Jednym z najczęstszych objawów włamania do WordPressa są niechciane przekierowania na spam, fałszywe strony lub podejrzane reklamy. Problem często pojawia się nagle i może dotyczyć tylko części użytkowników, dlatego wielu właścicieli stron przez długi czas nie zdaje sobie sprawy, że witryna została zainfekowana.

Takie przekierowania są szczególnie niebezpieczne, ponieważ mogą prowadzić użytkowników na strony phishingowe, fałszywe sklepy albo złośliwe witryny zawierające malware. Dodatkowo Google może oznaczyć stronę jako niebezpieczną, co zwykle kończy się spadkiem ruchu i utratą zaufania użytkowników.

Jak wygląda problem z przekierowaniami?

W praktyce infekcja bardzo często nie działa cały czas. Atakujący celowo konfigurują malware tak, aby właściciel strony nie widział problemu podczas codziennego korzystania z witryny. Częstym scenariuszem jest sytuacja, w której właściciel strony twierdzi, że „u niego wszystko działa poprawnie”, a problem zgłaszają dopiero klienci albo narzędzia Google Search Console.

Przekierowania mogą pojawiać się:

• tylko na urządzeniach mobilnych,
• wyłącznie dla nowych użytkowników,
• jedynie dla osób wchodzących z Google,
• co kilka wejść na stronę,
• tylko na wybranych podstronach.

Dlaczego WordPress przekierowuje na spam?

Najczęściej przyczyną problemu jest infekcja malware lub włamanie wykorzystujące podatność w WordPressie, motywie albo wtyczce. Automatyczne boty stale skanują internet w poszukiwaniu stron z lukami bezpieczeństwa. Jeśli witryna korzysta ze starej wersji wtyczki lub motywu, infekcja może zostać dodana całkowicie automatycznie, bez żadnej interakcji ze strony właściciela. Do najpopularniejszych powodów należą:

• nieaktualne wtyczki,
• stare motywy,
• porzucone rozszerzenia,
• słabe hasła administratorów,
• brak zabezpieczeń logowania,
• zainfekowany komputer administratora,
• podatności na hostingu.

Jak sprawdzić, czy strona została zhakowana?

Przekierowania bardzo często są tylko jednym z objawów większego problemu. Dlatego warto dokładnie sprawdzić całą stronę oraz środowisko hostingowe. W wielu przypadkach infekcja pozostaje aktywna przez długi czas, ponieważ malware ukrywa się w plikach WordPressa albo działa warunkowo tylko dla części użytkowników.

Niepokojące sygnały to między innymi:

• ostrzeżenia od Google o niebezpiecznej witrynie,
• nagły spadek ruchu SEO,
• pojawiający się spam w wynikach wyszukiwania,
• nowe konta administratorów,
• bardzo wolne działanie strony,
• komunikaty od hostingu o malware,
• dziwne pliki na serwerze.

Co zrobić krok po kroku?

Wykonaj kopię stron

Pierwszym krokiem powinno być wykonanie pełnego backupu strony, nawet jeśli witryna jest już zainfekowana. Warto zabezpieczyć zarówno pliki WordPressa, jak i bazę danych. Dzięki temu nie stracisz danych, będzie można przeanalizować źródło problemu i łatwiej będzie odzyskać stronę w razie błędów podczas czyszczenia. Usuwanie plików bez wcześniejszej kopii bardzo często utrudnia późniejszą analizę infekcji.

Zmień wszystkie hasła

Po wykryciu problemu należy jak najszybciej zmienić wszystkie dane dostępowe związane ze stroną. Dotyczy to przede wszystkim: WordPressa, FTP, hostingu, bazy danych, poczty e-mail. Jeśli atakujący nadal ma dostęp do któregoś z tych elementów, może ponownie zainfekować stronę nawet po usunięciu malware.

ZaktualizujWordPress, motywy i wtyczki

Nieaktualne komponenty są jedną z najczęstszych przyczyn przekierowań spamowych. Warto zaktualizować WordPress, usunąć stare wtyczki, skasować nieużywane motywy, sprawdzić, czy rozszerzenia są nadal rozwijane. Szczególnie niebezpieczne są porzucone wtyczki, które od dawna nie otrzymują aktualizacji bezpieczeństwa.

Sprawdź użytkownikówWordPress

Po włamaniu atakujący bardzo często dodają nowe konta administratorów, aby zachować dostęp do strony nawet po częściowym usunięciu infekcji. W panelu WordPress warto sprawdzić Użytkownicy → Wszyscy użytkownicy i usunąć wszystkie podejrzane konta. Dobrą praktyką jest również zmiana loginu administratora oraz włączenie uwierzytelniania dwuskładnikowego.

Przeskanuj stronę pod kątemmalware

Kolejnym krokiem powinno być przeskanowanie strony narzędziami bezpieczeństwa. Najczęściej używane rozwiązania to Wordfence, Sucuri SiteCheck, ImunifyAV, skanery oferowane przez hosting. Warto jednak pamiętać, że darmowe skanery nie zawsze wykrywają wszystkie infekcje. Bardziej zaawansowane malware potrafi ukrywać się w bazie danych albo aktywować się tylko w określonych warunkach.

Sprawdź pliki i przekierowania ręcznie

W wielu przypadkach konieczna jest również ręczna analiza strony. Szczególną uwagę warto zwrócić na poniżesze elementy, bo to właśnie tam bardzo często ukrywane są przekierowania oraz fragmenty złośliwego kodu odpowiedzialne za spam.

• plik `.htaccess`,
• `functions.php`,
• podejrzane pliki PHP,
• wpisy w bazie danych,
• harmonogram CRON.

Zabezpiecz stronę po usunięciu problemu

Usunięcie przekierowań to dopiero pierwszy etap. Równie ważne jest zabezpieczenie strony przed kolejnymi atakami. Bez odpowiednich zabezpieczeń infekcja może bardzo szybko wrócić. Po oczyszczeniu witryny warto:

• włączyć automatyczne aktualizacje,
• wykonywać regularne backupy,
• ograniczyć próby logowania,
• monitorować zmiany na stronie,
• stosować silne hasła.

Najczęstszy scenariusz

W praktyce bardzo często wygląda to podobnie. Strona przez długi czas nie była aktualizowana, a jedna z wtyczek posiada znaną podatność bezpieczeństwa. Automatyczny bot wykorzystuje lukę i dodaje malware odpowiedzialne za przekierowania spamowe.

Początkowo właściciel strony nie widzi problemu, ponieważ przekierowania działają tylko dla części użytkowników. Dopiero po czasie pojawiają się ostrzeżenia od Google, spadki ruchu albo zgłoszenia od klientów.

W wielu przypadkach samo usunięcie widocznych objawów nie wystarcza, ponieważ atakujący pozostawia dodatkowe furtki umożliwiające ponowne przejęcie strony.

Czego NIE należy robić?

Nie ignoruj problemu

Im dłużej przekierowania działają na stronie, tym większe ryzyko utraty pozycji w Google oraz zaufania użytkowników. Google może oznaczyć stronę jako niebezpieczną, wyświetlać ostrzeżenia w wynikach wyszukiwania, ograniczyć widoczność witryny.

Nie instaluj wielu wtyczek bezpieczeństwa jednocześnie

Duża liczba narzędzi ochronnych często powoduje konflikty i utrudnia analizę problemu. Znacznie ważniejsze jest znalezienie źródła infekcji niż instalowanie kolejnych wtyczek „na wszelki wypadek”.

Nie zakładaj, że problem sam zniknie

Jeśli strona została zhakowana, atakujący bardzo często pozostawia możliwość ponownego dostępu do witryny. Dlatego samo usunięcie przekierowań zwykle nie rozwiązuje problemu całkowicie.

Kiedy warto zgłosić się do specjalisty?

Pomoc specjalisty warto rozważyć szczególnie wtedy, gdy przekierowania wracają mimo usunięcia infekcji albo nie wiadomo, w jaki sposób doszło do włamania. W przypadku stron firmowych szybka reakcja ma duże znaczenie, ponieważ spam i malware mogą wpływać na sprzedaż, widoczność w Google oraz bezpieczeństwo użytkowników. Wsparcie techniczne może być również potrzebne wtedy, gdy Google oznaczył stronę jako niebezpieczną albo gdy istnieją wątpliwości, czy wszystkie ślady infekcji zostały skutecznie usunięte.

Jeśli WordPress przekierowuje użytkowników na spam lub podejrzane strony, warto działać szybko. Im wcześniej problem zostanie wykryty i usunięty, tym mniejsze ryzyko utraty danych, pozycji w Google i zaufania użytkowników.