Jeśli Twoja strona WordPress została zhakowana, w pierwszej godzinie zrób trzy rzeczy: zmień hasła do hostingu, panelu WordPress i poczty, zabezpiecz kopię obecnego stanu strony i skontaktuj się z hostingiem lub specjalistą. Nie kasuj niczego na ślepo – samo usunięcie widocznych objawów zwykle nie usuwa tylnej furtki, przez którą włamywacz wróci.
Zhakowana strona to jedna z najbardziej stresujących sytuacji dla właściciela firmy. Klienci piszą, że strona przekierowuje na podejrzane serwisy, Google pokazuje ostrzeżenie, a w wynikach wyszukiwania pod Twoją domeną pojawiają się japońskie znaki albo reklamy leków. Do tego dochodzi pytanie, czy wyciekły dane klientów.
W tym wpisie przeprowadzę Cię przez objawy, pierwsze kroki, które możesz zrobić sam, czyszczenie strony, kontakt z Google i obowiązki wynikające z RODO. Na co dzień zajmuję się naprawą zhakowanych stron WordPress, więc opisuję to, co faktycznie działa.
Po czym poznać, że strona WordPress została zhakowana?
Najczęstsze objawy to: przekierowania na obce strony (często tylko na telefonie lub tylko z Google), dziwne wyniki w wyszukiwarce pod Twoją domeną, ostrzeżenia przeglądarki o niebezpiecznej witrynie, nowi, nieznani administratorzy w panelu oraz informacja od hostingu o złośliwym kodzie lub masowej wysyłce spamu.
Szczegółowa lista sygnałów:
- Przekierowania – strona otwiera się normalnie, gdy wpisujesz adres, ale po kliknięciu z Google lub na telefonie przenosi na kasyno, sklep z lekami czy fałszywy konkurs. Włamywacze celowo ukrywają to przed administratorem.
- Spam w Google – wpisz w wyszukiwarkę „site:twojadomena.pl” i zobacz, czy nie ma tam tysięcy podstron, których nie tworzyłeś.
- Ostrzeżenie przeglądarki – czerwony ekran „Witryna zawiera złośliwe oprogramowanie” albo „Zwodnicza witryna”.
- Nowi użytkownicy – w zakładce Użytkownicy pojawiło się konto z rolą Administrator, którego nie zakładałeś.
- Nieznane wtyczki lub pliki – wtyczka o dziwnej nazwie, której nikt nie instalował.
- Sygnały z zewnątrz – hosting blokuje konto, maile z domeny trafiają do spamu, klienci dostają podejrzane wiadomości „od Ciebie”.
- Nagłe spowolnienie – serwer jest obciążony, bo strona rozsyła spam lub atakuje inne serwisy.
Co zrobić w pierwszej godzinie po zhakowaniu strony?
W pierwszej godzinie: zmień hasła do hostingu, panelu WordPress, poczty i FTP, sprawdź i zablokuj nieznanych administratorów, poinformuj hosting i poproś o kopię obecnego stanu oraz logi, a jeśli strona aktywnie szkodzi odwiedzającym – poproś o tymczasowe wyłączenie lub stronę „w przerwie technicznej”.
Kolejność, którą polecam właścicielom firm:
- Zachowaj spokój i zrób notatki. Zrzuty ekranu przekierowań, ostrzeżeń i listy użytkowników, godzina zauważenia problemu. To ważne dla diagnozy i ewentualnie dla RODO.
- Zmień hasła z czystego urządzenia. Najpierw hasło do panelu hostingu i poczty, potem do WordPressa. Jeśli Twój komputer może być zainfekowany, użyj innego.
- Sprawdź użytkowników. Nieznanym administratorom zmień rolę na Subskrybent lub zablokuj je – nie usuwaj od razu, bo to ślad przydatny w analizie.
- Zadzwoń do hostingu. Poproś o kopię obecnego stanu strony (nawet zainfekowanej), logi dostępu i informację, od kiedy widzą podejrzaną aktywność. Zapytaj też o kopie zapasowe sprzed włamania.
- Jeśli strona szkodzi klientom (np. kradnie dane z formularza płatności lub instaluje coś odwiedzającym), poproś hosting o czasowe wyłączenie. Lepiej kilka godzin przerwy niż zainfekowani klienci.
- Skontaktuj się ze specjalistą od czyszczenia stron, zanim zaczniesz cokolwiek usuwać.
Czego nie robić na własną rękę
- Nie usuwaj losowo plików ani tabel w bazie danych – możesz skasować dane, a złośliwy kod i tak zostanie.
- Nie przywracaj od razu kopii zapasowej, jeśli nie wiesz, kiedy nastąpiło włamanie. Kopia może być już zainfekowana, a luka, przez którą włamano się do strony, zostanie otwarta.
- Nie instaluj pięciu wtyczek „antywirusowych” naraz. Mogą pomóc w wykryciu problemu, ale nie zastąpią porządnego czyszczenia.
Jak wygląda profesjonalne czyszczenie zhakowanej strony?
Czyszczenie polega na znalezieniu wszystkich zmienionych lub dodanych plików i wpisów w bazie danych, zastąpieniu rdzenia WordPressa, wtyczek i motywu czystymi wersjami, usunięciu tylnych furtek, zamknięciu luki, przez którą nastąpiło włamanie, i zmianie wszystkich kluczy oraz haseł. Dopiero na końcu strona wraca do normalnego działania.
Tak wygląda to u mnie krok po kroku:
- Kopia stanu zainfekowanego – zabezpieczona osobno, jako materiał do analizy.
- Analiza logów i plików – szukam, którędy włamywacz wszedł: przestarzała wtyczka, wykradzione hasło, porzucony motyw, niezabezpieczony formularz.
- Wymiana kodu na czysty – rdzeń WordPressa, wtyczki i motyw pobieram na nowo z oficjalnych źródeł, zamiast „łatać” zainfekowane pliki.
- Przegląd bazy danych – złośliwe skrypty wstrzyknięte w treści, ustawienia i konta użytkowników.
- Zamknięcie luki – aktualizacja lub usunięcie podatnej wtyczki, zmiana kluczy bezpieczeństwa w pliku wp-config.php, wymuszenie zmiany haseł.
- Zabezpieczenie na przyszłość – ochrona logowania, ograniczenie uprawnień, monitoring zmian w plikach.
- Kontrola po czyszczeniu – sprawdzenie strony z różnych urządzeń i z wyników Google, bo przekierowania często działają tylko dla wybranych odwiedzających.
Jak poprosić Google o ponowne sprawdzenie strony?
Po wyczyszczeniu strony zaloguj się do Google Search Console, otwórz raport „Problemy dotyczące bezpieczeństwa”, upewnij się, że wszystkie wskazane problemy zostały usunięte, i kliknij przycisk prośby o weryfikację. W opisie napisz konkretnie, co zrobiono: usunięto złośliwy kod, zaktualizowano wtyczki, zmieniono hasła.
Kilka praktycznych uwag:
- Nie wysyłaj prośby, zanim strona nie jest naprawdę czysta. Odrzucona prośba wydłuża cały proces.
- Czas rozpatrzenia zależy od rodzaju problemu – według Google może to być od około doby do kilku tygodni. Ostrzeżenie w przeglądarce znika po pozytywnej weryfikacji.
- Spamowe podstrony, które Google zdążył zaindeksować, trzeba usunąć tak, by zwracały błąd 404 lub 410, a w razie potrzeby przyspieszyć ich zniknięcie narzędziem do usuwania adresów w Search Console.
- Jeśli nie masz Search Console, to dobry moment, żeby ją założyć. Bez niej nie widzisz, co Google wie o Twojej stronie.
Czy po włamaniu na stronę trzeba zgłosić to do UODO?
To zależy od tego, czy doszło do naruszenia ochrony danych osobowych. Jeśli na stronie lub w sklepie były dane klientów (konta, zamówienia, formularze) i istnieje ryzyko, że ktoś uzyskał do nich dostęp, RODO co do zasady wymaga zgłoszenia naruszenia do Prezesa UODO w ciągu 72 godzin od jego stwierdzenia, chyba że naruszenie jest mało prawdopodobne, by powodowało ryzyko dla osób.
Co warto wiedzieć:
- Przy wysokim ryzyku dla klientów (np. wyciek haseł, adresów i numerów telefonów) trzeba ich też poinformować.
- Nawet jeśli uznasz, że zgłoszenie nie jest wymagane, naruszenie należy udokumentować wewnętrznie – stąd notatki i zrzuty ekranu z pierwszej godziny.
- Logi z serwera i analiza specjalisty pomagają ustalić, czy dane faktycznie były zagrożone.
Dlaczego strony WordPress są hakowane?
Najczęściej nie dlatego, że WordPress jest „dziurawy”, tylko przez zaniedbania: nieaktualne wtyczki i motywy, słabe lub powtarzane hasła, porzucone wtyczki bez wsparcia, pirackie wersje płatnych dodatków i zbyt wielu administratorów. Włamania są w dużej mierze zautomatyzowane – boty skanują tysiące stron w poszukiwaniu znanych luk.
To ważne, bo wiele osób myśli: „jestem małą firmą, nikt mnie nie będzie atakował”. Boty nie wybierają ofiar po wielkości firmy, tylko po podatnej wersji wtyczki. O tym, czy WordPress jest dobrym wyborem mimo wszystko, piszę w tekście czy WordPress jest dobry.
Coraz częściej widzę też nowy rodzaj ryzyka: strony i skrypty robione na szybko z pomocą AI, w których klucze API lub dane dostępowe trafiają do publicznego kodu. Opisałem to w relacji z WordCamp Wrocław 2026 o bezpiecznym AI w firmie.
Jak zabezpieczyć stronę WordPress przed kolejnym włamaniem?
Najskuteczniejsze są nudne, regularne działania: aktualizacje, kopie zapasowe poza serwerem, silne unikalne hasła z weryfikacją dwuetapową, minimum wtyczek i administratorów oraz monitoring, który zauważy zmianę szybciej niż klient.
Checklista do wdrożenia:
- Aktualizuj WordPressa, wtyczki i motyw regularnie – z kopią przed i testem po.
- Usuń nieużywane wtyczki i motywy, także te wyłączone.
- Nigdy nie instaluj płatnych wtyczek z nieoficjalnych źródeł – to częsta droga infekcji.
- Włącz weryfikację dwuetapową dla kont administratorów i ogranicz liczbę prób logowania.
- Każdy pracownik i wykonawca ma własne konto z najmniejszymi potrzebnymi uprawnieniami.
- Trzymaj kopie zapasowe poza serwerem i przechowuj kilka wersji wstecz.
- Wybierz hosting, który aktualizuje oprogramowanie serwera i pomaga przy incydentach – polecam hosting LH.pl.
Podsumowanie
- Typowe objawy zhakowania to przekierowania, spam w Google, ostrzeżenia przeglądarki i nieznani administratorzy.
- W pierwszej godzinie zmień hasła, zabezpiecz kopię obecnego stanu, zablokuj obce konta i skontaktuj się z hostingiem.
- Nie kasuj plików na ślepo i nie przywracaj kopii, dopóki nie wiesz, kiedy nastąpiło włamanie.
- Po wyczyszczeniu poproś Google o ponowne sprawdzenie w raporcie „Problemy dotyczące bezpieczeństwa” w Search Console.
- Przy możliwym wycieku danych sprawdź z prawnikiem obowiązek zgłoszenia do UODO w ciągu 72 godzin.
- Najlepszą ochroną są regularne aktualizacje, kopie poza serwerem i silne hasła.
