Włamanie na sklep internetowy - co zrobić w pierwszej godzinie po ataku
Technical Implementation Expert
Włamanie na sklep internetowy - co zrobić w pierwszej godzinie po ataku
Po włamaniu na sklep internetowy w pierwszej godzinie trzeba zabezpieczyć dowody, odciąć atakującego, zmienić hasła z czystego urządzenia i sprawdzić, czy nie zmieniły się dane do wypłat i płatności. Następnie powiadamiasz hosting i dostawców usług, decydujesz, czy na czas wyjaśniania sprawy wyłączyć sklep, i zgłaszasz incydent do CERT Polska. Jeśli mogło dojść do wycieku danych klientów, masz 72 godziny na zgłoszenie do UODO.
Moment, w którym właściciel orientuje się, że sklep jest zhakowany, rzadko wygląda spokojnie. Na stronie wisi obca grafika, klienci piszą o dziwnych przekierowaniach, w panelu pojawia się nieznany administrator albo przychodzi powiadomienie o zmianie numeru konta do wypłat. Najgorsze, co można wtedy zrobić, to działać chaotycznie: kasować pliki, przywracać pierwszą lepszą kopię i zmieniać hasła z tego samego komputera, z którego mogło wyciec hasło. Poniżej pokazujemy kolejność działań, która ogranicza straty i nie zaciera śladów.
[#wazne] W skrócie: po włamaniu na sklep najpierw dokumentujesz to, co widzisz, potem z czystego urządzenia zmieniasz hasła do hostingu, panelu sklepu, poczty i kont płatności, wylogowujesz wszystkie sesje i unieważniasz klucze API. Sprawdzasz dane do wypłat na marketplace'ach i w bramce płatności, powiadamiasz hosting i decydujesz o wyłączeniu sklepu. Incydent zgłaszasz do CERT Polska, a przy wycieku danych klientów - do UODO w ciągu 72 godzin. W Vinson pomagamy sklepom przejść przez te kroki i usunąć skutki ataku.
Jak rozpoznać włamanie na sklep internetowy
Włamanie na sklep internetowy to przejęcie przez osobę niepowołaną dostępu do panelu administracyjnego, serwera, bazy danych lub kont powiązanych ze sklepem, takich jak poczta czy hosting. Nie zawsze kończy się widoczną zmianą strony. Często atakujący działa po cichu, bo zależy mu na danych klientów, ruchu z Google albo pieniądzach z wypłat. Typowe sygnały, że sklep jest zhakowany:
Nieznane konta administratorów w panelu sklepu, na hostingu lub w systemie zamówień.
Powiadomienia o logowaniu z nieznanego urządzenia lub kraju i e-maile o zmianie hasła, których nikt w firmie nie inicjował.
Zmienione dane do wypłat na koncie marketplace lub w bramce płatności.
Przekierowania i obce treści na stronie, nowe podstrony ze spamem w wynikach Google, ostrzeżenie przeglądarki.
Dodatkowe pola w formularzu płatności albo skargi klientów na nieautoryzowane transakcje kartą po zakupie.
Nagłe zmiany cen i stanów w ofertach, których nikt z zespołu nie wprowadzał.
Jeśli widzisz choć jeden z tych sygnałów, zakładaj najgorszy scenariusz, dopóki nie wykluczysz włamania. Lepiej stracić godzinę na sprawdzanie fałszywego alarmu niż tydzień na odkręcanie skutków ataku.
Warto też wiedzieć, którędy atakujący najczęściej wchodzą do małych sklepów, bo to podpowiada, gdzie szukać w pierwszej kolejności. Na sklepach instalowanych na hostingu dominują luki w nieaktualnych wtyczkach i modułach. Na wszystkich platformach powtarza się przejęcie hasła - z wycieku z innego serwisu, przez fałszywą stronę logowania albo ze złośliwego oprogramowania na komputerze pracownika. Trzecia typowa droga to przejęta skrzynka pocztowa, przez którą atakujący resetuje hasła do panelu, hostingu i kont marketplace. Dlatego w pierwszej godzinie poczta jest równie ważna jak sam sklep.
Włamanie na sklep - co zrobić w pierwszej godzinie
Pierwsza godzina służy temu, żeby zatrzymać atak i nie pogorszyć sytuacji. Pełne czyszczenie strony, analiza przyczyny i odtwarzanie danych przychodzą później. Kolejność ma znaczenie: najpierw dowody i odcięcie dostępu, potem pieniądze, na końcu komunikacja. Tak wygląda plan na pierwsze 60 minut:
[#chart:wit48a]
Podane przedziały czasu są orientacyjne. W małej firmie część kroków wykonuje jedna osoba, więc ważniejsza od minut jest kolejność. Jeśli w zespole są dwie osoby, warto podzielić zadania: jedna zmienia hasła i odcina dostęp, druga kontaktuje się z hostingiem i sprawdza konta płatności. Każdą wykonaną czynność zapisuj z godziną - ta notatka przyda się przy zgłoszeniu incydentu, rozmowie z hostingiem i ewentualnym zgłoszeniu do UODO.
Dlaczego hasła zmieniasz z innego urządzenia
Częstą przyczyną włamania jest hasło wykradzione przez złośliwe oprogramowanie na komputerze pracownika albo przechwycone na fałszywej stronie logowania. Jeśli komputer, z którego zwykle logujesz się do panelu, jest zainfekowany, nowe hasło trafi do atakującego w chwili, gdy je wpiszesz. Dlatego zmianę haseł rób z innego, zaufanego urządzenia, na przykład z telefonu z aktualnym systemem lub komputera, z którego nie korzystano do obsługi sklepu. Podejrzany komputer odłącz od sieci, ale go nie formatuj - może być potrzebny do ustalenia, co się stało.
- Diagnoza problemu i plan naprawy
- Bezpieczeństwo, kopie zapasowe, poczta
- Stała opieka IT dla e-commerce
Konsultację poprowadzi Łukasz Palej, Technical Implementation ExpertKtóre hasła i klucze zmienić po włamaniu na sklep
Po włamaniu trzeba założyć, że atakujący poznał każde hasło i klucz, które były zapisane na serwerze lub w skrzynce pocztowej. Zmiana samego hasła do panelu sklepu to za mało. Poniższa lista porządkuje konta według pilności:
| Konto lub dostęp | Co zrobić | Dlaczego to pilne |
|---|---|---|
| Poczta firmowa | Zmiana hasła, wylogowanie sesji, sprawdzenie reguł przekierowania | Przez pocztę resetuje się hasła do wszystkich innych usług |
| Hosting, FTP, SSH, baza danych | Zmiana haseł, usunięcie nieznanych kluczy SSH i kont FTP | Dają pełny dostęp do plików i danych sklepu |
| Panel sklepu | Zmiana haseł administratorów, usunięcie nieznanych kont | Atakujący może tworzyć zamówienia, zmieniać ceny i treści |
| Bramka płatności i marketplace'y | Zmiana hasła, kontrola numeru konta do wypłat | Najkrótsza droga do pieniędzy firmy |
| Klucze API i integracje | Wygenerowanie nowych kluczy, np. płatności, kurierów, systemu zamówień | Klucze z pliku konfiguracyjnego działają niezależnie od haseł |
| Rejestrator domeny i DNS | Zmiana hasła, kontrola rekordów DNS i serwerów nazw | Przejęta domena pozwala przekierować sklep i pocztę |
W poczcie zwróć szczególną uwagę na reguły przekierowania i filtry. Atakujący, który przejął skrzynkę, często ustawia automatyczne przekazywanie wiadomości na swój adres albo filtr, który ukrywa powiadomienia o zmianie hasła czy wypłatach. W WordPressie zmiana tak zwanych kluczy i soli w pliku wp-config.php unieważnia wszystkie zalogowane sesje, więc atakujący zostaje wylogowany nawet wtedy, gdy miał aktywne ciasteczko logowania.
[#uwaga] Zanim zaczniesz usuwać pliki i konta, zrób zrzuty ekranu i pobierz kopię obecnego stanu serwera oraz logów dostępu, jeśli hosting je udostępnia. Usunięte dowody utrudniają ustalenie, jak atakujący wszedł do sklepu, a bez tego ten sam wektor ataku zostanie użyty ponownie.
Kogo powiadomić po włamaniu na sklep internetowy
Włamanie to nie tylko sprawa techniczna. Część zgłoszeń ma terminy wynikające z przepisów, a część chroni firmę przed dalszymi stratami. Poniżej lista instytucji i partnerów, z którymi warto się skontaktować:
[#chart:wit48b]
Zgodnie z art. 33 RODO, jeśli włamanie mogło objąć dane osobowe klientów, administrator zgłasza naruszenie Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego stwierdzenia, chyba że jest mało prawdopodobne, by powodowało ryzyko dla osób, których dane dotyczą (stan na czerwiec 2026 - sprawdź aktualne wytyczne UODO). Termin liczy się od momentu, gdy firma dowiedziała się o naruszeniu, a nie od zakończenia analizy. Jeśli ryzyko dla klientów jest wysokie, trzeba zawiadomić także ich.
Czy wyłączyć sklep po włamaniu?
To decyzja, którą trzeba podjąć szybko. Jeśli na stronie działa skrypt, który może przechwytywać dane kart lub dane klientów, albo sklep przekierowuje kupujących na strony z oszustwami, bezpieczniej jest włączyć tryb konserwacji lub tymczasowo wyłączyć stronę. Każda godzina działania zainfekowanego sklepu to kolejni klienci narażeni na kradzież danych. Gdy atak ograniczył się do przejęcia jednego konta, które już odcięto, sklep może zwykle działać dalej, a czyszczenie odbywa się równolegle.
Sprzedaż na marketplace'ach w czasie incydentu
Jeśli sklep jest połączony z marketplace'ami przez system zamówień, sprawdź, czy integracje działają poprawnie i czy nikt nie zmienił cen ani stanów. W razie wątpliwości wstrzymaj synchronizację, a w ofertach wydłuż czas wysyłki, zanim zaczną spływać zamówienia, których nie zrealizujesz na czas. Klientom, którzy już zamówili, napisz krótko, czego mogą się spodziewać. Opóźnienia na marketplace'ach odbijają się na ocenach konta dłużej niż sam incydent.
Jeśli atakujący miał dostęp do skrzynki pocztowej lub panelu sklepu, sprawdź też, czy w Twoim imieniu nie wysłano wiadomości do klientów lub dostawców, na przykład z prośbą o wpłatę na nowy numer konta. Takie oszustwa często towarzyszą włamaniom. Krótka informacja na stronie i w mediach społecznościowych, że firma nie zmieniała danych do przelewów, chroni klientów i reputację sklepu.
Czego nie robić po włamaniu na sklep
Presja czasu sprzyja decyzjom, które później utrudniają odzyskanie kontroli nad sklepem. Najczęstsze błędy i ich lepsze odpowiedniki zebraliśmy w zestawieniu:
[#chart:wit48c]
Po pierwszej godzinie przychodzi czas na pełne czyszczenie: przegląd plików i bazy danych, aktualizacje, usunięcie backdoorów i ustalenie przyczyny włamania. Jeśli atakujący zaszyfrował dane, procedura jest inna - opisujemy ją we wpisie
Co dalej po pierwszej godzinie - kolejne dni
Gdy atak jest zatrzymany, zaczyna się etap, który trwa dłużej, ale wymaga mniej nerwowych decyzji. Typowy plan na kolejne dni wygląda tak:
Analiza przyczyny - przegląd logów, historii logowań i dat modyfikacji plików, żeby ustalić, którędy wszedł atakujący.
Czyszczenie sklepu - wymiana plików systemu i wtyczek na czyste wersje, usunięcie backdoorów i złośliwego kodu z bazy danych.
Zamknięcie luki - aktualizacje, usunięcie porzuconych wtyczek, weryfikacja dwuetapowa na wszystkich kontach.
Ocena naruszenia danych - jakie dane mogły wyciec, czy trzeba zgłosić naruszenie do UODO i powiadomić klientów.
Powrót do sprzedaży - testowe zamówienie, sprawdzenie płatności i integracji, wyłączenie trybu konserwacji.
Wnioski - krótka notatka, co zadziałało, co zajęło za dużo czasu i co zmienić w zabezpieczeniach.
Pamiętaj też, że RODO wymaga od administratora dokumentowania wszystkich naruszeń ochrony danych osobowych, także tych, których nie trzeba zgłaszać do UODO. Notatka powinna opisywać okoliczności naruszenia, jego skutki i podjęte działania. Zapiski z pierwszej godziny są dobrym punktem wyjścia do takiej dokumentacji.
[#checklista] Przygotuj zawczasu: listę wszystkich kont sklepu z osobą odpowiedzialną za każde, numer do pomocy technicznej hostingu, kontakty do operatora płatności i firmy IT, kopię zapasową poza serwerem, drugie zaufane urządzenie do zmiany haseł oraz wydrukowany plan działania na wypadek incydentu.
Jak Vinson pomaga po włamaniu na sklep internetowy
Vinson to agencja e-commerce z Bochni działająca od 2021 r., certyfikowany partner Base i autoryzowany partner Shoper, oceniana na 4,9/5 ze 171 opinii. W ramach
Najczęściej zadawane pytania
Co zrobić, gdy sklep internetowy został zhakowany?
Zrób zrzuty ekranu i zapisz to, co widzisz, a następnie z czystego urządzenia zmień hasła do poczty, hostingu, panelu sklepu i kont płatności. Wyloguj wszystkie sesje, usuń nieznane konta administratorów i sprawdź dane do wypłat. Powiadom hosting, zgłoś incydent do CERT Polska, a przy wycieku danych klientów - do UODO w ciągu 72 godzin.
Gdzie zgłosić włamanie na stronę internetową?
Incydent bezpieczeństwa zgłasza się do CERT Polska przez formularz na stronie incydent.cert.pl. Włamanie to przestępstwo, więc można też złożyć zawiadomienie na policji. Jeśli mogło dojść do naruszenia ochrony danych osobowych, zgłoszenie trzeba wysłać do Prezesa UODO.
Czy po włamaniu wystarczy zmienić hasło do panelu sklepu?
Nie. Atakujący mógł zostawić backdoor w plikach, założyć dodatkowe konto, zapisać klucze API z pliku konfiguracyjnego albo ustawić przekierowanie poczty. Trzeba zmienić hasła do wszystkich powiązanych usług, unieważnić sesje i klucze, a potem oczyścić pliki i bazę danych.
Czy po włamaniu muszę informować klientów sklepu?
Jeśli włamanie mogło objąć dane osobowe i wiąże się z wysokim ryzykiem dla klientów, na przykład wyciekły hasła lub dane kart, RODO wymaga zawiadomienia ich bez zbędnej zwłoki. W wiadomości opisz, co się stało, jakie dane mogły wyciec i co klient powinien zrobić. Ocenę ryzyka warto skonsultować z inspektorem ochrony danych lub prawnikiem.
Jak sprawdzić, którędy atakujący wszedł do sklepu?
Pomagają logi dostępu serwera, historia logowań w panelu sklepu i na hostingu, daty modyfikacji plików oraz lista zainstalowanych wtyczek i ich wersji. Najczęstsze przyczyny to nieaktualna wtyczka ze znaną luką, wykradzione hasło bez weryfikacji dwuetapowej i przejęta skrzynka pocztowa. Bez ustalenia przyczyny włamanie może się powtórzyć.
Jeśli Twój sklep właśnie padł ofiarą ataku albo chcesz przygotować plan działania, zanim do tego dojdzie,
Łukasz Palej
Technical Implementation Expert
Wsparcie IT dla firm i sklepów
Łukasz i nasz zespół pomogą Ci wdrożyć to na Twoim koncie - bez zobowiązań.
- Analiza Twojego konta i obecnych działań
- Konkretny plan poprawek do wdrożenia
- Bezpłatna konsultacja – bez zobowiązań
Przeczytaj także
Więcej porad z naszej bazy wiedzy - przesuń, aby zobaczyć kolejne artykuły.
Wybierz dogodny termin w kalendarzu - bez wymiany maili w tę i z powrotem.