Kort sagt: Om er webbutik har hackats handlar det om tre saker samtidigt: skydda kunduppgifter, säkra omsättningen och belägga att butiken är ren igen. Berörs ni? Hör av er nu. Vi tar över begränsning, orsaksanalys, rensning och dokumentation på distans och samordnar med era leverantörer.
Radera ingenting och installera inte om något nu. Innan ni tar bort filer eller återställer butiken måste filer, databas och loggar vara säkrade. Ring eller skriv via WhatsApp. Snabbaste vägen är Anmäl nödläge.
Berörs ni? Tecken i webbutiken
För butiker står mer på spel än för en visitkortswebbplats. Var uppmärksamma på dessa signaler:
- Kunder rapporterar att deras kort eller konto har missbrukats efter en beställning hos er
- Er betaltjänstleverantör eller bank frågar om avvikande transaktioner
- i betalflödet visas fält, fönster eller omdirigeringar som ni inte har ställt in
- beställningar, priser eller kuponger har ändrats utan er medverkan
- i administrationsområdet finns okända användare eller ovanliga inloggningar
- Er e-postserver skickar skräppost i butikens namn, eller kunder får nätfiskemejl med er som avsändare
- filer i kataloger för media, cache eller plugin är nya eller ändrade trots att ingen har driftsatt något
- belastningen stiger utan någon märkbar ökning av besökare
Det här gör ni direkt
- Besluta om kassan ska tas offline. Så snart betalnings- eller kunduppgifter kan vara utsatta, ta kassan eller butiken tillfälligt offline, till exempel med en underhållssida. Beslutet ligger hos er; vi rådger om det.
- Radera ingenting, skriv inte över något. Inga uppdateringar i det levande systemet, ingen återställning av en säkerhetskopia.
- Förbered betaltjänstleverantören. Kontrollera vilka anmälningsvägar ert avtal föreskriver och håll kontaktpersonerna redo.
- Bevara loggarna. Be webbhotell och byrå att säkra åtkomst-, fel- och butikslogg. Fackpressen rekommenderar att serverloggar sparas från och med den 20 oktober 2026.
- Lista åtkomsterna: Butiksadmin, server, databas, betalportaler, gränssnitt till affärssystem och frakt. Byt lösenord först efter överenskommelse.
- Informera interna funktioner: Ledningen, dataskyddsombudet, försäkringsbolaget. Anvisningar om försäkringen finns under Cyberförsäkring vid skada.
- Hör av er till oss innan er byrå reparerar butiken på egen hand.
Hur hjälper PHP SOS vid en hackad webbutik?
- Kartlägga läget: Butikssystem, version, PHP-nivå, webbhotell, betalsätt, inbyggda tjänster. Vi klarlägger vilka uppgifter som finns i butiken.
- Säkra och begränsa: Avbild av filer och databas, säkring av loggarna, spärrning av avvikande åtkomster, skydd av kassan.
- Fastställa orsak och omfattning: Vi granskar kärnfiler, tillägg, mallar, schemalagda uppgifter och databasinnehåll efter manipulationer och försöker belägga vad som kan ha läckt ut. Där spåren inte räcker säger vi det öppet.
- Rensa och återställa: Ta bort skadlig kod eller bygga upp på nytt från tillförlitliga källor, beroende på fyndet. Avvägningen mellan de två beskrivs i Installera om eller rensa?.
- Härda, släppa igen, rapportera: PHP-nivå, rättigheter, adminskydd, övervakning. Ni får en dokumentation som ni kan lägga fram för betaltjänstleverantör, dataskyddsombud och försäkringsbolag.
Växer incidenten utöver butiken, till exempel till affärssystem eller interna system, går vi över till incidenthantering. Om ni behöver veta rättssäkert vad som har hänt kommer dessutom IT-forensik i fråga.
Kunduppgifter, anmälningsskyldighet och kommunikation
I butiken finns namn, adresser, beställningar och ofta betalningsreferenser. Så snart sådana uppgifter kan ha påverkats löper en frist: GDPR föreskriver en anmälan till tillsynsmyndigheten inom 72 timmar om en risk för de berörda inte kan uteslutas. Om det gäller i ert fall klarlägger ni med ert dataskyddsombud eller en jurist; vi ger ingen juridisk rådgivning. Vi levererar de tekniska underlag ni behöver för det. Mer om fristen: Anmälningsskyldighet enligt GDPR.
Även kommunikationen till kunderna hör till incidenten. Hur ni informerar sakligt, utan att förtiga något eller spekulera, beskrivs i Informera kunder efter en incident och Krishantering efter ett angrepp. Möjligheten till en polisanmälan går vi in på under Anmälan till polisen.
Butikssystem och PHP-nivå
Oavsett om det är WooCommerce, Shopware, Magento eller PrestaShop: Alla körs på PHP. En uppdatering av butiksprogramvaran stänger inte PHP-sårbarheterna PHP2Shell. Branschsidan IT-säkerhet för webbutiker sammanfattar särdragen, plattformssidorna WooCommerce och Shopware 6 går in på systemen i detalj.
Så släpper vi butiken igen
En butik går först tillbaka i full drift när tre saker stämmer ihop: Den skadliga koden är borttagen, ingången är stängd och inloggningsuppgifterna är förnyade. Dit hör adminkonton, databaslösenord, API-nycklar till betal- och fraktleverantörer samt e-poståtkomster. Vi kontrollerar kassan sist med en testbeställning, så att det syns att betalflödet fungerar oförändrat. Därefter rekommenderar vi en tätare övervakning de följande veckorna, eftersom angripare gärna kontrollerar kända offer på nytt. En garanti för att inget mer händer finns inte; det som finns är ett dokumenterat läge och tydligt ansvar.
Det här bör ni skicka till oss
- Butikssystem och version, webbhotell, om det är känt även PHP-versionen
- vad som först uppmärksammades och sedan när
- besked från kunder, bank eller betaltjänstleverantör i ordagrann lydelse
- namn på byrån eller utvecklaren som sköter butiken
- läge och plats för den senaste säkerhetskopian
Varför PHP SOS
Vi arbetar Made in Germany och är sedan över 25 år, tillsammans med vårt partnernätverk av cyberproffs, specialiserade på IT-säkerhet. Ni får en kontaktperson som leder er butiksincident från första kontakten till avslutet. Vi arbetar på distans i hela Europa, dokumenterar varje steg skriftligt och lovar inget som ingen kan hålla. Vi arbetar tills incidenten är avslutad och dokumenterad.
Berörs ni? Ring oss. Vi hjälper er.
Varje timme med en komprometterad kassa kan kosta kunduppgifter. Hör av er nu, via samtal eller WhatsApp, så tar vi över från första meddelandet. Anmäl nödläge nu
Vanliga frågor
Ska jag stänga av min webbutik direkt om den har hackats?
Om kunduppgifter eller betalningar är utsatta är en tillfällig avstängning av kassan eller hela butiken ofta rätt beslut. Avvägningen mellan bortfall av omsättning och skada gör ni själva, vi levererar den tekniska bedömningen. Viktigt är att inte radera några filer.
Måste jag informera kunderna om min butik har hackats?
Det beror på om personuppgifter kan ha påverkats och vilken risk som finns för de berörda. Fatta beslutet tillsammans med ert dataskyddsombud eller en jurist. Vår rapport levererar de tekniska fakta till det.
Hur ser jag att främmande kod i kassan fångar upp betalningsuppgifter?
Ledtrådar är okända skript i betalflödet, meddelanden från kunder om missbruk av deras kort efter ett köp eller besked från betaltjänstleverantören. Säkert klarläggs det bara genom en granskning av filerna och databasen.
Kan jag helt enkelt återställa butiken från säkerhetskopian?
En säkerhetskopia för er bara tillbaka rent om den skapades före intrånget och ingångsporten har stängts efteråt. Båda delarna är ofta oklara på förhand. Därför säkrar vi först och bedömer sedan tillsammans med er.
Hjälper den akuta hjälpen även vid Shopware, WooCommerce eller Magento?
Ja. Tillvägagångssättet är likartat för alla PHP-butiker: säkra, begränsa, hitta orsaken, rensa, härda. Systemspecifika särdrag granskar vi i den aktuella butiken.