Krótka odpowiedź: najpierw zamknij drzwi, potem sprzątaj. W pierwszej godzinie liczą się trzy rzeczy: zrobić pełną kopię stanu „po włamaniu" (to jednocześnie dowód i punkt wyjścia), zmienić hasła i wylogować wszystkie sesje, a dopiero potem czyścić. Samo przywrócenie kopii sprzed tygodnia nic nie daje - jeśli dziura dalej jest otwarta, strona zostanie przejęta ponownie, zwykle w ciągu doby.
Po czym poznasz, że to włamanie
- strona przekierowuje na obcy adres, czasem tylko na telefonie albo tylko z wyników Google,
- w wynikach wyszukiwania pojawiają się obce podstrony (leki, kasyna, chińskie znaki) - sprawdzisz to wpisując w Google
site:twojadomena.pl, - przeglądarka pokazuje czerwony ekran ostrzeżenia, a w Search Console jest sekcja „Problemy z bezpieczeństwem",
- z Twojej domeny wychodzi spam i poczta zaczyna wpadać innym do kosza,
- w panelu jest nowe konto administratora, którego nie zakładałeś,
- hosting zablokował konto albo przysłał informację o szkodliwych plikach,
- strona nagle zwolniła bez powodu (ktoś używa Twojego serwera do swoich zadań).
Jeden objaw wystarczy, żeby potraktować sprawę poważnie. Kilka naraz to pewność.
Pierwsza godzina - krok po kroku
- Nie kasuj niczego w panice. Skasowany plik to skasowany ślad; bez niego nie da się ustalić, którędy ktoś wszedł - a to jest jedyna informacja, która chroni Cię przed powtórką.
- Zrób pełną kopię: pliki + baza. Tak jak jest teraz, razem z infekcją. To Twój materiał dowodowy i bezpiecznik przed nieudanym sprzątaniem.
- Zmień hasła w tej kolejności: panel hostingu → FTP/SFTP → baza danych → wszystkie konta administratora strony. Samo hasło do panelu strony to za mało, jeśli intruz ma dostęp do plików.
- Wyloguj wszystkie sesje i sprawdź listę kont administratora. Konta, których nie zakładałeś - usuń. Zapisz najpierw ich nazwy i daty utworzenia.
- Jeśli strona serwuje złośliwy kod - włącz tryb serwisowy albo tymczasowo ją wyłącz. Godzina niedostępności jest tańsza niż tydzień na czarnej liście Google.
- Zaktualizuj rdzeń i wtyczki, zwłaszcza po lukach z 2026 roku. Rozpisałem je w osobnym wpisie: w lipcu dwie luki w samym WordPressie dały zdalne wykonanie kodu bez logowania na czystej instalacji.
- Powiadom hosting. Dobry dostawca ma logi dostępu, z których widać wejście - i często potrafi wskazać godzinę oraz podatny plik.
Jeśli na którymś kroku czujesz, że to nie Twoja bajka - napisz do mnie i nic więcej nie ruszaj. Najgorsze sprzątanie to takie, które zaczęło się od skasowania połowy plików.
Czego nie robić
- Nie przywracaj kopii i nie uznawaj sprawy za zamkniętą. Kopia cofa skutek, nie przyczynę. Jeśli weszli dziurawą wtyczką, w tej kopii ta wtyczka też jest.
- Nie zmieniaj samego hasła do WordPressa. Gdy intruz ma pliki albo bazę, wraca po pięciu minutach.
- Nie ignoruj poczty. Ta sama para login-hasło bywa użyta do skrzynki. Sprawdź reguły przekazywania wiadomości - podrzucone przekierowanie to klasyk, który potrafi zostać na miesiące.
- Nie kasuj konta hostingu ani strony, żeby „zacząć od zera", zanim zrobisz kopię. Razem z infekcją wyrzucisz treść i pozycje w wyszukiwarce.
- Nie zostawiaj tego na weekend. Google potrafi oznaczyć witrynę jako niebezpieczną w kilka godzin, a zdjęcie tej flagi trwa dłużej niż jej nadanie.
Skąd zwykle biorą się takie włamania
W praktyce prawie zawsze jedna z czterech dróg:
- nieaktualna wtyczka lub motyw - w 2025 roku 91 procent wszystkich podatności ekosystemu WordPressa dotyczyło właśnie wtyczek, a mediana czasu od ujawnienia luki do pierwszego ataku wynosi pięć godzin,
- słabe albo powtórzone hasło administratora,
- nieaktualny rdzeń systemu,
- sąsiad na tym samym serwerze - na tanich hostingach współdzielonych infekcja potrafi przejść z jednego konta na drugie.
Żadna z nich nie wymaga, żeby ktoś się Tobą specjalnie interesował. Boty skanują cały internet i biorą to, co jest otwarte.
Jak wygląda sprzątanie u mnie
- Diagnoza - co dokładnie jest zainfekowane i którędy weszli (logi, daty modyfikacji plików, konta).
- Zamknięcie drogi wejścia - to jest właściwa naprawa; reszta to kosmetyka.
- Czyszczenie - usunięcie wstrzykniętego kodu, obcych kont, zadań cyklicznych i przekierowań.
- Odbudowa zaufania - zgłoszenie do ponownego sprawdzenia w Search Console, weryfikacja poczty i reputacji domeny.
- Zabezpieczenie - aktualizacje, dwuskładnikowe logowanie, kopie poza serwerem, mniej wtyczek.
Wycena jest indywidualna, bo zakres infekcji bywa różny, ale diagnoza jest bezpłatna i po niej wiesz, na czym stoisz. Jeśli sprzątanie nie ma sensu (bywa tak przy stronach porzuconych na lata), powiem to wprost i policzę alternatywę.
Jak nie wrócić do tego punktu
Aktualizacje w rytmie tygodniowym, nie rocznym. Mniej wtyczek. Kopie, które leżą gdzie indziej i które ktoś kiedyś przetestował. Dwuskładnikowe logowanie. I świadomość, że strona firmowa to nie mebel, tylko urządzenie podłączone do prądu - wymaga przeglądów.
Jeśli nie chcesz o tym pamiętać, oddaj to komuś, kto pamięta zawodowo. A jeśli myślisz o zmianie technologii, tak żeby nie było czego aktualizować - tak właśnie działa strona NEO: bez warstwy wtyczek, z poprawkami wprowadzanymi raz dla wszystkich klientów naraz.
Najczęstsze pytania
Czy da się odzyskać stronę bez kopii zapasowej? Zwykle tak - infekcja rzadko kasuje treść, częściej dokłada swój kod. Trudniej i dłużej, ale się da.
Ile trwa sprzątanie? Prosta infekcja: kilka godzin. Strona z kilkoma tysiącami plików i starym motywem: dzień lub dwa, bo trzeba przejrzeć wszystko.
Czy odzyskam pozycje w Google? Zwykle tak, jeśli zareagujesz szybko. Im dłużej strona serwuje obce treści, tym więcej trzeba potem odrabiać.
Czy hosting nie powinien tego pilnować? Hosting pilnuje serwera, nie Twoich wtyczek. Zapora może odbić część ataków, ale luki w kodzie, który sam zainstalowałeś, są po Twojej stronie.