Pomoc po włamaniu na stronę i pocztę
Dwa scenariusze, z którymi przychodzą klienci
| Co widać | Co się dzieje naprawdę | Czym to grozi |
|---|---|---|
| Strona przekierowuje w obce miejsce albo pokazuje cudze treści | Napastnik podłożył pliki przez lukę we wtyczce lub w systemie | Utrata pozycji w wyszukiwarce, ostrzeżenie przeglądarki, blokada przez hostingodawcę |
| Z firmowej skrzynki wychodzi spam | Ktoś przejął hasło do konta pocztowego i wysyła przez Wasz serwer | Blokada wysyłki dla całego serwera, domena na czarnych listach |
Drugi przypadek bywa dotkliwszy, choć wygląda niewinnie. Hostingodawca, widząc masową wysyłkę, blokuje protokół pocztowy na całym serwerze — nie tylko na przejętej skrzynce. Firma z dnia na dzień przestaje wysyłać cokolwiek: potwierdzenia zamówień, faktury, odpowiedzi do klientów. Odblokowanie wymaga wykazania hostingodawcy, że problem został usunięty.
Jak wygląda nasza reakcja
Etap drugi jest tym, który odróżnia rzetelną robotę od pozornej. Usunięcie widocznych plików bez ustalenia, którędy weszli, daje efekt na kilka godzin — napastnik wraca tą samą drogą, bo ta droga nadal jest otwarta.
Co zwykle znajdujemy
Przykład z sierpnia tego roku, opisany bez danych pozwalających rozpoznać klienta. Zgłoszenie dotyczyło podstron reklamujących obce kasyno, podłożonych pod adresami prawdziwych podstron. Analiza logów pokazała obraz znacznie szerszy.
- Droga wejścia: nieaktualna wtyczka. Podatność pozwalała wgrać dowolny plik bez logowania. Od rozpoczęcia wgrywania do wykonania kodu na serwerze minęły dwadzieścia trzy sekundy. Hasła i konta nie miały z tym nic wspólnego.
- Nie jedna grupa, tylko kilka. Ta sama luka była wykorzystywana od ponad miesiąca, z kilkunastu adresów. Strona krążyła po listach podatnych celów.
- Druga, ukryta kampania. Podmieniony plik startowy rozpoznawał robota wyszukiwarki i tylko jemu pokazywał obcą treść. Ludzie widzieli normalną stronę — dlatego nikt niczego nie zauważył.
- Mechanizm odtwarzania. Podmieniony plik wracał po każdej próbie naprawy, a osobna furtka pozwalała uruchomić dowolny kod pobierany z serwera napastnika.
- Konta i wpisy. Trzy założone konta administratora oraz pliki, którymi napastnik dopisał się jako właściciel domeny w narzędziach wyszukiwarki.
- Publicznie dostępne środowisko testowe. Pełna, działająca kopia strony bez żadnego zabezpieczenia.
- Wyłączone kopie zapasowe. Ostatnia sprzed pięciu dni, leżąca na tym samym serwerze co strona.
Łącznie dwanaście podłożonych plików w pięciu lokalizacjach i dwadzieścia dwa katalogi z podstawionymi stronami. Baza danych okazała się nietknięta, a obce treści nie zdążyły wejść do wyników wyszukiwania — bo zgłoszenie trafiło do nas w dniu, w którym klient zauważył pierwszy objaw.
To jest argument za szybkim zgłoszeniem. Gdyby podmieniona strona główna została zaindeksowana, odzyskiwanie pozycji trwałoby tygodnie.
Co zrobić, zanim do nas zadzwonicie
- Nie usuwajcie plików samodzielnie. To materiał dowodowy i jedyny sposób ustalenia, którędy weszli. Usunięcie ich zaciera ślady, a luka zostaje otwarta.
- Nie przywracajcie kopii zapasowej na ślepo. Kopia sprzed tygodnia najczęściej zawiera już podłożone pliki, a nadpisuje logi potrzebne do analizy. Odtworzenie ma sens po ustaleniu daty wejścia, nie przed.
- Zróbcie kopię stanu obecnego. Nawet zainfekowanego. To zabezpieczenie na wypadek, gdyby sprzątanie poszło źle.
- Zmieńcie hasła z czystego komputera. Nie z tego, na którym mogła siedzieć infekcja.
- Spiszcie, co i kiedy zauważyliście. Data pierwszego objawu bardzo skraca analizę logów.
- Zachowajcie wiadomości od hostingodawcy. Zwykle zawierają adresy i godziny, od których zaczynamy.
Ile to kosztuje
| Zakres | Cena netto | Co obejmuje |
|---|---|---|
| Diagnoza | 800 zł | Ustalenie drogi wejścia i skali. Odliczana od dalszej pracy, jeśli zlecicie usunięcie |
| Usunięcie skutków włamania na stronę | od 2 500 zł | Sprzątanie, zamknięcie luki, przywrócenie plików, raport |
| Przejęta skrzynka i blokada wysyłki | od 1 500 zł | Zmiana dostępów, kontakt z hostingodawcą, odblokowanie, sprawdzenie stacji roboczych |
| Tryb pilny | +50% | Rozpoczęcie w ciągu czterech godzin, także wieczorem i w weekend |
| Zabezpieczenie po incydencie | od 1 200 zł | Aktualizacje, drugi składnik logowania, kopie poza serwerem, monitoring |
Ceny orientacyjne, netto. Rozbudowane kampanie z mechanizmem odtwarzania wymagają więcej pracy i wtedy mówimy o tym przed rozpoczęciem, nie po fakcie. Diagnoza zawsze jest pierwsza — dopiero po niej wiadomo, o czym rozmawiamy.
Najczęstsze pytania
Czy strona musi być wyłączona na czas sprzątania?
Zwykle nie. Pracujemy na działającej stronie, a jeśli konieczne jest jej chwilowe wyłączenie, uprzedzamy i robimy to poza godzinami największego ruchu. Wyjątkiem jest sytuacja, w której strona aktywnie szkodzi odwiedzającym — wtedy wyłączamy ją natychmiast.
Skąd wiecie, że usunęliście wszystko?
Z analizy logów. Wiemy, o której godzinie napastnik wszedł i jakie polecenia wykonywał, więc szukamy konkretnych plików i wpisów, a nie zgadujemy. Sam skan antywirusowy nie wystarcza, bo wiele podłożonych skryptów nie ma sygnatury.
Czy odzyskacie dane z uszkodzonego dysku?
Nie, tym się nie zajmujemy — to osobna specjalizacja wymagająca laboratorium. Zajmujemy się skutkami włamania, nie awariami sprzętu.
Co, jeśli włamanie się powtórzy?
Jeśli powtórzy się tą samą drogą, którą zamknęliśmy, poprawiamy to bez dodatkowych kosztów. Nowa droga wejścia to nowe zdarzenie — dlatego po sprzątaniu proponujemy zabezpieczenie i bieżące aktualizacje, bo strona bez opieki prędzej czy później znajdzie się na kolejnej liście celów.
Czy trzeba to zgłaszać do urzędu?
Zależy, czy doszło do naruszenia ochrony danych osobowych. Jeśli napastnik miał dostęp do bazy z danymi klientów, uruchamia się termin z RODO. Pomagamy ocenić sytuację i przygotować zgłoszenie — służy do tego również nasze narzędzie do generowania zgłoszenia incydentu.
Zadzwońcie albo napiszcie — pierwsza rozmowa jest bezpłatna i zwykle wystarcza, żeby ocenić, czy to poważna sprawa, czy fałszywy alarm.
