Krótko: Jeśli Państwa sklep internetowy został zhakowany, chodzi jednocześnie o trzy rzeczy: ochronę danych klientów, zabezpieczenie obrotów i wykazanie, że sklep jest znów czysty. Czy są Państwo dotknięci? Proszę zgłosić się teraz. Przejmujemy zdalnie powstrzymanie ataku, analizę przyczyn, oczyszczenie i dokumentację oraz uzgadniamy się z Państwa usługodawcami.
Teraz niczego nie usuwać i niczego nie instalować od nowa. Zanim usuną Państwo pliki lub przywrócą sklep, pliki, baza danych i logi muszą zostać zabezpieczone. Proszę zadzwonić lub napisać na WhatsApp. Najszybszą drogą jest Zgłoś awarię.
Czy są Państwo dotknięci? Oznaki w sklepie internetowym
W sklepach stawką jest więcej niż w przypadku wizytówki w sieci. Proszę zwrócić uwagę na te sygnały:
- klienci zgłaszają, że ich karta lub konto zostały wykorzystane niezgodnie z prawem po zamówieniu u Państwa
- Państwa dostawca usług płatniczych lub bank pyta o podejrzane transakcje
- w procesie płatności pojawiają się pola, okna lub przekierowania, których Państwo nie skonfigurowali
- zamówienia, ceny lub kupony zostały zmienione bez Państwa udziału
- w panelu administracyjnym są nieznani użytkownicy lub nietypowe logowania
- Państwa serwer pocztowy wysyła spam w imieniu sklepu albo klienci otrzymują wiadomości phishingowe z Państwa adresem nadawcy
- pliki w katalogach mediów, pamięci podręcznej lub wtyczek są nowe lub zmienione, choć nikt nie wdrażał zmian
- obciążenie rośnie bez widocznego wzrostu liczby odwiedzających
Co należy zrobić teraz
- Zdecydować, czy kasa przechodzi w tryb offline. Gdy tylko dane płatnicze lub dane klientów mogą być zagrożone, proszę czasowo odłączyć proces zamówienia lub sklep od sieci, na przykład stroną konserwacyjną. Decyzja należy do Państwa; doradzamy w tej sprawie.
- Niczego nie usuwać, niczego nie nadpisywać. Bez aktualizacji w systemie produkcyjnym, bez przywracania kopii zapasowej.
- Przygotować dostawcę usług płatniczych. Proszę sprawdzić, jakie drogi zgłoszenia przewiduje Państwa umowa, i mieć pod ręką osoby kontaktowe.
- Zachować logi. Proszę poprosić hostingodawcę i agencję o zabezpieczenie logów dostępu, błędów i sklepu. Prasa branżowa zaleca przechowywanie logów serwera od 20.10.2026.
- Spisać dostępy: administrator sklepu, serwer, baza danych, portale płatnicze, interfejsy do systemu magazynowego i wysyłki. Hasła zmieniać dopiero po uzgodnieniu.
- Poinformować wewnętrzne osoby: zarząd, inspektora ochrony danych, ubezpieczyciela. Wskazówki dotyczące polisy znajdują się w artykule Cyberubezpieczenie w razie szkody.
- Skontaktować się z nami, zanim Państwa agencja zacznie naprawiać sklep na własną rękę.
Jak PHP SOS pomaga przy zhakowanym sklepie internetowym?
- Ocena sytuacji: system sklepu, wersja, stan PHP, hostingodawca, formy płatności, włączone usługi. Wyjaśniamy, jakie dane znajdują się w sklepie.
- Zabezpieczenie i powstrzymanie: obraz plików i bazy danych, zabezpieczenie logów, blokowanie podejrzanych dostępów, zabezpieczenie kasy.
- Ustalenie przyczyny i zakresu: sprawdzamy pliki rdzenia, rozszerzenia, szablony, zaplanowane zadania i zawartość bazy danych pod kątem manipulacji i staramy się udokumentować, co mogło wypłynąć. Tam, gdzie ślady nie wystarczają, mówimy to otwarcie.
- Oczyszczenie i przywrócenie: usunięcie złośliwego kodu lub odbudowa z zaufanych źródeł, zależnie od ustaleń. Rozważenie jednego i drugiego opisuje artykuł Zainstalować od nowa czy oczyścić?.
- Wzmocnienie, ponowne udostępnienie, raport: stan PHP, uprawnienia, ochrona panelu administratora, monitorowanie. Otrzymują Państwo dokumentację, którą mogą przedstawić dostawcy usług płatniczych, inspektorowi ochrony danych i ubezpieczycielowi.
Jeśli incydent wykracza poza sklep, na przykład na system magazynowy lub systemy wewnętrzne, przechodzimy do reakcji na incydenty (Incident Response). Jeśli muszą Państwo wiedzieć w sposób wytrzymujący przed sądem, co się stało, dodatkowo wchodzi w grę informatyka śledcza.
Dane klientów, obowiązki zgłoszeniowe i komunikacja
W sklepie znajdują się imiona i nazwiska, adresy, zamówienia i często dane odnoszące się do płatności. Gdy tylko takie dane mogły zostać dotknięte, biegnie termin: RODO przewiduje zgłoszenie do organu nadzorczego w ciągu 72 godzin, jeśli nie można wykluczyć ryzyka dla osób, których dane dotyczą. To, czy dotyczy to Państwa przypadku, wyjaśniają Państwo z inspektorem ochrony danych lub prawnikiem; nie udzielamy porad prawnych. Dostarczamy techniczne podstawy, których Państwo do tego potrzebują. Więcej o terminie: obowiązek zgłoszenia według RODO.
Do incydentu należy także komunikacja z klientami. Jak informować rzeczowo, niczego nie zatajając ani nie spekulując, opisują artykuły Informowanie klientów po incydencie i Komunikacja kryzysowa po ataku. Możliwość zawiadomienia o przestępstwie omawiamy w artykule Zawiadomienie policji.
Systemy sklepowe i stan PHP
WooCommerce, Shopware, Magento czy PrestaShop: wszystkie działają na PHP. Aktualizacja oprogramowania sklepu nie zamyka luk PHP2Shell w PHP. Strona branżowa Bezpieczeństwo IT dla sklepów internetowych podsumowuje specyfikę, a strony platform WooCommerce i Shopware 6 omawiają poszczególne systemy.
Jak ponownie udostępniamy sklep
Sklep wraca do pełnej pracy dopiero wtedy, gdy zgadzają się trzy rzeczy: złośliwy kod jest usunięty, punkt wejścia zamknięty, a dane dostępowe wymienione. Należą do nich konta administratorów, hasła do bazy danych, klucze API do dostawców płatności i wysyłki oraz dostępy pocztowe. Kasę sprawdzamy na końcu zamówieniem testowym, aby było widać, że proces płatności działa bez zmian. Potem zalecamy ściślejsze monitorowanie przez następne tygodnie, ponieważ atakujący chętnie ponownie sprawdzają znane ofiary. Nie ma gwarancji, że nigdy więcej nic się nie wydarzy; jest natomiast udokumentowany stan i jasny podział odpowiedzialności.
Co warto nam przesłać
- system sklepu i wersję, hostingodawcę, a jeśli znana, także wersję PHP
- co zwróciło uwagę jako pierwsze i od kiedy
- uwagi klientów, banku lub dostawcy usług płatniczych w brzmieniu dosłownym
- nazwę agencji lub programisty, którzy opiekują się sklepem
- stan i miejsce ostatniej kopii zapasowej
Dlaczego PHP SOS
Pracujemy w standardzie Made in Germany i od ponad 25 lat specjalizujemy się w bezpieczeństwie IT wraz z naszą siecią partnerów złożoną z ekspertów od cyberbezpieczeństwa. Mają Państwo jedną osobę kontaktową, która prowadzi incydent w sklepie od pierwszego kontaktu do zakończenia. Pracujemy zdalnie w całych Niemczech i w Europie, utrwalamy każdy krok na piśmie i nie obiecujemy niczego, czego nikt nie może dotrzymać. Pracujemy, aż incydent zostanie zakończony i udokumentowany.
Czy są Państwo dotknięci? Proszę zadzwonić. Pomożemy.
Każda godzina ze skompromitowaną kasą może kosztować dane klientów. Proszę zgłosić się teraz, telefonicznie lub przez WhatsApp, a przejmiemy sprawę od pierwszej wiadomości. Zgłoś awarię teraz
Częste pytania
Czy mam od razu wyłączyć sklep internetowy, jeśli został zhakowany?
Jeśli zagrożone są dane klientów lub transakcje płatnicze, czasowe wyłączenie kasy lub całego sklepu jest często właściwą decyzją. Ważenie między utratą obrotów a szkodą należy do Państwa, my dostarczamy do tego ocenę techniczną. Ważne, aby przy tym nie usuwać żadnych plików.
Czy muszę poinformować klientów, jeśli mój sklep został zhakowany?
Zależy to od tego, czy mogły zostać dotknięte dane osobowe i jakie ryzyko występuje dla osób, których dotyczą. Decyzję proszę podjąć wspólnie z inspektorem ochrony danych lub prawnikiem. Nasz raport dostarcza do tego fakty techniczne.
Po czym poznać, że w kasie obcy kod przechwytuje dane płatnicze?
Wskazówki to nieznane skrypty w procesie płatności, zgłoszenia klientów o nadużyciu ich karty po zakupie lub informacje od dostawcy usług płatniczych. Pewność daje wyłącznie sprawdzenie plików i bazy danych.
Czy mogę po prostu odtworzyć sklep z kopii zapasowej?
Kopia zapasowa przywraca czysty stan tylko wtedy, gdy została wykonana przed włamaniem, a punkt wejścia został następnie zamknięty. Jedno i drugie jest wcześniej często niejasne. Dlatego najpierw zabezpieczamy, a potem oceniamy wspólnie z Państwem.
Czy pomoc awaryjna obejmuje także Shopware, WooCommerce lub Magento?
Tak. Sposób postępowania jest przy wszystkich sklepach PHP podobny: zabezpieczyć, powstrzymać, znaleźć przyczynę, oczyścić, wzmocnić. Specyfikę systemu sprawdzamy w danym sklepie.