Odwirusowywanie PrestaShop nie powinno sprowadzać się do uruchomienia skanera i skasowania kilku plików oznaczonych jako podejrzane. W przypadku sklepu internetowego trzeba jednocześnie zadbać o bezpieczeństwo danych, ciągłość przyjmowania zamówień oraz prawidłowe działanie płatności, dostaw i panelu administracyjnego. Konieczne jest też ustalenie, w jaki sposób doszło do włamania i czy napastnik nie pozostawił dodatkowych mechanizmów dostępu.
Ocena takiej usługi bywa trudna, ponieważ właściciel sklepu zazwyczaj widzi jedynie zewnętrzne objawy. Może to być przekierowanie, ostrzeżenie przeglądarki albo zmieniona strona płatności. Nie wie jednak, ile elementów zostało naruszonych i czy usunięcie widocznego problemu rzeczywiście zamknęło incydent. Dlatego jeszcze przed zleceniem prac warto ustalić zakres diagnostyki, sposób ochrony bieżących danych i kryteria odbioru naprawy.
Kiedy zlecić odwirusowywanie PrestaShop?
Powodem do kontroli powinno być każde nietypowe zachowanie sklepu, którego nie można wyjaśnić wprowadzoną zmianą. Typowe sygnały to przekierowania na obce domeny, dodatkowe treści w wynikach wyszukiwania, nieznane pliki i konta administratorów, samoczynne zmiany ustawień, ostrzeżenia hostingu, przeglądarki lub Google Search Console, a także nieprawidłowości pojawiające się podczas składania zamówienia.
Szczególnie poważnie należy traktować zmiany dotyczące płatności. Złośliwy skrypt może podmieniać przyciski, prezentować fałszywy formularz albo uruchamiać się wyłącznie na określonym etapie zakupów. Udokumentowane przypadki pokazują również, że infekcja może ukrywać swoje działanie przed zalogowanym administratorem. Samodzielne otwarcie sklepu w tej samej przeglądarce, w której działa panel, nie jest więc miarodajnym testem.
Przed rozpoczęciem prac warto przekazać wykonawcy:
- adres sklepu i przykładowe podstrony, na których występuje problem,
- zrzuty ekranu oraz treść otrzymanych ostrzeżeń,
- przybliżony moment zauważenia pierwszych objawów,
- wersję PrestaShop, informacje o motywie i używanych modułach,
- listę ostatnich aktualizacji, instalacji i zmian programistycznych,
- informacje o dostępnych logach serwera oraz kopiach zapasowych,
- opis nietypowych zdarzeń związanych z zamówieniami i płatnościami.
Adresy pokazane przez Google należy traktować jako przykłady, a nie pełny spis zainfekowanych miejsc. Rzetelna analiza nie może ograniczać się tylko do podstron wymienionych w raporcie bezpieczeństwa.
Co powinna obejmować oferta odwirusowywania?
Oferta powinna jasno odróżniać diagnostykę, czyszczenie i zabezpieczenie sklepu. Skanowanie plików jest przydatnym narzędziem, ale nie stanowi kompletnej usługi. Złośliwy kod może znajdować się w rdzeniu PrestaShop, module, motywie, plikach pamięci podręcznej, bazie danych albo konfiguracji środowiska. Kontrola wyłącznie plików PHP może zatem pozostawić część problemu bez rozpoznania.
Kompletny zakres powinien obejmować co najmniej:
- ustalenie skali incydentu i elementów wymagających analizy,
- kontrolę plików, bazy danych, modułów, motywu i kont użytkowników,
- usunięcie złośliwego kodu oraz mechanizmów utrzymujących dostęp,
- porównanie podejrzanych komponentów z czystymi kopiami, jeżeli są dostępne,
- analizę możliwej drogi włamania,
- naprawę lub wyłączenie wykorzystanej podatności,
- ponowną kontrolę po zakończeniu czyszczenia,
- testy techniczne i biznesowe działającego sklepu.
Wykonawca powinien rozdzielać potwierdzone ustalenia od hipotez. Jeżeli logi zostały usunięte, są niepełne albo obejmują zbyt krótki okres, nie zawsze da się jednoznacznie wskazać drogę włamania. Uczciwy raport opisuje takie ograniczenia, zamiast przedstawiać przypuszczenie jako pewną przyczynę.
Ważna jest również kolejność prac. Aktualizacja podatnego komponentu może zamknąć konkretną lukę, ale nie musi usunąć kodu pozostawionego wcześniej przez atakującego. Producent PrestaShop zwracał już uwagę, że samo zainstalowanie poprawki w przejętym sklepie nie jest równoznaczne z jego oczyszczeniem.
Jak chronić działający sklep i nowe zamówienia?
Przed modyfikacją środowiska specjalista powinien zabezpieczyć materiał do analizy. Potrzebna jest kopia plików i bazy danych wykonana przed czyszczeniem, przechowywana poza publicznie dostępnym katalogiem. Taka kopia może zawierać infekcję, dlatego nie należy uznawać jej automatycznie za bezpieczny punkt odtworzenia. Pozwala jednak zachować stan sklepu potrzebny do analizy zdarzeń.
Osobnym problemem są dane powstające już podczas naprawy. Jeżeli sklep nadal przyjmuje zamówienia, proste odtworzenie starszej bazy może usunąć nowsze transakcje, konta klientów, zmiany stanów magazynowych i statusy płatności. Przed rozpoczęciem prac trzeba zatem ustalić punkt odtworzenia oraz sposób zachowania zapisów powstałych później.
Nie zawsze da się obiecać naprawę bez przerwy w sprzedaży. Gdy istnieje podejrzenie aktywnego przechwytywania danych płatniczych, ograniczenie szkód jest ważniejsze niż utrzymanie checkoutu za wszelką cenę. Zlecenie powinno wskazywać, kto może podjąć decyzję o czasowym wyłączeniu płatności lub całego sklepu oraz kto zatwierdza ponowne uruchomienie sprzedaży.
Od czego zależą cena i czas realizacji?
Nie istnieje jedna uczciwa stawka za każde odwirusowywanie PrestaShop. Koszt zależy od rozmiaru sklepu, skali infekcji, wieku instalacji, liczby modułów, indywidualnych modyfikacji i jakości dostępnych kopii. Znaczenie ma również to, czy wykonawca otrzyma kompletne logi oraz czyste wersje zmodyfikowanych plików.
Więcej pracy może wymagać sklep korzystający ze starego motywu lub porzuconych modułów, ponieważ usunięcie podatności może spowodować problemy ze zgodnością. Wtedy zlecenie obejmuje nie tylko czyszczenie, lecz także aktualizacje, naprawy programistyczne i testy regresji. Czas zajmuje również samo kopiowanie dużej liczby plików oraz wykonywanie i weryfikowanie kopii bazy.
Czytelna wycena powinna osobno wskazywać diagnostykę, usunięcie infekcji, aktualizacje, naprawy zgodności, testy oraz ewentualny monitoring. Jeśli pełnego zakresu nie da się określić przed analizą, rozsądnym rozwiązaniem jest wycena etapowa z przedstawieniem ustaleń przed rozpoczęciem dodatkowych prac.
Jak sprawdzić skuteczność wykonanej usługi?
Brak widocznego przekierowania nie jest wystarczającym dowodem. Po naprawie klient powinien otrzymać raport opisujący znalezione zagrożenia, zmienione lub usunięte elementy, wykonane aktualizacje, wyniki kontroli oraz nierozwiązane ryzyka. Raport nie musi ujawniać każdej wewnętrznej procedury wykonawcy, ale powinien umożliwić ocenę, co faktycznie zostało zrobione.
Odbiór warto podzielić na dwa niezależne obszary. Pierwszym jest kontrola bezpieczeństwa, obejmująca ponowne sprawdzenie plików, bazy, kont i oznak pozostawionego dostępu. Drugim są testy działania sklepu. Należy przeprowadzić pełne zamówienie w czystej sesji klienta, najlepiej bez aktywnego logowania administratora, a następnie sprawdzić płatność, status transakcji, wiadomości e-mail, zmianę stanu magazynowego oraz widoczność zamówienia w panelu.
Trzeba także przetestować logowanie administratora, zarządzanie produktami i podstawowe operacje wykonywane przez obsługę. Jeżeli Google zgłosiło problem bezpieczeństwa, po usunięciu wszystkich wykrytych kategorii zagrożeń należy skorzystać z właściwej procedury weryfikacji. Samo wysłanie prośby o ponowne sprawdzenie nie zastępuje wcześniejszego oczyszczenia całego sklepu.
Co ogranicza ryzyko nawrotu infekcji?
Usunięcie jednego złośliwego skryptu nie dowodzi, że napastnik nie pozostawił innych furtek. Po czyszczeniu wykonawca powinien sprawdzić alternatywne mechanizmy dostępu, nieznane konta, zmodyfikowane zadania cykliczne, podejrzane moduły i pliki uruchamiane automatycznie.
Kolejny etap to aktualizacja lub usunięcie podatnych komponentów. Raport powinien wskazywać, które elementy zostały zaktualizowane, wyłączone albo pozostawione do późniejszej przebudowy. Sam zapis „zalecamy aktualizację” nie oznacza, że aktualizacja została wykonana.
Po incydencie należy również zmienić dane dostępowe do panelu PrestaShop, hostingu, FTP lub SFTP, SSH i bazy danych. Zmiana hasła bazy wymaga jednoczesnego poprawienia konfiguracji sklepu. Warto usunąć nieużywane konta, przypisać osobne konta pracownikom i wykonawcom oraz ograniczyć role administracyjne do rzeczywistych obowiązków.
Jak ustalić odpowiedzialność po zakończeniu prac?
Warunki ponownej interwencji najlepiej uzgodnić jeszcze przed rozpoczęciem naprawy. Umowa lub ustalenia mailowe powinny określać długość monitorowania, zakres kontroli po wdrożeniu oraz sposób zgłaszania kolejnych objawów. Nie ma jednego standardowego okresu gwarancji odpowiedniego dla wszystkich incydentów.
Trzeba też odróżnić nawrót tej samej infekcji od nowego zdarzenia. Powrót usuniętego kodu przez pozostawioną furtkę może świadczyć o niepełnym oczyszczeniu. Nowe włamanie wykorzystujące inną podatność, ujawnioną już po zakończeniu prac, może natomiast stanowić osobny incydent. Ocena wymaga analizy technicznej, dlatego zasady kwalifikowania takich przypadków powinny być opisane z góry.
Dobrze wykonane odwirusowywanie PrestaShop kończy się nie tylko działającym sklepem, lecz także dokumentacją, testami i ograniczeniem ryzyka ponownego przejęcia. W PRODO realizujemy naprawy i zabezpieczenia sklepów dla firm z Poznania oraz klientów z całej Polski. Niezależnie od wybranego wykonawcy warto wymagać konkretnego zakresu prac, ochrony bieżących zamówień i mierzalnych kryteriów odbioru usługi.
Najczęściej zadawane pytania (FAQ)
Czy samo skanowanie plików wystarczy do odwirusowania PrestaShop?
Nie, złośliwy kod może znajdować się także w bazie danych, modułach, motywie lub konfiguracji środowiska. Usługa powinna obejmować usunięcie infekcji i mechanizmów dostępu, analizę możliwej drogi włamania oraz naprawę lub wyłączenie wykorzystanej podatności.
Czy podczas odwirusowywania sklep może nadal przyjmować zamówienia?
Nie zawsze można przeprowadzić naprawę bez przerwy w sprzedaży, szczególnie przy podejrzeniu przechwytywania danych płatniczych. Jeśli sklep nadal przyjmuje zamówienia, trzeba ustalić sposób zachowania nowych zapisów, aby odtworzenie starszej bazy ich nie usunęło.
Jak sprawdzić, czy odwirusowanie PrestaShop było skuteczne?
Należy wymagać raportu z wykonanych prac oraz ponownej kontroli plików, bazy danych, kont i oznak pozostawionego dostępu. Trzeba też przeprowadzić pełne zamówienie w czystej sesji klienta i sprawdzić płatność, status transakcji, e-maile, stan magazynowy oraz widoczność zamówienia w panelu. Sam brak przekierowania nie wystarcza do potwierdzenia skuteczności naprawy.
Co należy zrobić, aby ograniczyć ryzyko nawrotu infekcji?
Po czyszczeniu trzeba sprawdzić alternatywne mechanizmy dostępu oraz zaktualizować lub usunąć podatne komponenty. Należy również zmienić dane dostępowe do panelu, hostingu, FTP lub SFTP, SSH i bazy danych, a zmianę hasła bazy uwzględnić w konfiguracji sklepu. Warto usunąć nieużywane konta i ograniczyć role administracyjne do rzeczywistych obowiązków.
