Hakirana web stranica: znakovi, hitni koraci i zaštita

Kako prepoznati da je web stranica hakirana?

Jedan simptom nije uvijek dokaz napada: spor server može biti preopterećen, a pogrešno preusmjeravanje može nastati nakon nadogradnje. Sumnja postaje ozbiljna kada se pojavi više znakova ili promjena koju nitko ovlašten nije napravio.

Najčešći znakovi su:

• preglednik prikazuje upozorenje da je stranica opasna ili obmanjujuća
• Google rezultati sadrže nepoznate farmaceutske, casino ili strane pojmove
• posjetitelji završavaju na drugoj domeni
• u CMS-u postoje novi administratori ili promijenjene ovlasti
• datoteke imaju neočekivan datum izmjene ili nepoznat kod
• hosting javlja neuobičajeno opterećenje, slanje pošte ili prekoračenje resursa
• kontaktni obrazac šalje spam ili poslovna e-pošta završava na blok-listama
• sigurnosni dodatak, antivirus ili Search Console prijavljuju malware
• stranica se razlikuje ovisno o uređaju, lokaciji ili načinu dolaska.

Napadači ponekad prikazuju neželjeni sadržaj samo tražilici ili korisniku koji dolazi iz rezultata pretraživanja. Google je opisao slučajeve skrivenog ubrizgavanja poveznica i sadržaja, pa čista početna stranica u vašem pregledniku nije dovoljna za zaključak da je sve u redu.

Prvih 30 minuta: zaustavite promjene i sačuvajte tragove

Ako postoji rizik za posjetitelje, plaćanja ili podatke, ograničite javni pristup na kontroliran način. To može biti privremena stranica održavanja, zaštita na razini hostinga ili izolacija kompromitiranog računa. Nemojte samo ugasiti cijeli reseller ili server ako incident možda zahvaća jednu instalaciju; najprije utvrdite granice kako ne biste srušili nepovezane stranice.

Prije čišćenja napravite kopiju trenutačnog stanja datoteka, baze, logova i konfiguracije. Takva kopija nije siguran backup za povrat, nego dokaz i materijal za analizu. Zabilježite kada je problem otkriven, tko je imao pristup, što je promijenjeno i koje su domene, računi ili korisnici možda pogođeni.

NIST-ove aktualne preporuke za odgovor na incidente SP 800-61 Rev. 3, objavljene u travnju 2025., povezuju otkrivanje, odgovor i oporavak s prethodnom pripremom i upravljanjem rizikom. U praksi to znači da izolacija bez dokumentiranja ili obnova bez uklanjanja uzroka nije potpuni odgovor.

Odmah kontaktirajte hosting podršku ako nemate administratorski pristup serveru, ako je račun suspendiran ili ako sumnjate da je kompromitacija izvan jedne web stranice. Dajte im domenu, vrijeme prvog simptoma, primjere URL-ova i sve primljene sigurnosne poruke, ali ne šaljite lozinke u nezaštićenom e-mailu.

Promijenite pristupe, ali s čistog uređaja

Ako je računalo s kojeg se upravljalo webom zaraženo, nova lozinka može odmah biti ukradena. Promjene zato radite s pouzdanog uređaja. Prvo osigurajte glavnu e-poštu jer se preko nje vraćaju ostali računi, a zatim registrar domene, hosting, kontrolnu ploču, SFTP ili SSH, CMS, bazu, CDN, analitiku i servise za slanje pošte.

Za svaki sustav postavite jedinstvenu dugu lozinku, uključite višefaktorsku autentifikaciju i odjavite postojeće sesije. Rotirajte API ključeve, salts, aplikacijske lozinke i tokene koji su mogli biti dostupni u konfiguracijskim datotekama. Uklonite nepoznate korisnike te smanjite ovlasti postojećih računa na minimum potreban za njihov posao.

Službeni WordPressov vodič za zaštitu naglašava da zaštita znači smanjenje rizika, a ne obećanje savršene sigurnosti. Preporučuje pouzdan hosting, ograničavanje pristupa, aktualan softver, sigurnosne kopije i plan oporavka. Također upozorava da zaštita servera ne pomaže ako računalo administratora ima keylogger ili drugi malware.

Utvrdite ulaznu točku i stvarni opseg

Čišćenje vidljivog zlonamjernog koda nije dovoljno ako ostane ranjivi dodatak, ukradena lozinka ili skriveni administratorski račun. Usporedite jezgru CMS-a s izvornim paketom, pregledajte nedavno promijenjene datoteke, cron zadatke, .htaccess, konfiguraciju web servera, bazu, upload direktorije i server logove.

Posebno tražite:

• zastarjele ili napuštene dodatke i teme
• nepoznate PHP ili JavaScript datoteke u upload mapama
• obfuscirani kod, sumnjive eval ili base64 obrasce u neočekivanom kontekstu
• nove administratore i promjene e-pošte
• zakazane zadatke koji vraćaju malware nakon čišćenja
• promijenjene DNS, mail ili payment postavke
• druge domene na istom računu s istim simptomima.

Zabilježite što ste pregledali i koje su promjene potvrđene. Ako je više domena na istom računu, provjerite svaku zasebno i tek tada procijenite granice incidenta. Površinsko uklanjanje jedne datoteke nije dokaz da je kompromitacija završila.

Čišćenje: obnova iz poznato dobre verzije

Najsigurniji put često je nova, čista instalacija sustava i vraćanje provjerenog sadržaja iz backupa nastalog prije kompromitacije. Nemojte slijepo vratiti cijeli stari backup ako ne znate kada je napad počeo. Malware može biti prisutan tjednima prije prvog vidljivog simptoma.

Za WordPress ponovno preuzmite jezgru, teme i dodatke iz pouzdanih izvora. Uklonite sve što se ne koristi, provjerite custom kod te oprezno vratite uploads i bazu. WordPress preporučuje preuzimanje službenih izdanja samo s WordPress.org i redovito ažuriranje jer stare verzije više ne dobivaju sve sigurnosne ispravke.

Nakon uklanjanja uzroka:

1. ažurirajte CMS, dodatke, teme, PHP i poslužiteljske komponente
2. postavite ispravne vlasnike i dozvole datoteka
3. promijenite sve tajne i pristupe
4. skenirajte datoteke i bazu iz više perspektiva
5. testirajte prijavu, forme, kupnju, e-poštu i mobilnu verziju
6. ponovno pregledajte logove nakon vraćanja
7. tek tada uklonite privremenu blokadu.

!Sigurnosna kopija, višefaktorska autentifikacija i kontrolna lista za oporavak web stranice

Pouzdan oporavak traži čistu sigurnosnu kopiju, rotaciju pristupa i provjeru nakon vraćanja.

Provjerite Google upozorenja i SEO štetu

U Search Consoleu otvorite izvješće Security Issues. Googleov aktualni vodič za sprječavanje i praćenje malwarea objašnjava da izvješće prikazuje otkrivene hakirane stranice i upute za rješavanje. Google preporučuje i povremenu provjeru operatorom site:, praćenje logova, ažuriranja, sigurne protokole poput SSH-a i SFTP-a te suradnju s hostingom.

Pretražite vlastitu domenu i potražite nepoznate naslove, URL-ove i jezike. Nakon potpunog čišćenja zatražite sigurnosnu provjeru ondje gdje je dostupna. Ne šaljite zahtjev dok i dalje postoji ranjivost ili skrivena kopija sadržaja jer ćete samo usporiti vraćanje povjerenja.

Uklonjene spam URL-ove vratite s ispravnim 404 ili 410 statusom; nemojte ih sve preusmjeravati na početnu stranicu. Provjerite sitemap, canonical oznake, robots pravila, Search Console korisnike i promjene vlasništva. Napadač može ostaviti pristup ili pokušati održati neželjene stranice indeksiranima i nakon površinskog čišćenja.

Je li došlo do povrede osobnih podataka?

Hakirana stranica i povreda osobnih podataka nisu automatski isto, ali incident može omogućiti neovlašten pristup imenima, e-pošti, narudžbama, zapisima obrazaca ili korisničkim računima. Utvrdite koje je podatke sustav obrađivao, postoji li dokaz pristupa ili iznošenja te koliki je rizik za osobe.

AZOP navodi da voditelj obrade u slučaju povrede osobnih podataka treba izvijestiti nadzorno tijelo bez nepotrebnog odgađanja i, ako je izvedivo, unutar 72 sata, osim kada nije vjerojatno da će povreda prouzročiti rizik za prava i slobode pojedinaca. Ako sve informacije još nisu poznate, početno izvješće ne treba odgađati, nego se podaci mogu naknadno dopuniti. AZOP također navodi da svaku povredu osobnih podataka treba dokumentirati, neovisno o tome postoji li obveza prijave.

Rok počinje sa saznanjem za povredu, pa procjenu nemojte odgađati do završetka tehničkog čišćenja. Ako je vjerojatan visok rizik, može postojati i obveza obavješćivanja pogođenih osoba. Za konkretnu odluku uključite osobu odgovornu za zaštitu podataka ili pravnog stručnjaka.

Kako spriječiti ponavljanje incidenta?

Sigurnost nije jedan dodatak. Potreban je slojeviti sustav: najmanje ovlasti, MFA, automatske nadogradnje gdje su sigurne, nadzor promjena, odvojene sigurnosne kopije i plan oporavka.

Mozilline smjernice za web sigurnost preporučuju HTTPS za sve resurse i Content Security Policy. CSP omogućuje preciznu kontrolu izvora iz kojih se smiju učitavati skripte i drugi resursi te može znatno smanjiti rizik od XSS-a. Na postojećoj stranici politiku prvo treba testirati u report-only načinu kako ne bi blokirala legitimne funkcije.

Redoviti sigurnosni pregledi i web application firewall mogu smanjiti dio rizika. Cloudflareov pregled malwarea i zaštitnih slojeva navodi skeniranje web-stranice i WAF kao korisne kontrole koje mogu zaustaviti dio zlonamjernog prometa prije origin servera. Ipak, firewall ne popravlja ranjivi dodatak, ukradenu administratorsku lozinku ili kompromitirano računalo. On je dodatni sloj, ne zamjena za održavanje.

Minimalni plan zaštite uključuje:

• dnevni ili učestali backup baze i datoteka na odvojenu lokaciju
• redovito testiranje povrata, ne samo provjeru da arhiva postoji
• brze sigurnosne nadogradnje CMS-a, dodataka i servera
• MFA i upravitelj lozinki za sve privilegirane račune
• uklanjanje neaktivnih dodataka, tema i korisnika
• nadzor promjena datoteka, logova, uptimea i Search Console poruka
• dokumentiran kontakt hostinga i plan za privremenu izolaciju
• povremeni pregled ovlasti, DNS-a, e-pošte i vanjskih integracija.

Ovo je šire od mjesečnog ažuriranja sadržaja: riječ je o spremnosti za incident i dokazivom povratu u čisto stanje. Ako nemate interni tim, Voxernovo održavanje web stranica može obuhvatiti nadogradnje, backup i tehničke provjere, dok je za aktivnu kompromitaciju potrebna ciljana sigurnosna sanacija i uklanjanje malwarea.

Što ne treba raditi

Nemojte instalirati nekoliko sigurnosnih dodataka naslijepo, vraćati prvi dostupni backup ili mijenjati datoteke bez kopije stanja. Ne proglašavajte problem riješenim samo zato što početna stranica izgleda normalno. Ne ostavljajte stare lozinke, aktivne sesije i isti ranjivi dodatak. I ne skrivajte moguću povredu podataka od osoba koje moraju sudjelovati u procjeni.

Brzina je važna, ali kontrolirani postupak važniji je od improvizacije. Ispravna sanacija završava tek kada znate što se dogodilo, što je bilo pogođeno, kako je pristup uklonjen i koje su kontrole uvedene da se incident ne ponovi.

Ako sumnjate da je vaša stranica kompromitirana, zabilježite simptome i kontaktirajte Voxern tim prije nasumičnih promjena. Što su tragovi potpuniji, to je lakše odvojiti kvar od napada i vratiti stranicu bez ponovnog unošenja problema.

Provjereni izvori

• NIST SP 800-61 Rev. 3: Incident Response Recommendations
• Google Search Central: Preventing malware infection
• WordPress Developer Resources: Hardening WordPress
• Mozilla Web Security Guidelines
• Cloudflare: What is malware?
• AZOP: Izvješćivanje o povredi osobnih podataka

Izvori i vanjske poveznice ponovno su provjereni 20. rujna 2026. Preporuke smanjuju rizik, ali ne mogu jamčiti potpunu sigurnost niti zamjenjuju forenzičku ili pravnu procjenu konkretnog incidenta.