz podejrzane pliki, konto pozwala im wejść frontowymi drzwiami i zacząć od nowa.

Dlaczego akurat konto, a nie tylko wirus

Konto administratora to dla włamywacza najtrwalszy punkt zaczepienia. Pliki malware wykrywają skanery, choć nie wszystkie i nie zawsze — a konto użytkownika wygląda w bazie identycznie jak Twoje. Nazwy dobierane są tak, żeby brzmiały technicznie i zniechęcały do ruszania: wp_system, backup_admin, support. Liczą na to, że pomyślisz „pewnie coś od hostingu” i zostawisz.

Hosting nie zakłada sobie kont w Twoim WordPressie. Wykonawca strony — tylko takie, o których wiesz. Każdy administrator, którego nie potrafisz przypisać do konkretnej osoby, jest do wyjaśnienia dzisiaj.

Jak sprawdzić — trzy poziomy

Poziom 1: panel. Użytkownicy → filtr „Administrator”. Przejrzyj listę i przypisz każde konto do żywego człowieka. Zwróć uwagę na adresy e-mail: obce domeny, adresy z losowych znaków, a także Twój własny adres przy koncie, którego nie zakładałeś — to celowy kamuflaż.

Poziom 2: baza danych. Sprytniejsze włamania ukrywają konto przed listą w panelu (filtrem w doklejonym kodzie), więc czysty panel to jeszcze nie dowód. W phpMyAdmin zajrzyj do tabeli wp_users i porównaj liczbę rekordów z liczbą użytkowników w panelu. Różnica = ukryte konto. W tabeli wp_usermeta konta administratorów poznasz po wpisie wp_capabilities zawierającym administrator.

Poziom 3: ślady logowań. Jeśli hosting udostępnia logi, sprawdź logowania do wp-login.php z adresów IP, których nie rozpoznajesz — zwłaszcza udane logowania o dziwnych porach. To pomaga ustalić, od kiedy trwa problem i czego jeszcze szukać.

Jak usunąć, żeby nie narobić szkód

1. Najpierw zdegraduj, potem badaj. Zmień rolę obcego konta na „Subskrybent” — odcina uprawnienia, a zostawia ślad (datę utworzenia, e-mail, powiązane treści) na czas ustalania, co się stało.
2. Wymień hasła wszystkich prawdziwych administratorów oraz FTP i hostingu. Skoro ktoś założył konto, to znaczy, że miał dostęp — nie wiadomo, co jeszcze skopiował.
3. Usuń konto — WordPress zapyta, co zrobić z przypisanymi treściami; przypisz je sobie zamiast kasować, bo bywają wśród nich spamerskie wpisy warte obejrzenia.
4. Nie uznawaj sprawy za zamkniętą. Konto to objaw, nie choroba. Gdzieś jest droga, którą weszli — przeterminowana wtyczka, słabe hasło — i prawie na pewno są też inne pozostałości. Przejdź procedurę z pierwszej godziny po włamaniu, łącznie z kopią obecnego stanu.

Samo sprawdzenie kont (poziomy 1–2) to 15–20 minut, także dla nietechnicznej osoby — phpMyAdmin wygląda groźnie, ale klika się w nim jak w Excelu. Pełne posprzątanie po znalezisku to już czyszczenie z zamknięciem luki, zwykle 2–4 godziny.

---

Znalazłeś obce konto i nie wiesz, co jeszcze siedzi na stronie? Prześwietlimy i wyczyścimy stronę — bezpłatna diagnoza, reakcja w ciągu dwóch godzin, płatność po wykonaniu.