Nieoczekiwany odnośnik do serwisu o zupełnie innej tematyce może być pierwszą widoczną oznaką ingerencji w stronę firmową. Czasem pojawia się w artykule, stopce lub opisie usługi, a czasem pozostaje ukryty w kodzie i jest wyświetlany tylko wybranym użytkownikom. Samo skasowanie linku nie rozwiązuje problemu: ważne jest ustalenie, kiedy i w jaki sposób został dodany oraz czy ktoś uzyskał dostęp do innych elementów witryny.
Najpierw zabezpiecz dowody i oceń skalę problemu
Zanim zmienisz treść strony, zanotuj adres podstrony, na której znaleziono odnośnik, datę i godzinę obserwacji oraz sposób, w jaki został wykryty. Zrób zrzut ekranu i, jeśli to możliwe, zachowaj kopię kodu źródłowego lub eksport treści z systemu zarządzania. Takie materiały ułatwiają porównanie stanu przed i po zmianach, a także mogą pomóc administratorowi hostingu lub specjaliście ds. bezpieczeństwa.
Sprawdź, czy link widnieje w publicznej wersji strony, czy tylko w panelu administracyjnym. Otwórz witrynę w kilku przeglądarkach i na urządzeniu mobilnym. Niekiedy złośliwy kod pokazuje zmienioną treść wyłącznie robotom wyszukiwarek albo osobom odwiedzającym stronę po raz pierwszy. Warto też przejrzeć sąsiednie akapity, menu, stopkę i inne podstrony, bo pojedynczy widoczny odnośnik może być częścią szerszej modyfikacji.
Jak ustalić, kiedy pojawił się obcy link
Najbardziej użytecznym źródłem bywa historia zmian w CMS-ie. W WordPressie można sprawdzić rewizje wpisu lub strony, daty aktualizacji oraz konta, które wprowadzały zmiany. Inne systemy zarządzania treścią oferują podobne rejestry, choć zakres zapisywanych informacji zależy od konfiguracji. Porównaj podejrzaną wersję z wcześniejszą: szukaj nie tylko adresu odnośnika, lecz także nowych skryptów, nieznanych bloków HTML czy zmian w szablonie.
Jeżeli w treści witryny usługowej pojawia się niepowiązany tematycznie odnośnik kasyno z minimalnym depozytem, potraktuj go jako wskazówkę do sprawdzenia historii edycji, a nie wyłącznie jako błąd redakcyjny. Gdy system nie przechowuje rewizji, poproś hosting o kopie zapasowe i logi serwera. Mogą one wskazać, kiedy zmieniono pliki lub zalogowano się do panelu. Pamiętaj jednak, że logi nie zawsze pozwalają jednoznacznie ustalić, kto dokonał działania.
Sprawdź konta, wtyczki i pliki witryny
Przejrzyj listę użytkowników CMS-a, ich role oraz daty ostatniego logowania. Usuń nieznane konta dopiero po zapisaniu informacji potrzebnych do analizy, a wszystkim uprawnionym osobom zleć zmianę haseł. Włącz uwierzytelnianie wieloskładnikowe i upewnij się, że hasła do panelu, hostingu, poczty oraz bazy danych nie są takie same.
Aktualizacje CMS-a, motywu i rozszerzeń ograniczają ryzyko wykorzystania znanych luk, ale przed ich wykonaniem utwórz kopię zapasową. Wyłącz lub usuń nieużywane dodatki. Przy porównywaniu plików z czystą wersją systemu zwróć uwagę na niedawno zmienione skrypty oraz pliki umieszczone w nietypowych katalogach. Jeśli brak doświadczenia utrudnia bezpieczną analizę, zleć ją administratorowi lub specjaliście, zamiast usuwać przypadkowe elementy.
Przywrócenie strony i zapobieganie kolejnym incydentom
Po ustaleniu źródła problemu usuń zmodyfikowaną treść lub przywróć sprawdzoną kopię zapasową. Kopia powinna pochodzić sprzed incydentu i zostać sprawdzona pod kątem podobnych zmian. Następnie skontroluj przekierowania, pliki konfiguracyjne, konta FTP i dostęp do hostingu. Gdy nie da się potwierdzić, że witryna jest czysta, samo usunięcie jednego linku może pozostawić mechanizm, który ponownie wprowadzi go na stronę.
Na przyszłość zaplanuj regularne kopie przechowywane poza serwerem, aktualizacje oraz powiadomienia o zmianach w ważnych plikach i treściach. Ogranicz uprawnienia użytkowników do niezbędnego minimum i okresowo sprawdzaj historię edycji. Dzięki temu podejrzany odnośnik będzie łatwiej powiązać z konkretną zmianą, a reakcja na incydent nie ograniczy się do usuwania jego widocznych skutków.
