Stručně: Pokud byl váš web napaden, nejdůležitější otázka zní „co dělat, aniž bych zničil stopy?“. Na dálku převezmeme omezení škod, zajistíme logy a soubory, odstraníme škodlivý kód, uzavřeme vstupní bránu a vše zdokumentujeme. Rozhodnutí zůstávají na vás, technická fakta dodáme my.
Web napaden: co dělat v první hodině?
První kroky rozhodují o tom, zda půjde incident později čistě objasnit. Klid je důležitější než tempo za každou cenu. Tyto body můžete udělat ihned sami:
- Nic nemazat: neodstraňovat soubory, nenasazovat novou instalaci přes starý stav, neobnovovat zálohu, dokud nebylo vše zajištěno.
- Odizolovat: přepnout web do režimu údržby nebo ho dočasně odpojit od sítě, pokud jsou ohroženi návštěvníci nebo by mohla unikat data.
- Uchovat logy: požádat poskytovatele hostingu, aby nepřepisoval přístupové a chybové protokoly. U PHP2Shell odborný tisk radí uchovat logy serveru od 20. 10. 2026.
- Poznamenat si přístupy: kdo má administrátorský přístup, FTP, SSH a přístup do panelu? Hesla měnit až po dohodě, a to z čistého zařízení.
- Informovat zúčastněné: vedení firmy, pověřence pro ochranu osobních údajů a při existující smlouvě pojišťovnu.
Vycházejte z toho, že útočník s přístupem k webovému serveru mohl číst i přístupové údaje z konfiguračních souborů. Přístupy k databázi, poště a API proto patří na seznam tajných údajů, které je třeba změnit.
Které známky ukazují na kompromitaci, popisuje stránka Jsem už napaden?.
Jak konkrétně pomáhá PHP SOS?
- Obraz situace: S vámi ujasníme, co bylo pozorováno, které systémy mohou být postiženy a jaká data tam jsou. Vznikne z toho krátké zhodnocení s dalšími kroky.
- Zajistit a omezit: Zajistíme soubory, databázi a logy dříve, než se cokoli změní. Poté útok omezíme, například blokováním podezřelých přístupů, vypnutím napadených funkcí nebo dočasným odizolováním.
- Najít a uzavřít vstupní bránu: Zkontrolujeme verzi PHP a stav záplat, CMS, rozšíření a přístupy. Pokud se vstup přes PHP2Shell nabízí, záplatujeme a restartujeme všechny procesy PHP.
- Vyčistit a obnovit: Webshelly, zadní vrátka a manipulované soubory se odstraní, nebo se stav znovu sestaví z důvěryhodných zdrojů. Podrobnosti najdete na stránce Odstranění malwaru a webshellů.
- Uzavření a zpráva: Obdržíte dokumentaci incidentu a doporučení pro hardening. Pokud je nutné soudně použitelné objasnění, přizveme specializované partnery pro forenzní analýzu.
Co od nás získáte
- časovou osu incidentu, pokud ji stopy dovolují doložit
- seznam nalezených a odstraněných škodlivých komponent
- popis pravděpodobné vstupní brány, jasně rozdělený na doložené, pravděpodobné a neznámé
- seznam všech změněných přístupů a tajných údajů
- doporučení, co by se mělo trvale zabezpečit
Zpráva pomáhá při jednání s pověřencem pro ochranu osobních údajů, pojišťovnou a případně policií. Pro právní zařazení, například oznamovací povinnost podle GDPR do 72 hodin, nenahrazuje poradenství odborníků.
Co potřebujeme od vás
- Přístupy: k serveru (SSH nebo panel), k administraci CMS a k databázi, případně svolení, abychom mohli přímo komunikovat s vaším poskytovatelem hostingu
- Kontaktní osoba: dosažitelná osoba s pravomocí rozhodovat o vypnutí, restartech a změně hesel
- Informace: od kdy se problém projevuje, jaké změny proběhly naposledy, kdo měl přístup
- Zálohy: kde jsou uloženy zálohy a jak jsou staré
- Kontakt na dodavatele: agentura, vývojář nebo poskytovatel hostingu, kteří systém znají
Co neslibujeme
Nemůžeme slíbit, že lze každý útok zcela rekonstruovat. Pokud logy chybí nebo už byly přepsány, zůstanou mezery, a ty otevřeně pojmenujeme. Neslibujeme ani to, že vyčištěný web zůstane navždy bezpečný. Na incidentu pracujeme, dokud není uzavřen a zdokumentován, a řekneme vám, co je poté ještě třeba udělat.
Právní poradenství neposkytujeme. Otázky k oznamovacím povinnostem, odpovědnosti nebo pojistné ochraně patří pověřenci pro ochranu osobních údajů, právníkovi a pojišťovně. Pro strukturované zpracování po incidentu vám pomůže náš kontrolní seznam po napadení.
Kdy je nutné rozsáhlejší zpracování incidentu
Některé incidenty přesahují jeden web: více serverů, uniklá data zákazníků, vydírání nebo útočník, který se pohybuje dál v síti. Pak přecházíme na strukturovanou reakci na incidenty (incident response) s pevnými rolemi, poradami k situaci a koordinovanou komunikací. Přechod s vámi proberme, jakmile se začne rýsovat.
I po menším incidentu se vyplatí pohled dopředu. Vyčištěný web bez hardeningu, aktualizací a sledování zůstává snadným cílem, protože útočníci známé oběti často kontrolují znovu. Proto je rozumné po uzavření určit, kdo bude do budoucna odpovídat za aktualizace, zálohy a kontrolu. Incident často ukáže právě tady mezeru: nikdo se necítil odpovědný, nebo přístupy měl dodavatel, který už nebyl k zastižení. Tyto otázky s vámi ujasníme při závěrečném rozhovoru, aby se z incidentu stal lepší provoz.
Časté dotazy
Mám napadený web ihned smazat a nasadit znovu?
Prosím nespěchejte. Kdo všechno smaže, zničí stopy, které ukazují, jak se útočník dostal dovnitř a zda unikla data. Lepší je web odpojit od sítě nebo odizolovat a nejprve zajistit data.
Podle čeho poznám, že byl můj web napaden?
Typickými znaky jsou cizí přesměrování, spamové stránky v indexu Google, neznámé administrátorské účty, nové soubory PHP nebo varování od prohlížeče, poskytovatele hostingu či Googlu. Indicií může být také výrazně vyšší zátěž serveru nebo nápadný odchozí provoz.
Musím útok hackerů nahlásit?
Pokud mohou být dotčeny osobní údaje, může existovat povinnost hlášení dozorovému úřadu do 72 hodin. Zda se to týká vás, ujasněte prosím s pověřencem pro ochranu osobních údajů nebo s právníkem.
Pomůže nouzová pomoc i tehdy, když server leží u poskytovatele hostingu?
Ano. Pracujeme s přístupem, který máte, a v případě potřeby se domlouváme s vaším poskytovatelem hostingu. Co můžeme zkontrolovat, závisí na oprávněních, která nám můžete udělit.