Usługa doraźna · działamy tego samego dnia
Czyścimy stronę ze złośliwego kodu, ustalamy, którędy weszli, i zamykamy lukę. Jeśli mogły wyciec dane klientów, przygotowujemy też dokumentację techniczną potrzebną do zgłoszenia naruszenia. Obsługujemy firmy, których na co dzień nie utrzymujemy.
Zgłoś włamanie
Trzy pola. Resztę ustalimy przez telefon.
Poniedziałek do piątku, 8:00 do 18:00. Rozmawiasz z osobą techniczną, nie z handlowcem.
Wolisz od razu? Zadzwoń: +48 507 972 278
Zanim cokolwiek zrobisz
Po wykryciu włamania najpierw zabezpiecz materiał, a dopiero potem sprzątaj. Zanim cokolwiek zrobisz, nie kasuj podejrzanych plików, nie przywracaj kopii zapasowej, nie czyść logów serwera i nie przenoś strony na inny hosting - to jedyny materiał, z którego da się ustalić, kiedy atak się zaczął, którędy wszedł i czyich danych mógł dotyczyć.
To jedyny dowód na to, kiedy atak się zaczął i co dokładnie robił. Skasowany, przestaje istnieć.
Kopia sprzed tygodnia przywraca stronę razem z luką, przez którą weszli. Po kilku dniach jesteś w tym samym miejscu.
Bez nich nie da się odtworzyć chronologii zdarzenia ani wskazać punktu wejścia.
Złośliwy kod i furtki jadą razem z nią, a ślady zostają na starym koncie, do którego nikt już nie zajrzy.
Dwie sytuacje
Infekcja to podmieniony kod na stronie, a wyciek to sytuacja, w której ktoś mógł sięgnąć po dane klientów. Drugi przypadek dokłada obowiązki wobec UODO i wobec ludzi, więc zakres pracy i cena są inne. Jeśli nie wiesz, w której sytuacji jesteś, powiemy Ci to po pierwszej rozmowie i po zajrzeniu na serwer.
Sytuacja A
Infekcja bez dostępu do danych to spam, przekierowania, ukryte linki albo ostrzeżenie Google, przy braku przesłanek, żeby ktoś sięgnął po dane klientów. Zakres pracy kończy się wtedy na stronie i serwerze.
od 1 490 zł netto - wycena po zajrzeniu na serwer, nie przez telefon.
Sytuacja B
O wycieku mówimy wtedy, gdy atak dosięgnął miejsca, w którym trzymasz dane ludzi: zamówień w sklepie, formularzy, bazy użytkowników albo danych płatniczych. Obok naprawy pojawiają się wtedy obowiązki wobec organu i wobec osób, których dane to obejmuje.
Wycena indywidualna - po pierwszej rozmowie, tego samego dnia.
Przebieg
Usuwanie skutków włamania przebiega w czterech krokach: zabezpieczenie plików i logów w stanie zastanym, analiza powłamaniowa, czyszczenie wraz z zamknięciem luki i na koniec raport. Kolejność jest ważniejsza niż szybkość - w odwrotnej traci się możliwość ustalenia, co się właściwie stało.
Terminy są orientacyjne. Konkretne podajemy po pierwszym zajrzeniu na serwer, a nie przez telefon w ciemno.
Zrzut plików, bazy i logów w stanie zastanym. Jeśli infekcja jest aktywna, ograniczamy szkody, ale nie kasujemy śladów.
dzień 1
Punkt wejścia, moment rozpoczęcia, zasięg i sprawdzenie, czy zostały furtki poza samą stroną, na przykład w plikach startowych konta.
dzień 1-2
Usunięcie złośliwego kodu i furtek, odtworzenie uszkodzonych elementów, zamknięcie luki i aktualizacja tego, co zostało w tyle.
dni 2-4
Chronologia, lista zmian, rekomendacje. Przy naruszeniu danych dodatkowo materiał gotowy do przekazania prawnikowi lub inspektorowi ochrony danych.
na koniec
Gwarancja
Gwarancja obejmuje poprawki do skutku, bez limitu dni i bez dopłat: jeśli infekcja wróci, wracamy do sprawy w ramach tej samej umowy. Na rynku spotkasz gwarancje 14- i 90-dniowe. My przyjmujemy, że albo problem jest zamknięty, albo praca nie jest skończona.
Diagnoza
Stronę zhakowaną rozpoznasz najczęściej po przekierowaniach na obce witryny, obcych podstronach w wynikach Google i ostrzeżeniu wyszukiwarki, że strona jest niebezpieczna. Część objawów widać od razu, część wyłącznie w wynikach wyszukiwania albo w plikach na serwerze.
Najgroźniejsze infekcje nie mają objawów. Strona wygląda normalnie dla odwiedzającego, a zmienione jest tylko to, co czyta wyszukiwarka albo co dzieje się w formularzu zamówienia.
Z naszej praktyki, 2026
Najczęstsze włamania na strony to wstrzyknięcie kodu przechwytującego dane z formularza zamówienia oraz ukryte linki widoczne wyłącznie dla wyszukiwarki. Poniżej dwie takie sprawy - w obu właściciel nie zauważył niczego.
Sklep na WooCommerce
Zamówienia przechodziły, płatności się księgowały, panel nie zgłaszał niczego. Wejściem był nieaktualny komponent: atakujący dograł wtyczkę udającą narzędzie do certyfikatów SSL, a ta przechwytywała dane z formularza zamówienia i wysyłała je dalej. Właściciel dowiedział się z zewnątrz i poza naprawą sklepu musiał zgłosić naruszenie oraz udowodnić, kiedy wyciek się zaczął. Sklep może działać bez zarzutu i jednocześnie okradać własnych klientów.
Kilkadziesiąt domen na jednym koncie
Kilkadziesiąt domen na jednym koncie hostingowym, bez separacji, zainfekowana ponad połowa. Atakujący wgrywał wtyczkę podszywającą się pod narzędzie SEO, wstrzykiwał ukryte odnośniki i nadpisywał mapę witryny. Najgorsze siedziało poziom wyżej niż same witryny: na koncie serwerowym doklejono furtkę uruchamianą przy każdym logowaniu, więc czyszczenie stron nic nie dawało. Jeśli ktoś czyścił Twoją stronę i problem wrócił, prawdopodobnie nikt nie sprawdził konta serwerowego.
Obowiązki prawne
Tak, jeśli naruszenie może powodować ryzyko dla praw lub wolności osób, których dane dotyczą. Zgłoszenie składa się w ciągu 72 godzin od stwierdzenia naruszenia, na podstawie art. 33 RODO. Naprawa strony jest więc tylko częścią sprawy: reszta to terminy, których nie da się przesunąć, i dokumenty, których nie da się napisać bez materiału z serwera.
Termin
72 h
Tyle masz na zgłoszenie naruszenia od jego stwierdzenia (art. 33 RODO).
Obowiązek
bez zwłoki
Każdą osobę objętą naruszeniem trzeba zawiadomić bez zbędnej zwłoki (art. 34 RODO).
Ryzyko
20 mln €
Albo 4% rocznego obrotu, w zależności od tego, co wyższe.
Co dostajesz
Przy zgłoszeniu trzeba udokumentować chronologię zdarzenia, ustalony zakres naruszenia i kategorie danych, których mogło dotyczyć, oraz podjęte środki zaradcze. Dokładnie te cztery rzeczy dostajesz od nas:
Nie jesteśmy kancelarią i nie wydajemy opinii prawnych. Dostarczamy tę część, której prawnik nie odtworzy sam: udokumentowany obraz tego, co faktycznie wydarzyło się na serwerze. Ocena prawna i samo zgłoszenie zostają po stronie Twojego prawnika lub inspektora ochrony danych.
Pracujemy jako podwykonawca i mamy w tym praktykę. Ostatnio przy incydencie, w którym administratorem danych była spółka będąca klientem agencji, z podpisaną umową powierzenia i osobnymi ustaleniami z hostingodawcą. Możemy zostać w tle albo rozmawiać bezpośrednio z klientem końcowym, jak wolisz.
U nas od 1 490 zł netto za czyszczenie z ustaleniem i zamknięciem punktu wejścia. Na rynku znajdziesz oferty od 250 do 999 zł. Różnica polega na tym, czy ktoś usuwa objawy, czy szuka przyczyny. Jeśli infekcja wraca po tygodniu, tańsza usługa okazuje się droższa. Przy naruszeniu danych osobowych zakres jest większy i wycena jest indywidualna.
Zabezpieczenie materiału i wstępne ustalenia zwykle tego samego lub następnego dnia. Czyszczenie i odbudowa liczone w dniach, nie w tygodniach. Konkretny termin podajemy po pierwszym zajrzeniu na serwer.
Czasem tak, na krótko. Decydujemy o tym po rozmowie, bo przy sklepie każda godzina przestoju kosztuje, a przy niektórych infekcjach zostawienie strony online kosztuje więcej.
Tego nie da się stwierdzić bez analizy. Właśnie po to zabezpieczamy pliki i logi w pierwszej kolejności. Zdarza się, że po analizie wychodzi, że dostęp do danych był technicznie niemożliwy, i to też jest wynik, który warto mieć udokumentowany.
Tak, to częsty przypadek. Infekcja wraca zwykle dlatego, że nie zamknięto punktu wejścia albo furtka siedziała poza samą stroną, na koncie serwerowym. Uprzedzamy, że po wcześniejszym czyszczeniu część śladów bywa już usunięta, co utrudnia ustalenie zakresu.
Tak, obsługa włamania to usługa osobna od stałej opieki. Nie wymagamy podpisania abonamentu, żeby zająć się incydentem.
Nie. Pracujemy z WordPressem i WooCommerce, PrestaShop, Sylius i Sulu, a także z aplikacjami w Laravelu i Symfony oraz z warstwą serwerową.
Zdecydowana większość włamań zaczyna się od nieaktualnego komponentu z publicznie opisaną luką, a nie od celowanego ataku na konkretną firmę. Automaty skanują adresy po kolei i sprawdzają, czy któryś ze znanych błędów zadziała. Drugie najczęstsze wejście to przejęte hasło do panelu lub konta hostingowego, trzecie to narzędzia typu menedżer plików, włączone kiedyś na chwilę i nigdy nie wyłączone.
Przywrócenie kopii nie wystarcza, bo kopia sprzed tygodnia przywraca stronę razem z luką, przez którą atakujący wszedł. Po kilku dniach infekcja zwykle wraca, tylko tym razem bez śladów, bo pierwotne pliki zostały nadpisane. Do tego jeśli włamanie trwało dłużej niż wiek najstarszej kopii, wszystkie kopie są już zainfekowane.
W WordPressie kod ukrywa się najczęściej w plikach motywu, w katalogu uploads, w tabelach opcji bazy danych i w zadaniach cyklicznych. W sklepach dochodzi warstwa najgroźniejsza, czyli skrypty wstrzykiwane w proces zamówienia, które przechwytują dane płatnicze. Ta ostatnia kategoria nie daje żadnych objawów widocznych dla właściciela sklepu.
Odwirusowanie odpowiada wyłącznie na pytanie, jak przywrócić działanie strony, a analiza powłamaniowa odpowiada dodatkowo na pytania, kiedy atak się zaczął, którędy wszedł, jak długo trwał i czyich danych mógł dotyczyć. Tej drugiej części nie da się pominąć, jeśli w grę wchodzą dane osobowe, bo bez niej nie ma czym wypełnić zgłoszenia naruszenia.
Nie, incydent obsługujemy w całości zdalnie. Pracujemy z Lublina i Warszawy, obsługując klientów w całej Polsce. Do obsługi incydentu potrzebujemy dostępu do hostingu i panelu, a przy aplikacji dedykowanej także do repozytorium.
Co potem
Żeby infekcja nie wróciła, trzeba na bieżąco aktualizować komponenty, trzymać kopie zapasowe z przetestowanym odtworzeniem i monitorować zmiany plików na serwerze. Obie opisane wyżej sprawy miały ten sam początek: komponent, którego od dawna nikt nie aktualizował, a sama naprawa tego nie zmienia. Nie musisz decydować o tym teraz, ale mamy na to osobną usługę - stałą opiekę nad stroną i sklepem, od 299 zł netto miesięcznie.
Zgłoś włamanie
Pierwsza rozmowa jest bezpłatna i odbywa się tego samego dnia roboczego. Powiemy wprost, czy to sprawa na czyszczenie, czy na pełną analizę powłamaniową, i ile to będzie kosztować. Im wcześniej dzwonisz, tym więcej da się ustalić.
Zgłoś włamanie
Odezwiemy się najszybciej jak się da.
Zanim się odezwiemy: nie kasuj plików, nie czyść logów, nie przywracaj kopii zapasowej.
Wolisz od razu? Zadzwoń: +48 507 972 278
