Osiem sygnałów, że Twoja strona została zhakowana

Większość włamań nie wygląda jak w filmie — nikt nie podmienia strony głównej na czaszkę. Włamywaczowi zależy, żebyś niczego nie zauważył jak najdłużej: zhakowana strona zarabia na niego spamem, przekierowaniami i rozsyłaniem maili. Dlatego objawy bywają subtelne i łatwo je zrzucić na „coś się zepsuło po aktualizacji”.

Oto osiem sygnałów, w kolejności od najbardziej jednoznacznych.

1. Strona przekierowuje na obcy adres

Wchodzisz na swoją domenę, a ląduje na aptece, kasynie albo stronie „wygrałeś iPhone’a”. Czasem tylko z telefonu, czasem tylko z wyników Google — włamywacze celowo oszczędzają zalogowanego administratora, żeby dłużej pozostać niewykrytym. To praktycznie stuprocentowy dowód włamania. Jak to działa i co robić, opisaliśmy osobno.

2. W wynikach Google widać treści, których nie pisałeś

Wpisz w Google site:twojadomena.pl. Jeśli obok Twoich podstron wyświetlają się setki adresów z japońskimi znakami, viagrą albo replikami zegarków — na stronie siedzi spam SEO. To jeden z najczęstszych rodzajów ataku i bywa niewidoczny z poziomu samej strony, bo podstawione treści serwowane są tylko robotowi Google.

3. Google albo przeglądarka ostrzega przed Twoją stroną

Czerwony ekran „Ta strona może być niebezpieczna”, dopisek „Ta witryna mogła paść ofiarą ataku” w wynikach wyszukiwania, mail z Google Search Console o wykrytym złośliwym oprogramowaniu. Google skanuje strony na bieżąco i rzadko myli się w tę stronę. Jak zdjąć ostrzeżenie — krok po kroku.

4. W panelu jest konto administratora, którego nie zakładałeś

Wejdź w Użytkownicy i przefiltruj po roli „Administrator”. Powinny tam być wyłącznie konta, które rozpoznajesz. Nazwy w stylu wp_support, admin_backup, sysadmin to klasyka — brzmią technicznie właśnie po to, żebyś ich nie ruszał. Fałszywym kontom admina poświęciliśmy osobny tekst, bo bywają ukryte także poza listą użytkowników.

5. Hosting pisze o spamie albo nadmiernym obciążeniu

Mail od hostingu „z Twojego konta wysyłane są masowe wiadomości” albo „konto przekracza limity zasobów” to często pierwszy zewnętrzny sygnał. Zhakowane strony rozsyłają spam Twoim serwerem i Twoją reputacją — dlatego przy okazji przestają dochodzić Twoje własne maile, bo domena ląduje na czarnych listach.

6. Strona nagle zwolniła bez powodu

Malware pracuje: mieli kryptowaluty, serwuje spam, odpytuje serwery sterujące. Jeśli strona z dnia na dzień zaczęła ładować się kilka razy dłużej, a niczego nie zmieniałeś ani nie masz skoku ruchu — warto sprawdzić, kto jeszcze z niej korzysta.

7. Nie możesz się zalogować, choć hasło jest dobre

Włamywacze potrafią zmienić hasło administratora albo podmienić adres e-mail przypisany do konta, żeby odciąć Ci możliwość resetu. Utrata dostępu do panelu ma też niewinne przyczyny, ale w połączeniu z którymkolwiek innym sygnałem z tej listy — zakładaj najgorsze.

8. W katalogach leżą pliki, których tam nie było

Jeśli umiesz wejść przez FTP: pliki PHP o losowych nazwach (wp-conf1g.php, class-wp-cache.php w głównym katalogu, cokolwiek w wp-content/uploads/ z rozszerzeniem .php) to niemal na pewno tylne wejście włamywacza. Katalog uploads służy do zdjęć i dokumentów — plik PHP nie ma tam czego szukać.

Coś z tej listy się zgadza — co teraz

Nie kasuj niczego na oślep i nie nadpisuj strony backupem — możesz zatrzeć ślady, z których wynika, którędy weszli, a bez zamknięcia luki wrócą w ciągu kilku dni. Zamiast tego przejdź przez plan pierwszej godziny po włamaniu: zmiana haseł, kopia obecnego stanu, dopiero potem czyszczenie.

Samodzielna weryfikacja wszystkich ośmiu punktów to jakieś 30–40 minut. Czyszczenie zainfekowanej strony to już inna liga — wymaga porównania plików z oryginalnymi paczkami i przeszukania bazy danych.

---

Podejrzewasz włamanie i wolisz mieć pewność? Sprawdzimy i wyczyścimy stronę — bezpłatna diagnoza, reakcja w ciągu dwóch godzin, płatność po wykonaniu.