Wchodzisz na własną stronę i zamiast serwisu widzisz ostrzeżenie: „Niebezpieczna witryna”, „Połączenie nie jest prywatne” albo informację, że strona może próbować wykraść dane użytkownika.
To sytuacja, której nie należy ignorować. Nie oznacza jednak automatycznie, że ktoś przejął całą stronę. Podobnie wyglądające ostrzeżenia mogą mieć zupełnie różne przyczyny — od problemu z certyfikatem po rzeczywistą infekcję witryny.
Najpierw sprawdźmy, jakie ostrzeżenie właściwie się pojawiło
Dla właściciela strony wszystkie czerwone komunikaty mogą wyglądać podobnie. Technicznie mogą jednak informować o zupełnie różnych problemach.
Najczęściej spotykamy dwa podstawowe przypadki:
- problem z bezpieczeństwem połączenia i certyfikatem HTTPS,
- ostrzeżenie, że sama witryna może być niebezpieczna.
To ważne rozróżnienie, ponieważ sposób diagnozy i naprawy będzie inny.
„Połączenie nie jest prywatne” — problem może dotyczyć certyfikatu
Jeżeli przeglądarka informuje o nieprawidłowym lub niezaufanym połączeniu, jedną z pierwszych rzeczy do sprawdzenia jest certyfikat SSL/TLS.
Certyfikat może na przykład:
- wygasnąć,
- zostać nieprawidłowo odnowiony,
- nie odpowiadać właściwej domenie,
- być nieprawidłowo zainstalowany,
- mieć problem z pełnym łańcuchem certyfikatów.
W takim przypadku strona nie musi być zainfekowana. Problem polega na tym, że przeglądarka nie potrafi prawidłowo potwierdzić bezpieczeństwa połączenia.
„Ta witryna może wyrządzić szkody” to już inny sygnał
Poważniejsza sytuacja występuje wtedy, gdy przeglądarka lub wyszukiwarka rozpoznała sygnały wskazujące, że strona może stanowić zagrożenie dla użytkownika.
Może chodzić między innymi o złośliwe oprogramowanie, phishing, niebezpieczne przekierowania albo treści dodane bez wiedzy właściciela.
W takim przypadku nie wystarczy sprawdzić certyfikatu. Trzeba znaleźć źródło kompromitacji strony.
Jak strona mogła zostać zainfekowana?
W przypadku WordPressa jednym z częstszych źródeł problemów jest nieaktualne oprogramowanie.
Podatność może znajdować się w:
- wtyczce,
- motywie,
- WordPressie,
- dodatkowym skrypcie,
- konfiguracji serwera,
- przejętym koncie administratora lub FTP.
Szczególnie niebezpieczne są komponenty, które od dawna nie są już rozwijane. Nawet jeżeli nadal „działają”, mogą zawierać znane podatności bezpieczeństwa.
Strona może wyglądać normalnie
To jeden z powodów, dla których infekcje bywają wykrywane późno.
Właściciel otwiera stronę główną i wszystko wygląda prawidłowo. Menu działa, zdjęcia są na miejscu, formularz nadal się wyświetla.
Tymczasem w tle może znajdować się dodatkowy kod.
Atakujący nie zawsze chce zniszczyć stronę. Znacznie bardziej opłacalne może być pozostawienie jej działającej i wykorzystanie jej zasobów lub reputacji.
Co może zostać ukryte w zainfekowanej stronie?
Możliwości jest wiele. Zainfekowana witryna może między innymi:
- przekierowywać część użytkowników na inne strony,
- wyświetlać spam,
- tworzyć ukryte podstrony,
- próbować wyłudzać dane,
- ładować zewnętrzne złośliwe skrypty,
- wysyłać spam z serwera,
- wykorzystywać zasoby serwera do niepożądanych operacji.
Niektóre infekcje celowo zachowują się inaczej wobec administratora, wyszukiwarki i zwykłego użytkownika. To dodatkowo utrudnia ich zauważenie.
Skąd Google lub przeglądarka o tym wie?
Systemy bezpieczeństwa analizują ogromną liczbę stron i adresów internetowych. Mogą wykrywać znane wzorce złośliwego kodu, niebezpieczne zasoby, podejrzane przekierowania czy próby podszywania się pod inne witryny.
Jeżeli strona zostanie uznana za potencjalnie szkodliwą, użytkownik może zobaczyć ostrzeżenie jeszcze przed jej otwarciem.
To mechanizm ochrony użytkownika — nawet jeżeli dla właściciela serwisu oznacza bardzo nieprzyjemną sytuację.
Jakie są konsekwencje?
Pierwszą i najbardziej widoczną jest utrata zaufania.
Większość użytkowników po zobaczeniu dużego ostrzeżenia o zagrożeniu nie będzie analizować jego technicznych przyczyn. Po prostu opuści stronę.
Problem może więc wpływać na:
- liczbę odwiedzin,
- zapytania od klientów,
- sprzedaż,
- wizerunek firmy,
- widoczność witryny,
- działanie poczty i reputację domeny.
Dlatego ostrzeżenia bezpieczeństwa warto traktować jako problem wymagający szybkiej reakcji.
Czego nie robić?
Przede wszystkim nie należy koncentrować się na tym, jak pozbyć się komunikatu.
Komunikat jest tylko objawem.
Jeżeli przyczyną jest infekcja, samo usunięcie ostrzeżenia, wysłanie prośby o ponowne sprawdzenie albo wyłączenie zabezpieczenia nie rozwiązuje problemu.
Najpierw trzeba znaleźć przyczynę.
Nie wystarczy też usunąć jednego podejrzanego pliku
Jeżeli strona została przejęta, trzeba odpowiedzieć na dwa pytania:
Co zostało zmienione?
oraz
W jaki sposób atakujący dostał się do systemu?
Bez odpowiedzi na drugie pytanie można oczyścić witrynę, a kilka godzin lub dni później znaleźć się dokładnie w tej samej sytuacji.
Jak powinna wyglądać reakcja?
Kolejność zależy od konkretnego przypadku, ale zwykle potrzebne jest:
- potwierdzenie rodzaju ostrzeżenia,
- sprawdzenie stanu domeny i HTTPS,
- analiza plików, WordPressa, wtyczek i motywu,
- sprawdzenie logów i podejrzanych zmian,
- identyfikacja źródła problemu,
- usunięcie złośliwych elementów,
- zamknięcie drogi ponownego dostępu,
- aktualizacja i zabezpieczenie środowiska,
- sprawdzenie strony po naprawie,
- jeżeli jest to potrzebne — zgłoszenie witryny do ponownej weryfikacji.
A co z kopią zapasową?
Backup może bardzo pomóc, ale nie zawsze wystarczy po prostu przywrócić stronę sprzed kilku dni.
Nie zawsze wiadomo, kiedy dokładnie doszło do infekcji. Kopia sprzed tygodnia może już zawierać złośliwy kod.
Co więcej, jeżeli nie usuniemy podatności, przez którą doszło do włamania, odtworzona strona może zostać zaatakowana ponownie.
Po naprawie warto zadać jeszcze jedno pytanie
Nie tylko: „czy ostrzeżenie zniknęło?”.
Lepiej zapytać: czy usunęliśmy również przyczynę, przez którą pojawiło się po raz pierwszy?
To może oznaczać aktualizację komponentów, usunięcie nieużywanych wtyczek, zmianę haseł, uporządkowanie kont administratorów, poprawę konfiguracji albo wdrożenie regularnego monitoringu.
Ostrzeżenie jest sygnałem, nie diagnozą
Czerwony ekran wygląda jednoznacznie, ale dopiero diagnostyka pozwala ustalić, co naprawdę się wydarzyło.
Czasami wystarczy naprawić certyfikat. W innym przypadku potrzebne będzie oczyszczenie strony. Jeszcze gdzie indziej problem może znajdować się poza samym WordPressem.
Dlatego najważniejsza zasada brzmi: najpierw ustalić źródło zagrożenia, potem je usunąć, a dopiero na końcu przywracać zaufanie do strony.
Twoja strona wyświetla ostrzeżenie?
Nie próbujmy zgadywać, czy winny jest certyfikat, WordPress, wtyczka czy infekcja. Najpierw można sprawdzić rodzaj problemu i ustalić właściwy następny krok.