# DDoS alebo hackerský útok? Správne zaradiť útoky

> DDoS alebo hackerský útok? Typické príznaky v porovnaní, prvé kontrolné príkazy pre server a čo konkrétne urobiť v prvých hodinách.

Zdroj: https://phpsos.de/sk/ratgeber/ddos-oder-exploit/  
Stav: 25.10.2026  
Poskytovateľ: PHP SOS, Núdzová pomoc pri PHP a bezpečnosť serverov. Okamžitá pomoc cez WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20de%C5%88%2C%20PHP%20SOS%2C%20potrebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20serverom%20s%20PHP.%20Spolo%C4%8Dnos%C5%A5%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

**Stručne:** Či ide o DDoS alebo hackerský útok, ukážu stopy. DDoS vytvára veľmi veľa požiadaviek a robí web pomalým alebo nedostupným, ale nič nemení. Exploit často potrebuje len niekoľko požiadaviek a zanecháva nové súbory, účty, procesy alebo spojenia. Správne zaradenie rozhoduje o tom, či musíte odrážať záťaž, alebo zvládnuť incident.

## Rozdiel jednoduchými slovami

**Útok DDoS** (Distributed Denial of Service) je ako dav ľudí, ktorý blokuje vchod do obchodu. Nikto sa nedostane dnu, ale v obchode sa nič nekradne. Cieľom je preťažiť váš web alebo server, aby sa skutoční zákazníci nedostali cez.

**Exploit** je naopak vlámanie cez otvorené dvere. Útočník využije zraniteľnosť, napríklad v PHP, v CMS alebo v rozšírení, aby na vašom serveri vykonal kód. Môže sa to stať potichu, bez toho, aby sa web spomalil. Následky siahajú od spamových stránok cez krádež údajov až po prevzatie servera.

Pre vedenie je rozdiel rozhodujúci: DDoS je problém s dostupnosťou, ktorý sa skončí s útokom. Úspešný exploit je bezpečnostný incident, ktorý trvá, kým sa nenájde, nevyčistí a nezdokumentuje.

## DDoS alebo hackerský útok: príznaky v porovnaní

Nasledujúca tabuľka pomáha pri prvom zaradení. Nenahrádza analýzu, ale ukazuje, kam sa treba pozrieť ako prvé.

| Znak | Skôr DDoS | Skôr exploit alebo vlámanie |
|---|---|---|
| Dostupnosť | pomalá alebo vypadnutá | často normálna |
| Požiadavky v logu | veľmi veľa, často rovnaké | niekoľko cielených požiadaviek |
| Súbory | nezmenené | nové alebo zmenené súbory PHP |
| Účty | nezmenené | noví admini, zmenené heslá |
| Procesy | webový server a PHP pod plnou záťažou | neznáme procesy, ťažba kryptomien, rozosielanie spamu |
| Sieť | veľa prichádzajúcej prevádzky | nezvyčajné odchádzajúce spojenia |
| Po skončení | všetko ako predtým | stopy zostávajú |

Pozor na prekrytia: masové skenovanie za zraniteľnosťou môže vyzerať ako malý DDoS. Presne to sa dalo očakávať okolo PHP2Shell, keď útočníci hľadali zraniteľné servery. Vysoká záťaž teda môže znamenať aj to, že sa niekto práve pokúša vlámať.

## Prvé kontroly na serveri

Nasledujúce príkazy nič nemenia na systéme a poskytujú rýchly prehľad. Pri podozrení na vlámanie zabezpečte logy skôr, než vykonáte väčšie zásahy.

```bash
# Záťaž a doba behu
uptime

# Spojenia v súhrne a najčastejšie protistrany
ss -s
ss -tn state established | awk 'NR>1 {print $4}' | cut -d: -f1 | sort | uniq -c | sort -rn | head

# Najčastejšie adresy klientov v access logu (cestu prispôsobiť)
awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -rn | head -20

# Súbory PHP zmenené za posledných 7 dní
find /var/www -type f -name '*.php' -mtime -7 -printf '%TY-%Tm-%Td %TH:%TM %p\n' | sort

# Procesy s najvyššou záťažou CPU
ps aux --sort=-%cpu | head -15
```

V prehľade spojení ukazuje štvrtý stĺpec protistranu. Veľa spojení z niekoľkých adries alebo nárast na násobok bežnej hodnoty naznačuje preťaženie. Nové súbory PHP v adresároch s uploadmi alebo cache, procesy pod používateľom webového servera s cudzími názvami alebo odchádzajúce spojenia na neznáme ciele naznačujú skôr vlámanie. Podrobný zoznam nájdete na stránke [Príznaky kompromitácie po PHP2Shell](https://phpsos.de/sk/php2shell/bin-ich-gehackt-anzeichen/).

## Prečo môže byť vysoká záťaž aj odvádzacím manévrom

Stáva sa, že útočníci vytvoria preťaženie a zároveň sa cielene vlámu. Tím je potom zamestnaný dostupnosťou a skutočné stopy zanikajú v šume logov. Preto platí: aj keď je DDoS zjavný, po jeho skončení skontrolujte súbory, účty a odchádzajúce spojenia.

V prípade PHP2Shell pribúda, že podľa php.net a bezpečnostných firiem neexistujú zverejnené, potvrdené Indicators of Compromise. Rozpoznávanie sa opiera o analýzu správania. Server, ktorý bol počas obdobia skenovania od polovice októbra nezaplátaný, by sa preto mal skontrolovať nezávisle od pozorovanej záťaže.

Ďalším variantom sú vydieračské e-maily, v ktorých sa hrozí útokom DDoS, ak sa nezaplatí. Takéto správy uschovajte, nezaplaťte bez dohody s odborníkmi a zvážte [trestné oznámenie na Zentrale Ansprechstelle Cybercrime (ZAC, nemecké centrálne kontaktné miesto pre kybernetickú kriminalitu)](https://phpsos.de/sk/compliance/anzeige-polizei-zac/). Súbežne informujte svojho poskytovateľa hostingu, aby sa mohli pripraviť ochranné opatrenia. Ako na to logy vyhodnotiť, je v príručke [Vyhodnotenie logov webového servera po útoku](https://phpsos.de/sk/ratgeber/logfiles-auswerten/).

## Čo urobiť v prvých hodinách

**Pri podozrení na DDoS:**

- Informovať poskytovateľa hostingu alebo dátové centrum; tam často existujú filtre pred serverom.
- Aktivovať alebo sprísniť predradenú ochrannú službu alebo [WAF s virtuálnym záplatovaním](https://phpsos.de/sk/leistungen/waf-virtuelles-patching/).
- Nastaviť limity rýchlosti vo webovom serveri a obzvlášť chrániť drahé stránky ako vyhľadávanie alebo košík.
- Uchovať logy, aby sa útok dal neskôr dohľadať.

**Pri podozrení na vlámanie:**

- Nič nemazať a server nenasadzovať odznova, kým nie sú zabezpečené logy a dotknuté súbory.
- Aktualizovať PHP na opravenú verziu a reštartovať všetkých workerov, ak sa to ešte nestalo.
- Ak aktualizácia nie je okamžite možná, web dočasne odpojiť od siete, ako to odporúča BSI (nemecký Spolkový úrad pre informačnú bezpečnosť).
- Prístupové údaje obnoviť z čistého zariadenia, nie z možno dotknutého servera.
- Nechať preveriť, či by mohli byť dotknuté osobné údaje; vtedy môžu bežať oznamovacie lehoty.

V oboch prípadoch pomáha krátka, vecná poznámka pre poskytovateľa hostingu a dodávateľov: odkedy problém existuje, ktoré weby sú dotknuté, čo ste pozorovali a čo sa už zmenilo. Zaznamenajte navyše, kto urobil ktoré rozhodnutie. Táto časová os šetrí čas pri analýze a je neskôr cenná pre poistenie, ochranu údajov a internú dokumentáciu. Ak je nejasné, či vôbec ide o útok, správajte sa k situácii preventívne ako k incidentu, kým sa nepreukáže opak.

## Ako konkrétne pomáha PHP SOS?

- Situáciu zaradíme na diaľku podľa záťaže, logov, súborov a spojení a povieme vám, s čím sa pravdepodobne stretávate.
- Pri preťažení nastavíme filtre, limity rýchlosti a predradené ochranné pravidlá, kým útok neutíchne.
- Pri podozrení na vlámanie preberáme štruktúrovanú [reakciu na incidenty](https://phpsos.de/sk/leistungen/incident-response/): zabezpečiť, ohraničiť, nájsť príčinu, vyčistiť.
- Na konci zdokumentujeme, čo sa stalo a ktoré opatrenia sa uskutočnili, až kým nie je incident uzavretý.


## Časté otázky

**Môže útok DDoS kradnúť údaje?**  
Čistý útok DDoS cieli na dostupnosť, nie na údaje. Nemení súbory a nečíta databázy. Môže sa však vyskytnúť súčasne s pokusom o vlámanie, preto sa napriek tomu oplatí pozrieť na súbory a účty.

**Podľa čoho spoznám, že môj web bol hacknutý?**  
Typickými indíciami sú nové alebo zmenené súbory PHP, neznáme administrátorské účty, presmerovania na cudzie stránky, neočakávané odchádzajúce spojenia a procesy, ktoré nepatria k vašej aplikácii. Jeden príznak nie je dôkaz, viac naraz je vážny signál.

**Pomáha CDN alebo WAF proti obom druhom útokov?**  
Proti útokom založeným na objeme zvyčajne dobre pomáha predradená služba. Proti exploitom pôsobia pravidlá len vtedy, ak vzor rozpoznajú. Pri PHP2Shell samotný Cloudflare upozorňuje, že pravidlá založené iba na údajoch z požiadaviek nestačia.

**Musím útok DDoS nahlásiť?**  
Závisí to od konkrétneho prípadu a od vášho odvetvia. Bez prístupu k osobným údajom oznamovacia povinnosť podľa GDPR spravidla neplatí, môžu však existovať povinnosti špecifické pre odvetvie. Vyjasnite si to so zodpovednou osobou pre ochranu údajov alebo s právnikom.

## Zdroje

- [BSI: situácia a odporúčania](https://www.bsi.bund.de/)
- [TechTarget: PHP2Shell, 22M exposed servers at risk](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)
- [php.net: bezpečnostné hlásenia](https://www.php.net/)