Lyhyesti: Jos verkkosivustonne on hakkeroitu, tärkein kysymys on: mitä tehdä tuhoamatta jälkiä? Hoidamme etänä rajaamisen, turvaamme lokit ja tiedostot, poistamme haittakoodin, suljemme sisäänkäynnin ja dokumentoimme kaiken. Päätökset pysyvät teillä, me toimitamme tekniset tosiasiat.
Verkkosivusto hakkeroitu: mitä tehdä ensimmäisen tunnin aikana?
Ensimmäiset askeleet ratkaisevat, voidaanko tapaus myöhemmin selvittää kunnolla. Rauha on tärkeämpää kuin kiire hinnalla millä hyvänsä. Nämä asiat voitte tehdä heti itse:
- Älkää poistako mitään: älkää poistako tiedostoja, älkää asentako uudelleen vanhan tilan päälle älkääkä palauttako varmuuskopiota, ennen kuin tilanne on turvattu.
- Eristäkää: asettakaa verkkosivusto huoltotilaan tai ottakaa se tilapäisesti pois verkosta, jos kävijät ovat vaarassa tai tietoja voi valua ulos.
- Säilyttäkää lokit: pyytäkää hosting-yritystänne olemaan ylikirjoittamatta käyttö- ja virhelokeja. PHP2Shellin osalta ammattilehdistö neuvoo säilyttämään palvelinlokit 20.10.2026 alkaen.
- Kirjatkaa pääsyoikeudet ylös: kenellä on ylläpitäjän, FTP:n, SSH:n ja paneelin tunnukset? Vaihtakaa salasanat vasta sovittuanne asiasta, ja tehkää se puhtaalta laitteelta.
- Ilmoittakaa osallisille: johdolle, tietosuojavastaavalle ja voimassa olevan vakuutuksen osalta vakuutusyhtiölle.
Olettakaa, että verkkopalvelimelle päässyt hyökkääjä on voinut lukea myös tunnuksia asetustiedostoista. Tietokannan, sähköpostin ja API:en tunnukset kuuluvat siksi vaihdettavien salaisuuksien luetteloon.
Mitkä merkit viittaavat vaarantumiseen, kerrotaan sivulla Onko minuun jo murtauduttu?.
Miten PHP SOS auttaa konkreettisesti?
- Tilannekuva: Selvitämme kanssanne, mitä on havaittu, mitkä järjestelmät voivat olla vaarantuneita ja mitä tietoja niissä on. Siitä syntyy lyhyt arvio seuraavista vaiheista.
- Turvaaminen ja rajaaminen: Turvaamme tiedostot, tietokannan ja lokit ennen kuin mitään muutetaan. Sen jälkeen rajaamme hyökkäyksen esimerkiksi estämällä epäilyttäviä pääsyjä, poistamalla saastuneita toimintoja käytöstä tai eristämällä järjestelmän väliaikaisesti.
- Sisäänkäynnin löytäminen ja sulkeminen: Tarkistamme PHP-version ja korjaustilan, CMS:n, laajennukset ja pääsyoikeudet. Jos sisäänpääsy PHP2Shellin kautta vaikuttaa todennäköiseltä, asennamme korjauksen ja käynnistämme kaikki PHP-prosessit uudelleen.
- Puhdistus ja palautus: Web shellit, takaovet ja manipuloidut tiedostot poistetaan tai tila rakennetaan uudelleen luotettavista lähteistä. Yksityiskohdat löytyvät sivulta Haittaohjelmien ja web shellien poisto.
- Päättäminen ja raportti: Saatte tapauksen dokumentaation ja koventamissuositukset. Jos tarvitaan oikeuskelpoista selvitystä, otamme mukaan forensiikkaan erikoistuneita kumppaneita.
Mitä saatte meiltä
- tapauksen aikajana siltä osin kuin se on osoitettavissa jäljillä
- luettelo löydetyistä ja poistetuista haittakomponenteista
- kuvaus todennäköisestä sisäänkäynnistä, selvästi eroteltuna todennettuun, todennäköiseen ja tuntemattomaan
- luettelo kaikista muutetuista pääsyoikeuksista ja salaisuuksista
- suositukset siitä, mitä tulisi suojata pysyvästi
Raportti auttaa keskusteluissa tietosuojavastaavan, vakuutusyhtiön ja tarvittaessa poliisin kanssa. Oikeudelliseen arviointiin, esimerkiksi GDPR:n 72 tunnin ilmoitusvelvollisuuteen, se ei korvaa asiantuntijoiden neuvontaa.
Mitä tarvitsemme teiltä
- Pääsyt: palvelimelle (SSH tai paneeli), CMS:n ylläpitoon ja tietokantaan, vaihtoehtoisesti lupa puhua suoraan hosting-yrityksenne kanssa
- Yhteyshenkilö: tavoitettavissa oleva henkilö, jolla on valtuudet päättää sammuttamisesta, uudelleenkäynnistyksistä ja salasanojen vaihdosta
- Tiedot: milloin ongelma on huomattu, mitä muutoksia viimeksi tehtiin ja kenellä oli pääsy
- Varmuuskopiot: missä kopiot sijaitsevat ja kuinka vanhoja ne ovat
- Yhteys palveluntarjoajiin: toimisto, kehittäjä tai hosting-yritys, jotka tuntevat järjestelmän
Mitä emme lupaa
Emme voi luvata, että jokainen hyökkäys on täysin rekonstruoitavissa. Jos lokit puuttuvat tai ne on jo ylikirjoitettu, jää aukkoja, ja ne kerromme avoimesti. Emme myöskään lupaa, että puhdistettu sivusto pysyy turvallisena ikuisesti. Työskentelemme tapauksen parissa, kunnes se on päätetty ja dokumentoitu, ja kerromme, mitä sen jälkeen on vielä tehtävä.
Emme anna oikeudellista neuvontaa. Ilmoitusvelvollisuutta, vastuuta tai vakuutussuojaa koskevat kysymykset kuuluvat tietosuojavastaavalle, lakimiehelle ja vakuutusyhtiölle. Tapauksen jäsennellyssä läpikäynnissä auttaa tarkistuslistamme hakkeroinnin jälkeen.
Milloin tarvitaan laajempaa poikkeaman käsittelyä
Jotkin tapaukset ulottuvat yhtä verkkosivustoa pidemmälle: useita palvelimia, ulos vuotaneita asiakastietoja, kiristystä tai hyökkääjä, joka etenee verkossa. Silloin siirrymme jäsenneltyyn incident responseen, jossa on kiinteät roolit, tilannepalaverit ja yhteen sovitettu viestintä. Siirtymästä sovimme kanssanne heti, kun se on näköpiirissä.
Myös pienemmän tapauksen jälkeen kannattaa katsoa eteenpäin. Puhdistettu verkkosivusto ilman koventamista, päivityksiä ja valvontaa on edelleen ilmeinen kohde, sillä hyökkääjät tarkistavat tunnetut uhrit usein uudelleen. Siksi on järkevää sopia päättämisen yhteydessä, kuka vastaa jatkossa päivityksistä, varmuuskopioista ja valvonnasta. Usein tapaus paljastaa juuri tässä aukon: kukaan ei tuntenut olevansa vastuussa tai pääsyoikeudet olivat palveluntarjoajalla, jota ei enää tavoitettu. Nämä kysymykset selvitämme kanssanne päätöskeskustelussa, jotta tapauksesta tulee parempi toiminta.
Usein kysytyt kysymykset
Pitäisikö hakkeroitu verkkosivusto poistaa heti ja asentaa uudelleen?
Ei kannata hätiköidä. Kun kaikki poistetaan, tuhoutuvat jäljet, jotka osoittavat, miten hyökkääjä pääsi sisään ja ovatko tietoja valuneet ulos. Parempi on ottaa sivusto pois verkosta tai eristää se ja turvata tilanne ensin.
Mistä tunnistan, että verkkosivustoni on hakkeroitu?
Tyypillisiä merkkejä ovat vieraat uudelleenohjaukset, roskapostisivut Googlen hakemistossa, tuntemattomat ylläpitäjätilit, uudet PHP-tiedostot tai selaimen, hosting-yrityksen tai Googlen varoitukset. Myös selvästi noussut palvelimen kuormitus tai epätavallinen lähtevä tietoliikenne voivat olla vihjeitä.
Pitääkö hakkerihyökkäyksestä ilmoittaa?
Jos henkilötietoja voi olla vaarantunut, valvontaviranomaiselle voi olla ilmoitusvelvollisuus 72 tunnin kuluessa. Koskeeko se teitä, selvittäkää tietosuojavastaavanne tai lakimiehen kanssa.
Auttaako hätäapu myös, jos palvelin on hosting-yrityksellä?
Kyllä. Työskentelemme niillä tunnuksilla, jotka teillä on, ja sovimme tarvittaessa asioista hosting-yrityksenne kanssa. Mitä voimme tarkistaa, riippuu oikeuksista, jotka voitte meille antaa.