Na kratko: Če je bila vaša spletna stran vdrta, je najpomembnejše vprašanje „kaj storiti, ne da bi uničili sledi?“. Na daljavo prevzamemo omejitev škode, zavarujemo dnevnike in datoteke, odstranimo škodljivo kodo, zapremo vstopna vrata in vse dokumentiramo. Odločitve ostanejo vaše, mi zagotovimo tehnična dejstva.
Spletna stran vdrta: kaj storiti v prvi uri?
Prvi koraki odločajo o tem, ali bo mogoče incident pozneje čisto razjasniti. Mirnost je pomembnejša od hitrosti za vsako ceno. Te točke lahko takoj opravite sami:
- Nič ne brišite: ne odstranjujte datotek, ne nameščajte znova čez staro stanje, ne obnavljajte varnostne kopije, preden ni zavarovano stanje.
- Izolirajte: spletno stran prestavite v vzdrževalni način ali jo začasno odklopite z omrežja, če so obiskovalci ogroženi ali bi lahko podatki iztekali.
- Ohranite dnevnike: prosite ponudnika gostovanja, naj dnevnikov dostopov in napak ne prepiše. Pri PHP2Shell strokovni tisk svetuje hranjenje dnevnikov strežnika od 20. 10. 2026.
- Zapišite dostope: kdo ima skrbniške dostope, dostope FTP, SSH in do panela? Gesla spremenite šele po dogovoru, in sicer z čiste naprave.
- Obvestite udeležence: vodstvo, pooblaščenca za varstvo podatkov in ob obstoječi polici zavarovalnico.
Izhajajte iz tega, da je napadalec z dostopom do spletnega strežnika lahko prebral tudi dostopne podatke iz konfiguracijskih datotek. Dostopi do podatkovne zbirke, e-pošte in API-jev zato sodijo na seznam skrivnosti, ki jih je treba zamenjati.
Kateri znaki kažejo na ogroženost, opisuje stran Ali sem že ogrožen?.
Kako konkretno pomaga PHP SOS?
- Slika stanja: z vami razjasnimo, kaj je bilo opaženo, kateri sistemi bi lahko bili prizadeti in kakšni podatki so tam. Nastane kratka ocena z naslednjimi koraki.
- Zavarovanje in omejitev: pred vsako spremembo zavarujemo datoteke, podatkovno zbirko in dnevnike. Nato napad omejimo, na primer z blokado sumljivih dostopov, izklopom okuženih funkcij ali začasno izolacijo.
- Najti in zapreti vstopno točko: preverimo različico PHP in stanje popravkov, CMS, razširitve in dostope. Če je vstop prek PHP2Shell verjeten, namestimo popravek in znova zaženemo vse procese PHP.
- Očistiti in obnoviti: webshelle, stranska vrata in spremenjene datoteke odstranimo ali pa stanje znova zgradimo iz zaupanja vrednih virov. Podrobnosti so na strani Odstranitev škodljive programske opreme in webshellov.
- Zaključek in poročilo: prejmete dokumentacijo incidenta in priporočila za utrjevanje. Če je potrebna razjasnitev, ki obstane pred sodiščem, pritegnemo specializirane partnerje za forenziko.
Kaj dobite od nas
- časovnico incidenta, kolikor jo je mogoče dokazati iz sledi
- seznam najdenih in odstranjenih škodljivih komponent
- opis verjetne vstopne točke, jasno ločen na dokazano, verjetno in neznano
- seznam vseh spremenjenih dostopov in skrivnosti
- priporočila, kaj je treba trajno zavarovati
Poročilo pomaga pri pogovorih s pooblaščenci za varstvo podatkov, zavarovalnico in po potrebi policijo. Za pravno presojo, na primer glede obveznosti prijave po GDPR v 72 urah, ne nadomešča nasveta strokovnjakov.
Kaj potrebujemo od vas
- Dostopi: do strežnika (SSH ali panel), do zaledja CMS-ja in do podatkovne zbirke, druga možnost je dovoljenje, da se neposredno pogovarjamo z vašim ponudnikom gostovanja
- Kontaktna oseba: dosegljiva oseba s pooblastilom za odločanje o izklopu, ponovnih zagonih in zamenjavi gesel
- Informacije: od kdaj je težava opazna, katere spremembe so bile nazadnje narejene, kdo je imel dostop
- Varnostne kopije: kje so kopije in kako stare so
- Stik z izvajalci: agencija, razvijalec ali ponudnik gostovanja, ki sistem pozna
Česa ne obljubljamo
Ne moremo obljubiti, da je mogoče vsak napad v celoti rekonstruirati. Če dnevniki manjkajo ali so že prepisani, ostanejo vrzeli, ki jih odkrito poimenujemo. Prav tako ne obljubljamo, da bo očiščena stran za vedno ostala varna. Na incidentu delamo, dokler ni zaključen in dokumentiran, in vam povemo, kaj je treba narediti po tem.
Pravnega svetovanja ne nudimo. Vprašanja o obveznostih prijave, odgovornosti ali zavarovalnem kritju sodijo k pooblaščencem za varstvo podatkov, odvetniku in zavarovalnici. Za urejeno obdelavo po incidentu pomaga naš kontrolni seznam po vdoru.
Kdaj je potrebna obsežnejša obravnava incidenta
Nekateri incidenti segajo preko ene same spletne strani: več strežnikov, iztekli podatki strank, izsiljevanje ali napadalec, ki se premika po omrežju. Takrat preidemo na urejen incident response s trdnimi vlogami, sestanki o stanju in usklajenim komuniciranjem. Prehod z vami obravnavamo, ko se ta pokaže.
Tudi po manjšem incidentu se splača pogledati naprej. Očiščena spletna stran brez utrjevanja, posodobitev in nadzora ostaja očitna tarča, saj napadalci znane žrtve pogosto znova preverijo. Smiselno je zato po zaključku določiti, kdo bo v prihodnje odgovoren za posodobitve, varnostne kopije in kontrolo. Incident pogosto pokaže vrzel prav tam: nihče se ni čutil odgovornega ali pa so bili dostopi pri izvajalcu, ki ni bil več dosegljiv. Ta vprašanja razjasnimo z vami v zaključnem pogovoru, da iz incidenta nastane boljše delovanje.
Pogosta vprašanja
Ali naj vdrto spletno stran takoj izbrišem in postavim znova?
Prosimo, ne prenagljeno. Kdor vse izbriše, uniči sledi, ki kažejo, kako je napadalec prišel noter in ali so podatki iztekli. Bolje je spletno stran odklopiti z omrežja ali jo izolirati in najprej zavarovati podatke.
Po čem prepoznam, da je bila moja spletna stran vdrta?
Značilni znaki so tuje preusmeritve, strani s spamom v Googlovem indeksu, neznani skrbniški računi, nove datoteke PHP ali opozorila brskalnika, ponudnika gostovanja ali Googla. Namig je lahko tudi močno povečana obremenitev strežnika ali sumljiv odhodni promet.
Ali moram hekerski napad prijaviti?
Če bi bili lahko prizadeti osebni podatki, lahko obstaja obveznost prijave nadzornemu organu v 72 urah. Ali to velja pri vas, razjasnite s svojim pooblaščencem za varstvo podatkov ali z odvetnikom.
Ali nujna pomoč pomaga tudi, če je strežnik pri ponudniku gostovanja?
Da. Delamo z dostopom, ki ga imate, in se po potrebi uskladimo z vašim ponudnikom gostovanja. Kaj lahko preverimo, je odvisno od pravic, ki nam jih lahko date.