Čo robiť, keď váš web alebo e-shop napadnú: plán prvých 24 hodín
Zistili ste, že web robí zvláštne veci. Na stránke sa objavil cudzí text, zákazníci sa sťažujú na presmerovania, Google hlási nebezpečný web alebo hosting vám napísal, že z vášho servera odchádza spam. V takej chvíli je prirodzené reagovať rýchlo a ako prvé všetko zmazať. Práve tomu sa treba vyhnúť.
Tento článok je plán, ktorý môžete mať po ruke ešte predtým, ako sa niečo stane. Je rozdelený podľa hodín, lebo v prvých hodinách sa rozhoduje o tom, koľko škody vznikne.
Hodina 0 až 1: zastavte škody, nezmazávajte dôkazy
- Zachovajte pokoj a určte jednu osobu, ktorá incident vedie. Viac kuchárov pri riešení znamená chaos.
- Izolujte problém. Zapnite režim údržby alebo stránku dočasne vypnite. Cieľ nie je „opraviť“, ale zabrániť ďalším škodám, napríklad vyťahovaniu údajov zákazníkov.
- Zmeňte prístupy. Heslá k hostingu, administrácii, databáze, FTP/SSH a e-mailu. Robte to z čistého zariadenia, nie z počítača, ktorý môže byť infikovaný.
- Nič nemažte a nepreinštalujte. Infikované súbory, logy a databáza sú dôkazy. Bez nich neviete zistiť, ako útočník vošiel, a po obnove sa vráti rovnakou cestou.
Hodina 1 až 4: zabezpečte dôkazy a zistite rozsah
- Urobte úplnú kópiu súborov a databázy (snapshot servera, ak ho hosting ponúka).
- Uložte si logy webservera, aplikácie a prístupov (najmä z posledných týždňov).
- Zistite, čo sa zmenilo: nové alebo zmenené súbory, neznámi používatelia v administrácii, podozrivé úlohy v cron, nové pluginy.
- Hľadajte webshelly, teda malé skripty, ktoré útočníkovi dovolia vrátiť sa aj po „vyčistení“.
- Zistite, či išlo aj o osobné údaje. Od toho závisia ďalšie povinnosti.
Hodina 4 až 12: obnova z čistého stavu
Najbezpečnejšia cesta je takmer vždy obnova z overenej, čistej zálohy, nie „čistenie“ infikovaného webu. Postup:
- Vyberte zálohu spred kompromitácie. Pomôže vám v tom analýza z predošlého kroku.
- Obnovte web v čistom prostredí (nový server alebo čistá inštalácia).
- Zalepte dieru. Aktualizujte jadro, pluginy a témy, odstráňte nepoužívané. Bez toho obnova nedáva zmysel. Pozrite si aj článok PHP2Shell: kritické zraniteľnosti PHP.
- Zmeňte všetky tajomstvá: heslá, API kľúče, kľúče platobnej brány, salt hodnoty v konfigurácii.
- Skontrolujte používateľské účty a odstráňte tie, ktoré nepoznáte.
- Zapnite dvojfaktorové prihlásenie.
Ak zálohu nemáte alebo nie je použiteľná, je to ten správny moment si vyžiadať odbornú pomoc. Pre budúcnosť: Zálohovanie a ochrana pred ransomvérom.
Hodina 12 až 24: komunikácia a hlásenia
Zákazníci a partneri
Ak mohli byť dotknuté údaje zákazníkov, informujte ich včas, jasne a bez zbytočného marketingového jazyka. Napíšte, čo sa stalo, čo to pre nich znamená a čo majú urobiť (napríklad zmeniť heslo).
Hlásenia
- Pri úniku osobných údajov platí podľa GDPR povinnosť oznámiť incident dozornému orgánu (na Slovensku je to Úrad na ochranu osobných údajov SR) bez zbytočného odkladu, ak je to možné do 72 hodín od zistenia, pokiaľ nie je nepravdepodobné, že by porušenie ohrozilo práva a slobody osôb.
- Ak patríte medzi subjekty, na ktoré sa vzťahuje NIS2, platia prísnejšie a rýchlejšie lehoty. Viac v článku NIS2 a kybernetická bezpečnosť na Slovensku.
- Ak máte e-shop, zvážte oznámenie aj poskytovateľovi platobnej brány.
Upozornenie: toto nie je právne poradenstvo. Pri podozrení na únik osobných údajov sa poraďte s právnikom alebo zodpovednou osobou.
Vyhľadávače a reputácia
Ak Google označil váš web za nebezpečný, po obnove požiadajte o opätovné preskúmanie cez Google Search Console.
Čomu sa vyhnúť
- Zmazať všetko a začať odznova bez zistenia príčiny.
- Obnoviť zálohu bez záplat. Útočník prejde tou istou dverou.
- Zdieľať nové heslá e-mailom alebo v chate.
- Tvrdiť zákazníkom, že „nič sa nestalo“, ak to neviete doložiť.
Po prvých 24 hodinách
Incident nekončí obnovou. V nasledujúcich dňoch:
- sledujte logy a neobvyklú aktivitu,
- spravte krátke zhodnotenie: ako útočník vošiel, čo zlyhalo a čo zmeníme,
- zaveďte pravidelné aktualizácie, zálohy a monitoring.
Kontrolný zoznam na vytlačenie
| Krok | Hotovo? |
|---|---|
| Určená osoba, ktorá vedie incident | ☐ |
| Web v režime údržby | ☐ |
| Zmenené heslá z čistého zariadenia | ☐ |
| Kópia súborov, databázy a logov | ☐ |
| Zistený rozsah (súbory, účty, údaje) | ☐ |
| Obnova z čistej zálohy | ☐ |
| Záplaty a odstránenie nepoužívaných pluginov | ☐ |
| Zmenené kľúče a tajomstvá | ☐ |
| Zapnuté 2FA | ☐ |
| Informovaní zákazníci a prípadne úrady | ☐ |
| Zhodnotenie a zmeny do budúcnosti | ☐ |
Ako vám môžeme pomôcť
Pomáhame s analýzou incidentu, obnovou webov a e-shopov a s nastavením bezpečnosti, aby sa to nezopakovalo. Ak práve riešite problém, napíšte nám a pokúsime sa pomôcť čo najrýchlejšie. Ak chcete byť pripravení vopred, radi s vami vypracujeme jednoduchý plán reakcie na incident.
Zdroje
Súvisiace služby
Chcete sa o tejto téme porozprávať?
Kontaktujte nás a pomôžeme vám zvoliť správny ďalší krok.