Van néhány mondat, amit egyetlen weboldal-tulajdonos sem szeretne kimondani. Az egyik közülük: „azt hiszem, feltörték az oldalamat”. Ez a felismerés jellemzően pánikot vált ki, és jogosan, hiszen a feltört weboldal komoly üzleti, adatvédelmi és jó hírnévbeli kockázatot jelent. A jó hír azonban az, hogy a legtöbb esetben helyre lehet állítani a helyzetet, ha nyugodtan és módszeresen jársz el.

A feltört weboldal azt jelenti, hogy egy támadó jogosulatlanul hozzáférést szerzett az oldaladhoz, és rosszindulatú célra használja azt. Ez lehet kártékony kód elhelyezése, spam terjesztése, a látogatók átirányítása idegen oldalakra, vagy éppen az adatok ellopása. A támadások túlnyomó része ráadásul nem célzott: automata robotok keresik éjjel-nappal a sérülékeny oldalakat, ezért mérettől és ismertségtől függetlenül bárkit érinthet.

Ebben az útmutatóban végigvesszük, hogyan ismerheted fel, ha feltörték az oldaladat, miért történhetett meg, milyen típusú támadások léteznek, és lépésről lépésre mit tegyél a helyreállításért. A cikk kezdőknek szól, ezért a technikai fogalmakat is közérthetően magyarázzuk el.

Hogyan ismered fel, hogy feltörték az oldaladat?

A feltörés sokszor nem látványos. A támadók gyakran éppen azon dolgoznak, hogy minél tovább észrevétlenek maradjanak, hiszen így hosszabb ideig használhatják az oldaladat. Van azonban néhány árulkodó jel, amire érdemes figyelni.

Furcsa átirányítások és idegen tartalom

Az egyik leggyakoribb jel, hogy az oldaladat megnyitva a látogatók idegen oldalra kerülnek, jellemzően gyanús hirdetésekre vagy csalós tartalomra. Előfordulhat az is, hogy az oldaladon olyan szövegek, bannerek vagy linkek jelennek meg, amelyeket nem te tettél oda, gyakran gyógyszer-, szerencsejáték- vagy egyéb kéretlen témákban.

Böngésző- és keresőfigyelmeztetések

Ha a látogatók piros „nem biztonságos” vagy „megtévesztő oldal” figyelmeztetést látnak, az szinte biztos jele a bajnak. Hasonlóan árulkodó, ha a Google a keresési találatoknál figyelmezteti a felhasználókat, vagy ha a tárhelyszolgáltatód jelez, hogy gyanús aktivitást vagy kártékony kódot észlelt.

Lassulás, ismeretlen fájlok és felhasználók

Sok feltört oldal hirtelen lelassul, mert a szerver erőforrásait a támadó a saját céljaira, például spam küldésére vagy más oldalak támadására használja. Gyanús az is, ha ismeretlen adminfelhasználók jelennek meg, olyan fájlokat találsz, amelyeket nem te hoztál létre, vagy ha nem tudsz belépni a saját fiókodba, mert megváltoztatták a jelszavadat.

Spam a nevedben

Ha az ügyfeleid vagy a tárhelyed arról panaszkodik, hogy a domainedről kéretlen levelek érkeznek, az szintén feltörésre utalhat. A támadók előszeretettel használják a feltört szervereket tömeges spam küldésére, ami hosszú távon a leveleid kézbesíthetőségét is tönkreteszi. Arról, hogy pontosan mi minősül spamnek és hogyan kerülhető el, külön bejegyzésünkben olvashatsz részletesen.

Miért törik fel a weboldalakat?

Mielőtt a helyreállításba kezdenél, hasznos megérteni, miért történhetett meg a baj. A leggyakoribb ok nem valami kifinomult, célzott támadás, hanem egy egyszerű, elhanyagolt gyenge pont.

A messze leggyakoribb ok az elavult szoftver. Ha a weboldalad motorja, a sablonjai vagy a bővítményei hónapok óta nem kaptak frissítést, akkor a bennük felfedezett biztonsági rések nyitva állnak a támadók előtt. Éppen ezért a rendszeres frissítés a legfontosabb megelőző lépés, ahogy azt a WordPress frissítéséről szóló útmutatónkban is hangsúlyozzuk.

A második leggyakoribb ok a gyenge jelszó. A robotok másodpercenként több száz kombinációt próbálgatva törik fel a könnyen kitalálható belépési adatokat. A harmadik tényező pedig az emberi figyelmetlenség: egy megtévesztő levélre kattintva vagy egy hamis oldalon megadva a jelszavadat magad is átadhatod a kulcsokat a támadónak. Sok esetben ezek a tényezők együtt vezetnek a bajhoz.

A feltörések leggyakoribb típusai

Nem minden feltörés egyforma. Az, hogy pontosan mit tett a támadó, befolyásolja a helyreállítás módját is. Nézzük a leggyakoribb formákat.

Spam beszúrása

Ennél a típusnál a támadó kéretlen tartalmat helyez el az oldaladon: rejtett linkeket, felugró hirdetéseket vagy egész spam-oldalakat, gyakran úgy, hogy azok csak a keresőmotorok számára láthatók. A cél jellemzően más oldalak megtámogatása vagy csalós termékek reklámozása a te oldalad jó hírnevének rovására.

Kártékony kód és átirányítás

Itt a támadó olyan kódot juttat az oldaladra, amely a látogatókat idegen, gyakran veszélyes oldalakra irányítja át, vagy megpróbálja megfertőzni a gépüket. Ez az egyik legkárosabb típus, mert közvetlenül veszélyezteti a látogatóidat, és emiatt a Google is gyorsan feketelistára teheti az oldalt.

Hátsó ajtó (backdoor)

A hátsó ajtó egy rejtett belépési pont, amelyet a támadó azért helyez el, hogy később is vissza tudjon térni, még akkor is, ha az eredeti rést már befoltoztad. Ez az oka annak, hogy sok oldalt a tisztítás után rövidesen újra feltörnek: a látható kártevőt eltávolítják, de a rejtett hátsó ajtó megmarad. A teljes helyreállításnak ezért mindig része a hátsó ajtók felkutatása is.

Deface, avagy az oldal megváltoztatása

A legfeltűnőbb típus, amikor a támadó egyszerűen lecseréli az oldalad tartalmát, jellemzően egy saját üzenetre vagy képre. Ez ugyan a legkevésbé rejtett forma, de a jó hírnévnek így is komolyan árthat, hiszen minden látogató azonnal látja, hogy valami nagyon nincs rendben.

Feltört weboldal: mit tegyél lépésről lépésre?

Ha feltörés gyanúja merül fel, a legfontosabb, hogy ne ess pánikba, és módszeresen haladj. A kapkodás gyakran többet árt, mint használ. A hivatalos ajánlásokkal is összhangban, például a Google feltört oldalak helyreállításáról szóló útmutatójával, az alábbi sorrend a legcélszerűbb.

1. Változtasd meg az összes jelszót

Az első és legsürgősebb lépés, hogy azonnal megváltoztatod az összes jelszót: az adminfelületét, a tárhelyét, az FTP-hozzáférését és az adatbázisét egyaránt. Ezzel elveheted a támadótól az aktív hozzáférést, mielőtt még nagyobb kárt okozna.

2. Vedd fel a kapcsolatot a tárhelyszolgáltatóddal

A tárhelyszolgáltatók sokat láttak már, és gyakran tudnak segíteni a feltörés forrásának azonosításában, sőt olykor a tisztításban is. Emellett fontos ellenőrizni, hogy a fertőzés nem terjedt-e át a szerveren tárolt más oldalakra is.

3. Mérd fel a kárt

Próbáld megérteni, mi történt pontosan: milyen fájlok módosultak, mikor, és min keresztül juthatott be a támadó. Ez a felmérés segít abban, hogy ne csak a tüneteket kezeld, hanem a valódi okot is megszüntesd. Ha ismeretlen adminfelhasználókat találsz, azokat töröld.

4. Állítsd vissza egy tiszta mentésből

A leggyorsabb és legmegbízhatóbb megoldás gyakran az, ha az oldalt egy biztosan fertőzés előtti biztonsági mentésből állítod vissza. Így egyetlen lépésben megszabadulsz a támadó által elhelyezett kódtól. Éppen ezért olyan fontos a rendszeres, automatikus mentés, amelyről a WordPress karbantartásáról szóló útmutatónkban részletesen írunk. Ha nincs tiszta mentésed, a kártékony kódot kézzel vagy egy biztonsági eszközzel kell eltávolítani.

5. Zárd be a rést és frissíts mindent

A visszaállítás vagy tisztítás után frissíts minden szoftvert a legújabb verzióra, hogy a támadó ne tudjon ugyanazon a résen újra bejutni. Keresd meg és távolítsd el az esetleges hátsó ajtókat is, különben a probléma hamarosan visszatérhet. Ez a lépés dönti el, hogy tartós lesz-e a helyreállítás.

6. Kérj felülvizsgálatot

Ha a Google vagy a böngészők megjelölték az oldaladat, a tisztítás után kérned kell egy felülvizsgálatot, hogy eltűnjön a figyelmeztetés, és visszaálljon a keresési láthatóságod. Ez néhány napig eltarthat, de e nélkül a látogatóidat továbbra is riasztás fogadja.

Hogyan előzd meg a következő feltörést?

A helyreállítás után a legfontosabb, hogy tanulj az esetből, és ne kövesd el ugyanazt a hibát. A megelőzés mindig olcsóbb és egyszerűbb, mint a helyreállítás. Tartsd naprakészen az összes szoftvert, használj erős, egyedi jelszavakat és lehetőség szerint kétlépcsős azonosítást, és állíts be rendszeres, automatikus biztonsági mentést egy külső helyre.

Érdemes egy megbízható biztonsági megoldást is használni, amely tűzfalként szűri a gyanús forgalmat, és rendszeresen átvizsgálja az oldalt kártékony kód után. Végül gondolj az emberi tényezőre is: mindenki, aki hozzáfér az oldalhoz, legyen tisztában az alapokkal, és soha ne kattintson gyanús linkekre vagy adja meg máshol a belépési adatait. Ezek az egyszerű szokások együtt a támadások túlnyomó részét megelőzik.

Összefoglalva

A feltört weboldal ijesztő, de a legtöbb esetben kezelhető helyzet, ha nyugodtan és módszeresen jársz el. A felismerés kulcsa, hogy figyelj az árulkodó jelekre: a furcsa átirányításokra, a böngészőfigyelmeztetésekre, a lassulásra és a nevedben küldött spamre. A helyreállítás pedig egy világos sorrendet követ: jelszavak cseréje, a tárhely értesítése, a kár felmérése, visszaállítás tiszta mentésből, a rés bezárása és frissítés, végül a felülvizsgálat kérése.

A legfontosabb tanulság azonban a megelőzés. A feltörések döntő többsége elavult szoftver, gyenge jelszó vagy emberi figyelmetlenség miatt történik, és mindhárom megelőzhető néhány következetes szokással. Aki naprakészen tartja az oldalát, erős jelszavakat használ és rendszeresen ment, annak egy esetleges támadás sem jelent katasztrófát, csupán egy gyorsan orvosolható kellemetlenséget. A biztonságba fektetett kis odafigyelés mindig kifizetődik.

GYIK – Gyakori kérdések a feltört weboldalról

Honnan tudom biztosan, hogy feltörték az oldalamat?

Több árulkodó jel is utalhat rá: a látogatók idegen oldalra kerülnek, ismeretlen tartalom vagy hirdetés jelenik meg, a böngésző vagy a Google „nem biztonságos” figyelmeztetést mutat, az oldal hirtelen lelassul, ismeretlen adminfelhasználók tűnnek fel, vagy a domainedről spam megy ki. Ha ezek közül bármelyiket tapasztalod, érdemes azonnal alaposan átvizsgálni az oldalt, és megkezdeni a helyreállítást.

Helyre lehet állítani egy feltört weboldalt?

Igen, a legtöbb feltört oldal helyreállítható. A leggyorsabb megoldás általában egy fertőzés előtti biztonsági mentésből való visszaállítás, amelyet a szoftverek frissítése és a hátsó ajtók eltávolítása követ. Ha nincs tiszta mentésed, a kártékony kódot kézzel vagy biztonsági eszközzel kell eltávolítani. Ha bizonytalan vagy, mindenképpen kérj szakmai segítséget, mert egy félig megtisztított oldal ugyanolyan veszélyes maradhat.

Miért törték fel éppen az én kis oldalamat?

Szinte biztos, hogy nem személyesen téged céloztak meg. A támadások nagy részét automata robotok végzik, amelyek válogatás nélkül keresik a sérülékeny oldalakat, függetlenül azok méretétől vagy ismertségétől. Számukra csak a gyenge pont számít, jellemzően egy elavult szoftver vagy egy könnyen kitalálható jelszó. Éppen ezért a rendszeres frissítés és az erős jelszó minden weboldal számára alapvető fontosságú.