# Web napaden, co dělat? Nouzová pomoc na dálku > Web napaden? Zajistíme stopy, zastavíme útok, vyčistíme server a incident zdokumentujeme. Nouzová pomoc na dálku pro firmy a jejich vedení. Zdroj: https://phpsos.de/cs/leistungen/website-gehackt-notfallhilfe/ Stav: 25.10.2026 Poskytovatel: PHP SOS, Nouzová pomoc pro PHP a bezpečnost serverů. Okamžitá pomoc přes WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20den%2C%20PHP%20SOS%2C%20pot%C5%99ebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20PHP%20serverem.%20Firma%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6 **Stručně:** Pokud byl váš web napaden, nejdůležitější otázka zní „co dělat, aniž bych zničil stopy?“. Na dálku převezmeme omezení škod, zajistíme logy a soubory, odstraníme škodlivý kód, uzavřeme vstupní bránu a vše zdokumentujeme. Rozhodnutí zůstávají na vás, technická fakta dodáme my. ## Web napaden: co dělat v první hodině? První kroky rozhodují o tom, zda půjde incident později čistě objasnit. Klid je důležitější než tempo za každou cenu. Tyto body můžete udělat ihned sami: - **Nic nemazat:** neodstraňovat soubory, nenasazovat novou instalaci přes starý stav, neobnovovat zálohu, dokud nebylo vše zajištěno. - **Odizolovat:** přepnout web do režimu údržby nebo ho dočasně odpojit od sítě, pokud jsou ohroženi návštěvníci nebo by mohla unikat data. - **Uchovat logy:** požádat poskytovatele hostingu, aby nepřepisoval přístupové a chybové protokoly. U PHP2Shell odborný tisk radí uchovat logy serveru od 20. 10. 2026. - **Poznamenat si přístupy:** kdo má administrátorský přístup, FTP, SSH a přístup do panelu? Hesla měnit až po dohodě, a to z čistého zařízení. - **Informovat zúčastněné:** vedení firmy, pověřence pro ochranu osobních údajů a při existující smlouvě pojišťovnu. > **Jednejte ihned:** > Vycházejte z toho, že útočník s přístupem k webovému serveru mohl číst i přístupové údaje z konfiguračních souborů. Přístupy k databázi, poště a API proto patří na seznam tajných údajů, které je třeba změnit. Které známky ukazují na kompromitaci, popisuje stránka [Jsem už napaden?](https://phpsos.de/cs/php2shell/bin-ich-gehackt-anzeichen/). ## Jak konkrétně pomáhá PHP SOS? 1. **Obraz situace:** S vámi ujasníme, co bylo pozorováno, které systémy mohou být postiženy a jaká data tam jsou. Vznikne z toho krátké zhodnocení s dalšími kroky. 2. **Zajistit a omezit:** Zajistíme soubory, databázi a logy dříve, než se cokoli změní. Poté útok omezíme, například blokováním podezřelých přístupů, vypnutím napadených funkcí nebo dočasným odizolováním. 3. **Najít a uzavřít vstupní bránu:** Zkontrolujeme verzi PHP a stav záplat, CMS, rozšíření a přístupy. Pokud se vstup přes PHP2Shell nabízí, záplatujeme a restartujeme všechny procesy PHP. 4. **Vyčistit a obnovit:** Webshelly, zadní vrátka a manipulované soubory se odstraní, nebo se stav znovu sestaví z důvěryhodných zdrojů. Podrobnosti najdete na stránce [Odstranění malwaru a webshellů](https://phpsos.de/cs/leistungen/malware-entfernung/). 5. **Uzavření a zpráva:** Obdržíte dokumentaci incidentu a doporučení pro hardening. Pokud je nutné soudně použitelné objasnění, přizveme specializované partnery pro forenzní analýzu. ## Co od nás získáte - časovou osu incidentu, pokud ji stopy dovolují doložit - seznam nalezených a odstraněných škodlivých komponent - popis pravděpodobné vstupní brány, jasně rozdělený na doložené, pravděpodobné a neznámé - seznam všech změněných přístupů a tajných údajů - doporučení, co by se mělo trvale zabezpečit Zpráva pomáhá při jednání s pověřencem pro ochranu osobních údajů, pojišťovnou a případně policií. Pro právní zařazení, například [oznamovací povinnost podle GDPR do 72 hodin](https://phpsos.de/cs/compliance/dsgvo-meldepflicht-72-stunden/), nenahrazuje poradenství odborníků. ## Co potřebujeme od vás - **Přístupy:** k serveru (SSH nebo panel), k administraci CMS a k databázi, případně svolení, abychom mohli přímo komunikovat s vaším poskytovatelem hostingu - **Kontaktní osoba:** dosažitelná osoba s pravomocí rozhodovat o vypnutí, restartech a změně hesel - **Informace:** od kdy se problém projevuje, jaké změny proběhly naposledy, kdo měl přístup - **Zálohy:** kde jsou uloženy zálohy a jak jsou staré - **Kontakt na dodavatele:** agentura, vývojář nebo poskytovatel hostingu, kteří systém znají ## Co neslibujeme Nemůžeme slíbit, že lze každý útok zcela rekonstruovat. Pokud logy chybí nebo už byly přepsány, zůstanou mezery, a ty otevřeně pojmenujeme. Neslibujeme ani to, že vyčištěný web zůstane navždy bezpečný. Na incidentu pracujeme, dokud není uzavřen a zdokumentován, a řekneme vám, co je poté ještě třeba udělat. Právní poradenství neposkytujeme. Otázky k oznamovacím povinnostem, odpovědnosti nebo pojistné ochraně patří pověřenci pro ochranu osobních údajů, právníkovi a pojišťovně. Pro strukturované zpracování po incidentu vám pomůže náš [kontrolní seznam po napadení](https://phpsos.de/cs/ratgeber/checkliste-nach-dem-hack/). ## Kdy je nutné rozsáhlejší zpracování incidentu Některé incidenty přesahují jeden web: více serverů, uniklá data zákazníků, vydírání nebo útočník, který se pohybuje dál v síti. Pak přecházíme na strukturovanou [reakci na incidenty (incident response)](https://phpsos.de/cs/leistungen/incident-response/) s pevnými rolemi, poradami k situaci a koordinovanou komunikací. Přechod s vámi proberme, jakmile se začne rýsovat. I po menším incidentu se vyplatí pohled dopředu. Vyčištěný web bez hardeningu, aktualizací a sledování zůstává snadným cílem, protože útočníci známé oběti často kontrolují znovu. Proto je rozumné po uzavření určit, kdo bude do budoucna odpovídat za aktualizace, zálohy a kontrolu. Incident často ukáže právě tady mezeru: nikdo se necítil odpovědný, nebo přístupy měl dodavatel, který už nebyl k zastižení. Tyto otázky s vámi ujasníme při závěrečném rozhovoru, aby se z incidentu stal lepší provoz. ## Časté dotazy **Mám napadený web ihned smazat a nasadit znovu?** Prosím nespěchejte. Kdo všechno smaže, zničí stopy, které ukazují, jak se útočník dostal dovnitř a zda unikla data. Lepší je web odpojit od sítě nebo odizolovat a nejprve zajistit data. **Podle čeho poznám, že byl můj web napaden?** Typickými znaky jsou cizí přesměrování, spamové stránky v indexu Google, neznámé administrátorské účty, nové soubory PHP nebo varování od prohlížeče, poskytovatele hostingu či Googlu. Indicií může být také výrazně vyšší zátěž serveru nebo nápadný odchozí provoz. **Musím útok hackerů nahlásit?** Pokud mohou být dotčeny osobní údaje, může existovat povinnost hlášení dozorovému úřadu do 72 hodin. Zda se to týká vás, ujasněte prosím s pověřencem pro ochranu osobních údajů nebo s právníkem. **Pomůže nouzová pomoc i tehdy, když server leží u poskytovatele hostingu?** Ano. Pracujeme s přístupem, který máte, a v případě potřeby se domlouváme s vaším poskytovatelem hostingu. Co můžeme zkontrolovat, závisí na oprávněních, která nám můžete udělit. ## Zdroje - [BSI: německý Spolkový úřad pro informační bezpečnost](https://www.bsi.bund.de/) - [GDPR čl. 33: oznámení dozorovému úřadu](https://dsgvo-gesetz.de/art-33-dsgvo/) - [Nápověda Google Search Console](https://support.google.com/webmasters/) - [Německá policie: ústřední kontaktní místa pro kybernetickou kriminalitu](https://www.polizei.de/)