Co robić w pierwszej godzinie po włamaniu na stronę

Właśnie się dowiedziałeś, że ktoś włamał się na Twoją stronę — zobaczyłeś jeden z sygnałów, dostałeś maila od hostingu albo klient zadzwonił, że „strona przekierowuje na coś dziwnego”. Pierwsza godzina decyduje o tym, ile ten incydent będzie kosztował. Oto kolejność działań — i lista rzeczy, których nie robić.

Czego nie robić — najpierw, bo to najczęstsze błędy

Nie przywracaj od razu kopii zapasowej. To odruch, który pogarsza sytuację dwa razy: po pierwsze zacierasz ślady, z których widać, którędy włamywacz wszedł — a bez zamknięcia tej drogi wróci. Po drugie, backup sprzed tygodnia może już zawierać infekcję, bo od włamania do objawów często mijają tygodnie.

Nie kasuj podejrzanych plików pojedynczo. Malware rzadko siedzi w jednym miejscu. Usunięcie tego, co widać, daje spokój na dwa dni, a potem wszystko wraca — z tylnego wejścia, którego nie zauważyłeś.

Nie ogłaszaj włamania na stronie ani w mediach społecznościowych, dopóki nie wiesz, co się stało. Zdążysz — najpierw ustal skalę.

Minuta 0–10: odetnij dostęp

1. Zmień hasło do panelu hostingu i FTP. To ważniejsze niż hasło do WordPressa — kto ma FTP, ten ma wszystko.
2. Zmień hasło administratora WordPressa — o ile panel jeszcze działa i dostęp nie został Ci odebrany.
3. Sprawdź listę administratorów (Użytkownicy → filtr „Administrator”). Obce konta degraduj do roli „Subskrybent” — nie kasuj, przydadzą się jako ślad.
4. Jeśli strona aktywnie szkodzi — przekierowuje klientów na scam albo rozsyła spam — włącz tryb konserwacji albo poproś hosting o tymczasowe wyłączenie strony. Godzina przerwy technicznej kosztuje mniej niż klient, który trafił z Twojej domeny na fałszywy sklep.

Minuta 10–20: zabezpiecz stan obecny

Zrób pełną kopię strony w obecnym, zainfekowanym stanie — pliki i baza danych. Brzmi absurdalnie, ale to kluczowy krok: ta kopia to materiał dowodowy i źródło wiedzy o tym, którędy nastąpiło włamanie. Większość paneli hostingu robi to jednym kliknięciem; przez FTP potrwa dłużej, ale też się da.

Przy okazji sprawdź, jaki masz najświeższy czysty backup i z jakiej daty. Nie przywracaj go jeszcze — tylko upewnij się, że istnieje i da się go pobrać. Jeśli odzyskiwanie okaże się konieczne, zrób to według planu, nie w panice.

Minuta 20–40: ustal skalę

• site:twojadomena.pl w Google — czy w indeksie wiszą spamerskie podstrony?
• Google Search Console → Bezpieczeństwo i ręczne działania — czy Google już wykrył problem?
• Data modyfikacji plików przez FTP — co zmieniało się w dniach, kiedy Ty nic nie zmieniałeś?
• Skrzynka mailowa hostingu — powiadomienia o limitach, spamie, blokadach.

Zanotuj wszystko z datami. Ta lista skróci czyszczenie o godziny — niezależnie od tego, czy zrobisz je sam, czy zlecisz.

Minuta 40–60: zdecyduj, kto czyści

Samodzielne czyszczenie ma sens, jeśli umiesz porównać pliki WordPressa z oryginalnymi paczkami z wordpress.org, przeszukać bazę pod kątem wstrzykniętego kodu i znaleźć przyczynę włamania — zwykle przeterminowaną wtyczkę albo słabe hasło. Jeśli to nie Twoja bajka, nie ma czego udowadniać: profesjonalne czyszczenie z zamknięciem luki to u nas zwykle 2–4 godziny, a nieudane domowe próby potrafią rozciągnąć sprawę na tygodnie nawracających infekcji.

Jedno jest pewne: przeczekanie nie jest opcją. Każdy dzień ze spamem w indeksie to spadające pozycje, a każdy dzień rozsyłania spamu to domena głębiej na czarnych listach.

---

Strona po włamaniu i liczy się czas? Pogotowie WordPress — pakiet „Po włamaniu”: czyszczenie, zamknięcie luki i zgłoszenie do Google w ryczałcie 690 zł netto. Reakcja w ciągu dwóch godzin, płatność po wykonaniu.