Webbplats hackad? Känn igen tecken och agera rätt

En hackad webbplats känner man ofta igen på nya eller ändrade filer, okända användarkonton, omdirigeringar till främmande sidor eller spam-sidor i Googles sökresultat. Den som misstänker en attack bör agera i denna ordning: säkra spår, ta webbplatsen offline, ändra åtkomster, hitta och täta orsaken, återställa rent. Om personuppgifter berörs måste dataskyddsmyndigheten som regel informeras inom 72 timmar.

Efter kritiska sårbarheter som PHP2Shell försöker angripare i stor skala och automatiserat ta över opatchade servrar. Ofta lägger de då en så kallad Webshell från: en liten fil som de senare kan fjärrstyra servern via – även efter en uppdatering.

Tecken på en attack

• Nya eller nyligen ändrade PHP-filer som ingen har skapat, särskilt i uppladdnings- eller cachemappar.
• Okända administratörer eller användare i CMS:et.
• Omdirigeringar till reklam-, casino- eller läkemedelssidor, ofta bara för besökare från Google eller mobila enheter.
• Främmande sidor i Googles resultat under er domän (sökning „site:ihre-domain.de“).
• Varningar från Google, er hostingleverantör eller er webbläsare.
• Ofta förekommande felmeddelanden eller krascher, plötsligt hög serverbelastning.
• På servern: shells, nedladdningsverktyg som curl eller wget eller andra processer som startats av webbservern.

BSI nämner för PHP2Shell just sådana allmänna indikatorer: misstänkta processer från webbservern, nya eller ändrade PHP-filer och möjliga webbshells samt avvikande uppladdningsförfrågningar i loggarna, följt av minnesfel eller upprepade fel med kod 500.

Vad ni omedelbart bör göra

1. Behåll lugnet och dokumentera: Vad har uppmärksammats, när och av vem?
2. Säkra spår: Spara loggfiler och en kopia av filerna innan något raderas. De behövs för att hitta orsaken.
3. Ta webbplatsen offline eller sätt den i underhållsläge så att ingen ytterligare skada uppstår.
4. Ändra alla åtkomster: CMS-administratörer, hosting, FTP/SFTP, databas, e-post. Helst från en ren enhet.
5. Hitta och åtgärda orsaken: föråldrad PHP, plugin eller tema? Utan det kommer angriparen tillbaka.
6. Återställ rent: från en backup från före angreppet, och installera sedan alla uppdateringar. Att bara ta bort skadlig kod räcker sällan.
7. Observera: Under veckorna därefter ska loggar och filer hållas under uppsikt.

Anmälningsplikt enligt GDPR

Om angripare kan ha fått tillgång till personuppgifter – till exempel kunduppgifter i butiken, kontaktformulär eller ansökningar – kan det röra sig om en personuppgiftsincident. Enligt Art. 33 DSGVO ska den utan onödigt dröjsmål och så långt möjligt inom 72 timmar anmälas till den behöriga tillsynsmyndigheten, såvida den sannolikt inte leder till en risk för de registrerade. Involvera ditt dataskyddsombud tidigt. Denna artikel ersätter inte juridisk rådgivning.

Förebyggande är billigare

De flesta angrepp mot webbplatser för små och medelstora företag utnyttjar kända sårbarheter i föråldrad programvara. Regelbundna uppdateringar, separata säkerhetskopior och få, väl skyddade åtkomster förhindrar majoriteten av incidenterna. De viktigaste åtgärderna finns i Webbsäkerhet för små och medelstora företag: 10 åtgärder.

Osäker på om din webbplats, din webbutik eller dina enheter är drabbade? Kontakta oss. Vi granskar era system, installerar uppdateringar och säger ärligt vad som behöver göras – även om det visar sig att allt är i ordning. Till att börja med räcker det med ett kort samtal.

Vanliga frågor

Hur känner jag igen att min webbplats har blivit hackad?

Genom okända filer eller användare, omdirigeringar till andra sidor, spam-sidor i Googles sökresultat, varningar från Google eller webbhotellet samt ovanliga processer på servern.

Räcker det att ta bort den skadliga koden?

Sällan. Angripare lämnar ofta flera bakdörrar. Säkrare är att återställa från en ren säkerhetskopia, stänga orsaken och byta alla åtkomster.

Måste jag anmäla en hackerattack?

Om personuppgifter kan ha påverkats, i regel ja: till den behöriga dataskyddsmyndigheten, utan dröjsmål och så långt möjligt inom 72 timmar efter att det blivit känt (art. 33 GDPR). Vid brott kan dessutom en polisanmälan vara lämplig.

Status: oktober 2026. Ingen juridisk rådgivning. Källa indikatorer: BSI:s säkerhetsmeddelande om PHP2Shell.