Ha idén valaha ideges kereséssel érkeztél a „feltörték a weboldalam, mit tegyek" kifejezésre, ez a cikk pontosan neked szól. A jó hír: a legtöbb feltörés nem a világ vége, és a legtöbb kár rendesen helyreállítható, ha a lépéseket helyes sorrendben teszed meg. A rossz hír: a kapkodás — amikor mindent egyszerre próbálsz megoldani, panikban — gyakran nagyobb kárt okoz, mint az eredeti incidens.

Az első órák: állítsd meg a vérzést, ne a teljes sebet gyógyítsd egyszerre

Az első és legfontosabb lépés az oldal elszigetelése — nem feltétlenül a teljes leállítása, hanem annak megakadályozása, hogy a probléma tovább terjedjen vagy tovább kárt tegyen. Ha az oldalad rosszindulatú kódot szolgál ki a látogatóidnak, vagy spam-tartalmat küld ki a nevedben, az elsődleges cél az, hogy ezt azonnal megállítsd — akár ideiglenesen karbantartási módba téve az oldalt, akár egy korábbi, tiszta mentésből visszaállítva egy ideiglenes verziót.

Ezzel egy időben változtasd meg minden hozzáférési adatot, amivel az oldalhoz kapcsolódsz — admin jelszó, tárhely-hozzáférés, adatbázis, és ha bármilyen API-kulcs vagy integrációs titok is érintett lehet, azokat is. Ne csak azt a felhasználót érintsd, amelyiket gyanúsnak találod — egy sikeres behatolás után nem tudod biztosan, mihez fértek hozzá, ezért a biztonságos alapállás az, hogy mindent úgy kezelsz, mintha kompromittálódott volna.

A vizsgálat: mit érdemes megérteni, mielőtt helyreállítasz

A sietség legnagyobb csapdája az, hogy valaki azonnal visszaállít egy régi mentést, és azt gondolja, ezzel megoldódott a probléma — miközben nem derítette ki, hogyan jutottak be. Ha a belépési pont (egy elavult bővítmény, egy gyenge jelszó, egy sérülékeny komponens) nincs beazonosítva és befoltozva, a visszaállított, „tiszta" oldal ugyanazon a résen néhány nap múlva újra megfertőződhet — és ez a fajta ismétlődő incidens sokkal rombolóbb a bizalmadra és a keresőoldali pozíciódra, mint egy egyszeri eset.

A vizsgálat során érdemes megnézni a szerver naplóit — mikor jelentek meg az első gyanús bejegyzések, milyen IP-címekről, milyen fájlok módosultak vagy jöttek létre ismeretlenül. Ha ez technikailag túl mély vízbe visz, ez az a pont, ahol egy külső szakember bevonása gyorsabb és biztonságosabb, mint a saját próbálkozás — különösen, ha ügyféladat is érintett lehetett, mert onnantól jogi kötelezettségek is felmerülhetnek.

A bejelentés és a tanulság — amit sokan kihagynak

Ha a támadás során személyes adat érintett lehetett — ügyféllista, jelszavak, fizetési adatok —, a GDPR bizonyos esetekben kötelező bejelentést ír elő a hatóság felé, meghatározott időn belül. Ezt sokan elfelejtik vagy szándékosan elkerülik, félve a következményektől — pedig a be nem jelentett incidens, ha később mégis kiderül, súlyosabb következményekkel jár, mint egy időben, jóhiszeműen megtett bejelentés. Ha nem vagy biztos benne, érintett-e személyes adat, a biztonságos megközelítés az, hogy ezt jogi vagy adatvédelmi szakértővel tisztázod, ne magad döntsd el.

A legfontosabb, amit egy incidens után tenni kell — és amit majdnem mindenki kihagy —, az utólagos elemzés: mi történt pontosan, miért nem vettük észre korábban, és mit kell megváltoztatni, hogy legközelebb gyorsabban derüljön ki, vagy egyáltalán ne történhessen meg. Ha volt monitorozás, de nem jelzett időben, ezt kell javítani. Ha nem volt megbízható mentés, vagy a visszaállítás tovább tartott, mint elfogadható, ezt kell megoldani. Egy incidens, amiből semmit nem tanulsz, előbb-utóbb megismétlődik — csak legközelebb talán nagyobb kárral.

A feltört weboldal nem szégyen — az az, ha ugyanaz a hiba másodszor is bekövetkezik, mert az elsőből senki nem tanult.

Végül, ha az oldalad ügyfelekkel is kommunikál — hírlevél, bejelentkezés, rendelés —, érdemes mérlegelni egy őszinte, rövid tájékoztatást is feléjük, különösen, ha bármi esély van arra, hogy az ő adataik is érintettek voltak. Ez elsőre ijesztő lépésnek tűnik, de a gyakorlat azt mutatja: az ügyfelek sokkal jobban tolerálják egy őszinte, gyorsan kezelt incidenst, mint azt, ha utólag, más forrásból tudják meg, hogy valami történt, és te hallgattál róla.

Ha most éppen egy incidenssel küzdesz, vagy szeretnéd megelőzni, hogy egyáltalán idáig jusson, írj nekünk sürgősen — segítünk a helyreállításban és a megelőzésben is.