1. Nie kasuj plików na oślep
Pierwszy odruch to wejść przez FTP i usuwać wszystko, co wygląda podejrzanie. Nie rób tego. Zacierasz w ten sposób ślady, po których da się ustalić, którędy ktoś wszedł. A jak luka zostanie otwarta, infekcja wróci, często jeszcze tego samego dnia.
2. Zrób kopię tego, co jest
- Pobierz wszystkie pliki z serwera do osobnego folderu na dysku.
- Zrób zrzut bazy MySQL, np. przez phpMyAdmin.
- Pobierz logi serwera (access log i error log). Hostingi często trzymają je tylko kilka dni.
3. Ogranicz szkody dla odwiedzających
Włącz stronę „prace serwisowe” na poziomie serwera, np. prostą regułą w pliku .htaccess. Wtyczka do trybu konserwacji tu nie wystarczy, bo złośliwy kod siedzący w plikach WordPressa potrafi ją po prostu ominąć.
4. Zmień hasła, w tej kolejności
- Panel klienta hostingu i główna skrzynka e-mail powiązana z domeną.
- Konta FTP i SFTP oraz klucze SSH.
- Hasło użytkownika bazy danych (od razu popraw je też w
wp-config.php). - Hasła wszystkich administratorów WordPressa. Przy okazji sprawdź, czy na liście nie ma kont, których nie znasz, np. wp_admin_backup.
5. Zajrzyj do Google Search Console
W sekcji Bezpieczeństwo i ręczne działania zobaczysz przykładowe zainfekowane adresy, które znalazł Google. Gdy strona będzie już czysta, stamtąd wyślesz prośbę o zdjęcie ostrzeżenia.