Awaria WordPressa rzadko zaczyna się od komunikatu „strona została zhakowana”. Częściej firma widzi przekierowania do kasyna, nowe konta administratorów, spam wysyłany z serwera albo ostrzeżenie w Google Search Console. Wtedy nie kupuje się zwykłej opieki technicznej, tylko przywrócenie działania pod presją czasu. Dlatego usuwanie malware jest niszową usługą, za którą klient biznesowy potrafi zapłacić więcej niż za rutynową aktualizację strony.
Za co firma naprawdę płaci podczas awarii WordPressa
Najtańsza wersja usługi to skan plików i skasowanie tego, co wykryje wtyczka bezpieczeństwa. To często usuwa objaw, nie przyczynę. Infekcja może siedzieć jednocześnie w wp-content, bazie danych, WP-Cron, .htaccess, plikach motywu i na koncie FTP. Jeśli zostanie choć jeden backdoor, strona może zostać zainfekowana ponownie po kilku godzinach lub dniach.
Na polskim rynku w 2026 r. proste czyszczenie małej strony kosztuje zwykle około 500–1000 zł netto. Przy WooCommerce, zainfekowanej bazie albo kilku stronach na jednym hostingu realny budżet to 1000–3000 zł netto. Pilny tryb nocny lub weekendowy bywa droższy, bo klient płaci także za natychmiastową dostępność specjalisty.
Dobra usługa awaryjna powinna obejmować:
- kopię plików i bazy przed ingerencją;
- kontrolę rdzenia WordPressa, wtyczek, motywów, kont i logów;
- usunięcie backdoorów, spamu, przekierowań i podejrzanych zadań CRON;
- zmianę haseł i kluczy SALT tam, gdzie mogły wyciec;
- aktualizację podatnych komponentów oraz test po czyszczeniu.
Najgorszy scenariusz to witryna „wyczyszczona” wcześniej za kilkaset złotych, w której nikt nie sprawdził drogi wejścia. Klient płaci drugi raz. Sama instalacja Wordfence czy Sucuri Security też nie wystarczy, jeżeli napastnik ma dostęp do hostingu albo skradzione hasło administratora.
Procedura techniczna: najpierw izolacja, potem czyszczenie
Pierwszy ruch nie powinien polegać na kasowaniu podejrzanych plików. Najpierw trzeba zrobić kopię do analizy i ograniczyć szkody. Jeśli sklep przekierowuje klientów na obce domeny, wysyła malware albo podmienia formularze płatności, rozsądne jest czasowe wyłączenie publicznego dostępu. Krótka przerwa w sprzedaży bywa tańsza niż dalsze infekowanie użytkowników.
Potem ustala się zakres incydentu: daty modyfikacji plików, nietypowe PHP w uploads, nowych użytkowników, zmiany w wp_options, reguły przekierowań, zadania CRON i logi dostępu. W WooCommerce dochodzi kontrola kont klientów, integracji płatniczych i wtyczek mających dostęp do danych zamówień.
Backup pomaga tylko wtedy, gdy wiadomo, z jakiego dnia pochodzi czysta wersja. Przywrócenie kopii sprzed dwóch dni nie pomoże, jeśli włamanie zaczęło się trzy tygodnie wcześniej. Starsza kopia może też zawierać tę samą podatną wtyczkę, więc bez zamknięcia luki problem wróci.
Po oczyszczeniu trzeba zmienić hasła, usunąć zbędne konta, zaktualizować rdzeń, motywy i wtyczki, a porzucone rozszerzenia zastąpić. Dopiero później ma sens 2FA, ograniczenie logowania, blokada edycji plików z panelu i monitoring zmian. Odwrotna kolejność to błąd — nie utwardza się systemu, w którym nadal działa backdoor.
Kiedy problem techniczny staje się problemem biznesowym i prawnym
Zainfekowana strona może tracić sprzedaż, reputację i widoczność w Google. Jeśli domena dostała ostrzeżenie o niebezpiecznej zawartości, po czyszczeniu trzeba zgłosić ją do ponownej weryfikacji. Gdy infekcja rozsyłała spam, trzeba też sprawdzić reputację IP i konfigurację poczty.
Najważniejsza granica dotyczy danych osobowych. Samo wykrycie malware nie oznacza automatycznie zgłoszenia incydentu do Prezesa UODO. Trzeba ustalić, czy doszło do naruszenia poufności, integralności albo dostępności danych. Jeżeli naruszenie może powodować ryzyko dla praw lub wolności osób fizycznych, administrator ma co do zasady do 72 godzin od jego stwierdzenia na zgłoszenie organowi nadzorczemu. Przy sklepie, formularzu leadowym czy panelu klienta nie wystarczy więc pytanie „czy strona już działa”.
Przed zleceniem pracy trzeba ustalić zakres odpowiedzialności: czy cena obejmuje tylko czyszczenie, czy także diagnozę drogi wejścia, zabezpieczenie po incydencie, kontakt z hostingiem i weryfikację w Google. Gwarancja „wirus nie wróci” bez warunków jest marketingiem, bo wykonawca nie kontroluje późniejszych haseł, nowych podatności ani bezpieczeństwa komputerów pracowników.
FAQ
Czy da się wyczyścić WordPressa bez wyłączania strony?
Tak, przy lekkiej infekcji i braku aktywnych przekierowań. Jeśli strona infekuje użytkowników albo podmienia płatności, priorytetem jest izolacja, nie ciągłość sprzedaży.
Ile trwa usuwanie malware?
Prosty przypadek może zająć 2–6 godzin, ale rozległa infekcja sklepu lub kilku witryn często wymaga 1–3 dni roboczych wraz z testami.
Czy wystarczy przywrócić backup?
Nie, jeśli nie znasz momentu włamania. Kopia może zawierać malware albo tę samą podatność, która umożliwiła atak.
Co sprawdzić jako pierwsze?
Najpierw wykonaj kopię plików i bazy, sprawdź logi oraz konta administratorów i ustal, czy witryna nadal szkodzi użytkownikom. Jeśli tak, odetnij publiczny dostęp przed czyszczeniem. To pierwszy błąd do usunięcia.
Więcej informacji na: https://hd-biznes.com/blog