Prvi obično javi kupac. Otvorio je vaš sajt s telefona i dobio crveni ekran na kojem Chrome piše da je stranica opasna. Vi otvorite isti sajt na računaru u kancelariji i sve izgleda kao i jučer. Dan kasnije neko iz prodaje ukuca ime firme u Google i ispod njega vidi naslove na japanskom.
Osvježavanje stranice tu ne pomaže. Dok sajt stoji tako, kupci koji vas traže ne mogu ga otvoriti ili ga otvore uz upozorenje, oglasi koji vode na njega bivaju odbijeni, a pošta sa istog servera počinje završavati u neželjenoj. Ako su na sajtu bile narudžbe ili korisnički nalozi, od trenutka kad saznate teče i zakonski rok od 72 sata.
Ukratko
- Hakovan sajt vlasniku često izgleda normalno, jer dio napada namjerno pokazuje spam Googleu, a vlasniku ne.
- Prvog dana se zove onaj ko drži hosting, sajt se privremeno sklanja s mreže i mijenjaju se sve lozinke, od administracije do baze.
- Vraćanje sigurnosne kopije pomaže samo ako je kopija starija od napada i ako se zatvori rupa kroz koju je napadač ušao.
- Google upozorenje ne skida sam: sajt se očisti na svim stranicama, pa se u Search Consoleu zatraži provjera, koja traje od nekoliko dana do nekoliko sedmica.
- Ako su napadom mogli biti pogođeni lični podaci kupaca, zakon traži da se Agencija obavijesti najkasnije 72 sata od saznanja.
Hakovan sajt se vlasniku često ne vidi
Napadaču ne treba da vi primijetite. Treba mu vaša domena, jer Google njoj vjeruje, i vaši posjetioci. Zato se dobar dio napada pravi tako da administrator koji je prijavljen ili koji sajt otvara direktno ne vidi ništa.
Google to zove cloaking: različit sadržaj za ljude i za pretraživače. Kod napada koji Google opisuje kao japanski keyword hack i gibberish hack na sajtu nastane mnogo novih stranica s automatski sklopljenim tekstom i linkovima prema tuđim prodavnicama. Kod treće vrste, cloaked keywords hack, vlasnik koji otvori takvu stranicu dobije poruku da stranica ne postoji, a Google vidi spam.
Zbog toga se na sajt gleda izvana, ne iz kancelarije:
- Pretraga site:. U Google se ukuca
site:vasadomena.ba. Google piše da se tako vide sve stranice sajta, uključujući one koje je dodao napadač. Naslovi na stranom jeziku, lijekovi, kladionice ili replike satova su znak. - Status kod Googlea. Na stranici Safe Browsing izvještaja upiše se domena i vidi se da li je Google trenutno označava kao opasnu.
- Upozorenja kod kupaca. Chrome za phishing, zlonamjerni softver i prevare pokazuje crveno upozorenje preko cijelog ekrana. U rezultatima pretrage Google uz takav sajt može napisati da je možda hakovan.
- Poruke koje već stižu. Google Search Console šalje mail vlasniku kad pronađe sigurnosni problem. Hosting zna poslati obavijest ili privremeno ugasiti nalog. Google Ads odbija oglase.
- Sam sajt. Korisnici s administratorskim pravima koje niko ne poznaje, dodaci koje niko nije instalirao, fajlovi s datumom izmjene od prije nekoliko dana.
Kad Search Console pošalje upozorenje, a niko ga ne pročita, razlog je često to što je nalog otvorio neko ko više nije u firmi ili u agenciji. Kod japanskog napada Google navodi da napadač često sebe doda kao vlasnika svojstva u Search Consoleu, pa se spisak korisnika tamo provjerava među prvim stvarima.
Prvi dan: zatvoriti vrata, a tragove sačuvati
Google u vodiču za hakovane sajtove daje redoslijed: okupiti ljude koji će raditi na tome, skloniti sajt s mreže, ući u Search Console, procijeniti štetu, naći rupu, očistiti sajt i tek onda zatražiti provjeru. Za firmu to u praksi izgleda ovako.
Telefon onome ko drži hosting
Prvi poziv ide firmi koja drži hosting. Oni vide logove servera, mogu reći kad su se pojavili sumnjivi fajlovi i da li je napadnut samo vaš sajt ili cijeli server. Ako ne znate ko drži hosting, na čije ime glasi i ko ima pristup, to je prvi problem, i rješava se istog dana. Kako se taj spisak pravi, opisano je u tekstu o tome šta preuzeti kad mijenjate agenciju.
Sajt se sklanja s mreže
Google savjetuje da se sajt privremeno ugasi dok se čisti. To boli, ali sajt koji posjetioce šalje na lažnu stranicu banke ili im nudi da preuzmu zaražen fajl šteti više od sajta koji dva dana ne radi. Hosting može postaviti kratku poruku s telefonom i mailom, da kupci znaju gdje vas naći.
Sve lozinke, ne samo jedna
Mijenjaju se lozinke za administraciju sajta, FTP ili SFTP, kontrolni panel
hostinga i bazu podataka, za sve korisnike. WordPress u svom
uputstvu
dodaje da se promijene tajni ključevi u wp-config.php, čime se odjave svi
prijavljeni, uključujući napadača koji je ostao prijavljen. Google savjetuje da
se lozinke promijene još jednom na kraju, kad je sajt očišćen.
Ne brisati sve odmah
Prirodan potez je obrisati sumnjive fajlove i zaboraviti na sve. Prije toga se napravi kopija zaraženog stanja, odvojeno od ostalih kopija. Ona služi da se nađe kako je napadač ušao, i treba ako se kasnije mora dokazivati šta se desilo s podacima.
Vraćena kopija nije kraj posla
Najbrži put je vratiti sigurnosnu kopiju. Google to i preporučuje, uz uslov koji se lako preskoči: provjeriti da je kopija napravljena prije napada. Spam stranice znaju sedmicama stajati neprimijećene, pa jučerašnja kopija može sadržavati isti zlonamjerni kod.
Druga stvar koja se preskoči je rupa. Napadač je ušao nekim putem, i ako taj put ostane otvoren, vraćeni sajt bude ponovo zaražen, ponekad za nekoliko dana. Kod WordPressa su uobičajeni putevi:
- Dodatak koji se godinama ne ažurira. Svaki dodatak je tuđi kod na vašem serveru. Kad se u njemu nađe propust, napadači ga traže automatski, na svim sajtovima koji koriste taj dodatak.
- Piratski dodatak ili tema. Plaćeni dodatak preuzet besplatno sa sumnjivog sajta često već nosi zlonamjerni kod.
- Slaba ili ponovljena lozinka. Ista lozinka za administraciju sajta, mail i hosting, ili nalog bivšeg saradnika koji niko nije ugasio.
- Stari WordPress ili PHP. Verzija koju niko nije dirao od lansiranja.
Kad u Siiteu preuzimamo sajt nakon napada, prvo tražimo taj put, pa tek onda
čistimo, jer se po njemu vidi šta još treba zatvoriti. Google za samo čišćenje
traži čistu instalaciju, ne samo ažuriranje. WordPress preporučuje da se
folderi wp-admin i wp-includes zamijene čistim kopijama iste verzije i da se
pregleda .htaccess, a teme i dodaci se instaliraju ponovo iz izvornih paketa.
Zatim se sve ažurira. WordPress od verzije 5.5 dozvoljava automatska ažuriranja dodataka i
tema, ali ih treba uključiti za svaki posebno.
Ako postoji staging okruženje, očišćen sajt se prvo podigne tamo i provjeri, pa tek onda vrati na pravu adresu.
Google upozorenje ne skida sam
Sajt može biti potpuno čist, a crveno upozorenje i oznaka u pretrazi stoje i dalje. Google ih skida tek kad vlasnik zatraži provjeru.
U Search Consoleu se otvori izvještaj o sigurnosnim problemima. Google ih dijeli u tri grupe: hakovan sadržaj, zlonamjerni i neželjeni softver, i socijalni inženjering, u koji spadaju lažne stranice i phishing. Uz svaki problem stoje primjeri adresa. Alatom za provjeru URL-a se vidi šta Google zaista dobija na tim adresama, uključujući sakriveni sadržaj koji vi ne vidite.
Pravilo koje Google piše izričito: problem se mora riješiti na svim stranicama. Djelimično čišćenje ne vraća sajt ni djelimično. Kad je sve očišćeno, klikne se na zahtjev za provjeru i opiše šta je urađeno.
Koliko se čeka, Google piše na dva mjesta različito. Pomoć za Search Console kaže od nekoliko dana do nekoliko sedmica. Vodič za hakovane sajtove daje okvirne rokove: oko jedan dan za phishing, nekoliko dana za zlonamjerni softver, do nekoliko sedmica za sajt pun spam stranica. Novi zahtjev se ne šalje dok prvi nije riješen. Zahtjev poslan prije nego što je sajt zaista čist, piše Google, može produžiti čekanje sljedećeg ili sajt označiti kao ponovljeni slučaj.
Spam stranice koje je napadač napravio trebaju vraćati grešku 404 ili 410, ne preusmjeravati na početnu. Iz indeksa ispadaju postepeno, pa se site: pretraga provjerava još nekoliko sedmica. Ako pretraga imena firme i dalje pokazuje čudne naslove, tekst o tome zašto se stranica ne pojavljuje na Googleu objašnjava kako čitati izvještaje u Search Consoleu.
Kad su na sajtu bili podaci kupaca
Novi Zakon o zaštiti ličnih podataka, objavljen u Službenom glasniku BiH broj 12/25, primjenjuje se od oktobra 2025. Napad u kojem je neko mogao doći do ličnih podataka sa sajta po tom zakonu je povreda ličnog podatka, i zakon za nju ima rokove.
Član 35 kaže da je firma dužna o povredi obavijestiti Agenciju za zaštitu ličnih podataka bez nepotrebnog odgađanja, a najkasnije u roku od 72 sata nakon saznanja. Izuzetak je kad je vjerovatno da povreda neće ugroziti prava ljudi čiji su podaci. Ako se rok probije, Agenciji se navode razlozi kašnjenja. Svaka povreda se dokumentuje, i ona koja se ne prijavljuje.
Član 36 ide korak dalje. Ako povreda vjerovatno nosi visok rizik za ljude, firma ih mora bez odgađanja obavijestiti pisanim putem. Izuzetak je, između ostalog, kad su podaci bili šifrovani.
Ovo se ne tiče samo webshopa. Tiče se i hotela s formom za rezervaciju, koja skuplja imena, telefone i datume dolaska. Tiče se veleprodaje i distribucije s B2B portalom u kojem partneri imaju naloge i historiju narudžbi. Tiče se trgovačkih lanaca s programom lojalnosti vezanim za sajt. Rok od 72 sata kreće od saznanja za povredu, pa se odluka o prijavi donosi u prvim danima, dok čišćenje još traje.
Zakon traži i da agencija ili hosting koji obrađuju podatke u vaše ime vas o povredi obavijeste bez nepotrebnog odgađanja. Da li to piše i u vašem ugovoru s njima, provjerava se prije napada, ne poslije. Šta u takvom ugovoru treba stajati, opisano je u tekstu o ugovoru s agencijom.
Oglasi, pošta i mjerenje stanu zajedno sa sajtom
Google Ads
Google ima posebno pravilo za kompromitovane sajtove. Oglasi koji vode na hakovan sajt bivaju odbijeni. Po tom pravilu račun se ne suspenduje bez upozorenja, koje stiže najmanje sedam dana ranije. Kad se sajt očisti, Google navodi da ponovna provjera oglasa traje do 72 sata. Strože je pravilo o zlonamjernom softveru: ako sajt kupcima podmeće zaražene fajlove, račun može biti suspendovan odmah. Zato se kampanje ne puštaju ponovo dok Search Console ne pokaže da je sajt čist.
Pošta
Hakovan sajt se zna koristiti i za slanje spama, sa istog servera s kojeg idu forme sa sajta, a ponekad i vaša pošta. Reputacija servera i domene padne, pa i ponude koje šaljete kupcima počnu završavati u neželjenoj pošti. Oporavak traje duže od samog čišćenja. Kako se provjerava ko sve šalje poštu u ime vaše domene, objašnjeno je u tekstu o tome zašto mailovi firme završavaju u spamu.
Mjerenje
Napadači ponekad ubace svoje skripte u zaglavlje sajta, uz Google Analytics i piksel. Poslije čišćenja se provjeri šta se sve učitava na stranici i ima li u analitici i Tag Manageru korisnika koje ne poznajete.
Kako da se ovo ne ponovi
Mjere su poznate i nijedna nije skupa.
- Ažuriranja s rasporedom. WordPress, teme i dodaci, redovno, uz provjeru da sajt poslije radi. Za manje dodatke automatska ažuriranja, za veće izmjene provjera na staging kopiji.
- Manje dodataka. Svaki dodatak koji se ne koristi se briše, ne samo deaktivira. Piratskih dodataka nema.
- Pristupi po osobi. Svako ima svoj nalog, s pravima koja mu trebaju, uz dvofaktorsku prijavu. Nalog bivšeg saradnika se gasi isti dan.
- Kopije koje se mogu vratiti. Čuvaju se odvojeno od servera, nekoliko sedmica unazad, i povremeno se probno vrate. Kopija koju niko nikad nije probao vratiti zna se pokazati neupotrebljivom baš kad zatreba.
- Nadzor. Alat koji javi kad sajt ne radi i Search Console s ispravnim mailom vlasnika, koji neko čita.
Na dan napada saznate da li je iko odgovoran za sajt
Tehnički, čišćenje WordPress sajta je poznat posao s poznatim koracima. Ono što odlučuje koliko će trajati i koliko će koštati desilo se mjesecima prije: postoji li čista kopija, zna li se ko drži hosting i na čije ime, ima li Search Console vlasnika koji čita mailove, i piše li u nekom ugovoru ko se javlja kad sajt padne.
Česta situacija je da je sajt napravljen, predat i od tada ga niko ne održava. Agencija smatra da je posao završen, hosting odgovara za server, a firma misli da se o tome brine neko od njih dvoje. Napad tu rupu samo pokaže. Zato je pitanje koje vrijedi postaviti danas jednostavno: ako sutra kupac javi crveni ekran, koga zovete i šta taj neko ima u rukama?
Česta pitanja