Jak odhalit napadení webu a co udělat v první minutě

Napadený web není výjimka ani problém velkých hráčů. Útočníci dnes masově skenují internet a automatizované útoky míří na statické weby, blogy i malé e-shopy. Často se navíc obejdou bez viditelných stop – web funguje, ale mezitím rozesílá spam, krade data nebo infikuje návštěvníky. Jak tedy poznat, že se něco stalo, a hlavně co udělat okamžitě, než začnete situaci řešit do hloubky?

Typické signály, že byl web kompromitován

Napadení webu se dnes velmi často odehrává bez viditelných dramatických projevů. Útočníci se snaží zůstat skrytí co nejdéle, aby mohli web zneužívat k dalším aktivitám – šíření malwaru, SEO spamu, phishingu nebo útokům na jiné systémy. Přesto existuje řada varovných signálů, které se opakují:

1) Upozornění od prohlížeče nebo vyhledávače

Jedním z nejzávažnějších signálů je situace, kdy prohlížeč při návštěvě webu zobrazí bezpečnostní upozornění. Typicky jde o hlášky typu „Tento web může poškodit váš počítač“, „Před vámi je podvodná stránka“ nebo upozornění na phishing, píše Google.

Podobně může přijít upozornění přímo od Googlu prostřednictvím služby Google Search Console, která informuje o nalezeném malwaru nebo podezřelém chování webu.

V tuto chvíli už problém obvykle existuje delší dobu – vyhledávače reagují až poté, co je škodlivý kód potvrzen.

2) Nečekaná přesměrování na cizí weby

Podle webu Sucuri je velmi častým scénářem situace, kdy se web chová normálně při běžné kontrole. Část návštěvníků je ale přesměrována na podvodné nebo reklamní stránky.

Přesměrování se často aktivuje pouze:

• na mobilních zařízeních,
• u návštěvníků z konkrétních zemí,
• při příchodu z vyhledávače,
• jen při první návštěvě.

Díky tomu si provozovatel webu problému dlouho nemusí všimnout. Útočníci takto zneužívají web jako bránu pro šíření dalšího obsahu.

3) Obsah, který jste nikdy nevytvořili

Dalším typickým znakem kompromitace jsou změny obsahu, které jste neprovedli. Typicky se objeví nové stránky, které neslouží návštěvníkům, ale vyhledávačům. Jde o tzv. SEO spam – stránky plné klíčových slov, odkazů a textů v cizím jazyce.

Tyto stránky nebývají viditelné v menu, někdy nejsou ani dostupné z hlavní navigace a objevují se až při kontrole indexace ve vyhledávačích. Často jsou doplněny i skryté odkazy vložené do existujících stránek. Běžný návštěvník si jich nevšimne, ale vyhledávače ano.

4) Výrazný propad výkonu nebo neobvyklá zátěž serveru

Pokud web začne být pomalý bez zjevné příčiny, může jít o technický problém, ale také o kompromitaci. Napadený server bývá často zneužíván k aktivitám, které s provozem webu vůbec nesouvisí.

Mezi typické projevy patří:

• vysoké vytížení procesoru i při nízké návštěvnosti,
• neobvykle vysoký odchozí datový provoz,
• časté chyby aplikace nebo databáze,
• nestabilita, která se objevila „z ničeho nic“.

Server tak může sloužit jako spam relay, těžební uzel nebo součást rozsáhlejšího útoku na jiné cíle.

5) Neobvyklé přihlašovací aktivity a změny účtů

Zvláštní chování v administraci webu je vždy důvodem ke zvýšené pozornosti. Varovným signálem je například situace, kdy se objeví nový administrátorský účet, změna e-mailové adresy nebo neznámé přihlášení.

Často se také stává, že hesla přestanou fungovat bez zjevné příčiny, dojde ke změně oprávnění uživatelů nebo jsou odstraněny a upraveny logy přístupů.

To vše může znamenat, že útočník získal plný přístup k backendu webu a snaží se zahladit stopy.

6) Upozornění od uživatelů nebo zákazníků

Velmi podceňovaným signálem jsou zprávy od uživatelů. Pokud někdo hlásí, že mu antivirový software blokuje váš web nebo že je po kliknutí na odkaz přesměrován jinam, nejde o jejich problém.

Útoky jsou dnes často cílené jen na určité kombinace zařízení, prohlížeče nebo lokality. To znamená, že vy jako provozovatel můžete vidět web jako funkční, zatímco část návštěvníků je vystavena riziku.

Takové hlášení by mělo být vždy impulzem k okamžité kontrole.

7) Podezřelé změny v souborech a struktuře webu

Při detailnější kontrole serveru se kompromitace často projeví přímo v souborech webu. Typickým znakem jsou nové nebo upravené soubory, které neodpovídají běžné struktuře aplikace.

Často jde o:

• soubory s náhodnými názvy,
• kód silně zakódovaný nebo zamlžený,
• využití nebezpečných funkcí pro spouštění kódu,
• změny systémových souborů CMS nebo pluginů.

Tyto úpravy jsou většinou důsledkem automatizovaného útoku přes zranitelný doplněk nebo slabé přihlašovací údaje.

Co dělat první minutu po zjištění napadení

První reakce po zjištění, že byl web napaden, je klíčová. Nejde ještě o technickou analýzu ani opravu. Cílem první minuty je zastavit další škody, ochránit návštěvníky a nezničit důkazy, které budete potřebovat k vyřešení incidentu. Právě unáhlené kroky v této fázi často způsobí větší problém než samotný útok.

1. Nic nemažte a neobnovujte ze zálohy – okamžité mazání souborů nebo obnova webu může zničit důkazy o tom, kudy se útočník dostal dovnitř. Bez těchto informací se problém často vrátí.
2. Izolujte web od návštěvníků – dočasně web odstavte nebo přepněte do údržbového režimu. Cílem je ochránit uživatele a zabránit dalším škodám, i za cenu krátké nedostupnosti.
3. Změňte všechna přístupová hesla – změňte hesla do administrace, hostingu, FTP i databáze, a to z důvěryhodného zařízení. Jinak změna nemá smysl.
4. Ověřte, že máte použitelnou zálohu – zkontrolujte, zda existuje záloha z doby před napadením a že obsahuje soubory i databázi. Záloha bez možnosti obnovy je k ničemu.
5. Zapojte hosting nebo správce – poskytovatel hostingu má logy, monitoring a zkušenosti s incidenty. Čím dříve ho kontaktujete, tím rychlejší a přesnější bude řešení.
6. Zaznamenejte si, co jste zjistili – stručně si zaznamenejte kdy jste problém zaznamenali, jak se projevil (varování, přesměrování, hlášení uživatelů) a jaké kroky jste provedli. Tyto informace se můžou hodit při další analýze i při komunikaci s hostingem, vývojářem nebo bezpečnostním specialistou.

Co následuje dál

Jakmile je web izolovaný a nehrozí další škody, přichází fáze skutečného řešení incidentu. Ta už není otázkou minut, ale hodin až dnů. Cílem je odstranit škodlivý kód, pochopit příčinu útoku a zabránit jeho opakování.

• Analýza rozsahu napadení – nejprve je potřeba zjistit, co všechno bylo zasaženo. Kontrolují se soubory, databáze, logy serveru i přístupy do administrace. Smyslem není jen najít malware, ale pochopit, odkdy byl web kompromitovaný a kudy se útočník dostal dovnitř.
• Odstranění škodlivého kódu – na základě analýzy se odstraní cizí skripty, upravené soubory a zadní vrátka (backdoory). Často je nutné pročistit nejen viditelné části webu, ale i méně nápadná místa, kde se malware rád skrývá.
• Obnova z čisté zálohy – v řadě případů je nejbezpečnějším řešením obnova webu ze zálohy vytvořené před napadením. I zde je ale nutné ověřit, že záloha sama o sobě není kompromitovaná.
• Aktualizace a zabezpečení – po vyčištění následuje aktualizace CMS, pluginů, šablon i serverového prostředí. Současně se zavádějí preventivní opatření – silnější hesla, dvoufaktorové ověřování, omezení přístupů, případně webový firewall.
• Kontrola reputace webu – na závěr je potřeba ověřit, zda web není na blacklistu vyhledávačů nebo bezpečnostních služeb. Pokud ano, je nutné požádat o znovu posouzení a odstranit varování, jinak se návštěvníci ani zákazníci nevrátí.

V prostředí automatizovaných útoků tak může být napaden prakticky jakýkoli web. Rozdíl mezi malým incidentem a vážným problémem často spočívá v tom, jak rychle a správně zareagujete v první minutě.

Izolovat web, změnit přístupy, zachovat data a zapojit odbornou pomoc – to jsou kroky, které rozhodují. Stejně důležité je ale i to, jak web zabezpečíte do budoucna, aby se podobná situace neopakovala.

V českém prostředí může být součástí této prevence například kombinace kvalitního hostingu, pravidelných záloh a správně nastaveného HTTPS.

Řešení jako SSL/TLS certifikáty od SSLMarketu pomáhají zajistit důvěryhodné šifrování komunikace, zatímco služby typu ZonerCloud nebo hosting od CZECHIA.COM nabízejí kontrolu nad daty, lokální infrastrukturu a technickou podporu, která je při bezpečnostním incidentu klíčová.

Bezpečnost webu totiž není jednorázový krok, ale dlouhodobý proces. A čím lépe je web připravený předem, tím menší škody napadení napáchá nebo k němu vůbec nedojde.