Usuwanie wirusów ze stron internetowych: zhakowana strona

Wpisz obok adres swojej witryny, a od razu zobaczysz, co widzi bot skanujący sieć: czy wymuszasz HTTPS, czy certyfikat jest ważny, ile z sześciu nagłówków ochronnych masz ustawionych, czy Twój system ujawnia numer wersji i czy panel logowania stoi otworem.

Zainfekowaną stronę czyścimy ręcznie, razem z backdoorem i luką wejściową, a na końcu zdejmujemy ostrzeżenie Google. Usługa jest w abonamencie od 79 zł netto miesięcznie, bez osobnej faktury za akcję ratunkową.

Bez rejestracji. Czytamy tylko to, co Twoja strona i tak pokazuje publicznie.

Usuwanie wirusów ze stron internetowych w skrócie

Usuwanie wirusa ze strony WWW to wyczyszczenie wstrzykniętego kodu z plików i bazy, a następnie zamknięcie luki, przez którą atakujący wszedł. Sama praca zajmuje kilka godzin, ale liczy się kolejność: najpierw kopia dowodowa i odcięcie ruchu, potem czyszczenie, a dopiero na końcu zgłoszenie strony do ponownego sprawdzenia w Google. Odwrócenie tej kolejności kosztuje albo dowody, albo powtórne włamanie.

Kluczowy element to backdoor, czyli furtka, którą atakujący zostawia po sobie na wypadek posprzątania. Skaner automatyczny zwykle usuwa widoczny złośliwy kod i zostawia właśnie ją, dlatego strona wygląda na czystą, a po kilku dniach infekcja wraca. To najczęstszy powód, dla którego ta sama witryna czyszczona jest trzy razy.

Trzy liczby

2 z 13: tyle polskich firm hostingowych ma na własnej stronie komplet sześciu nagłówków bezpieczeństwa. Sprawdziliśmy to 9 września 2026, tym samym testem, którym możesz sprawdzić siebie.
6 z 13: ma ustawione tylko dwa z sześciu, czyli dokładnie te dwa, które wpisuje się jedną linijką w konfiguracji serwera i o których nie trzeba myśleć.
79 zł: netto miesięcznie, od planu Biznes: czyszczenie po infekcji i naprawa po włamaniu są w abonamencie, bez rozliczania godzin akcji ratunkowej.

Po czym poznasz, że strona jest zainfekowana

Najtrudniejsze w tej usterce jest to, że administrator często nie widzi niczego. Spora część złośliwego kodu sprawdza, czy odwiedzający jest zalogowany i czy przyszedł z wyszukiwarki, i dopiero wtedy się pokazuje. Dlatego objawu szuka się nie w panelu, ale w wynikach Google, w logach i w skrzynce.

Objaw	Co zwykle oznacza	Jak to sprawdzić samemu
Przekierowanie na obcą stronę	Wstrzyknięty skrypt w motywie albo w bazie, zwykle w opcjach witryny.	Otwórz swój adres w oknie prywatnym, z telefonu, wchodząc z wyników Google.
Czerwony ekran ostrzeżenia	Google wpisał domenę na listę niebezpiecznych witryn.	Search Console, sekcja problemów bezpieczeństwa. Ostrzeżenie widzą też użytkownicy Firefoksa i Safari.
Obce podstrony w wynikach	Spam katalogowy: setki wygenerowanych podstron pod Twoją domeną.	Wyszukaj w Google zapytanie z operatorem site: i swoją domeną, przejrzyj dalsze strony wyników.
Nagły skok obciążenia	Serwer rozsyła spam albo bierze udział w ataku na inne witryny.	Wykresy zużycia w panelu hostingu, kolejka poczty wychodzącej.
Zwroty maili, których nie wysyłałeś	Wysyłka spamu z Twojego konta, często przez skrypt w katalogu z uploadami.	Skrzynka administratora domeny, logi wysyłki w panelu.
Nieznane konto administratora	Atakujący zapewnił sobie powrót, nawet gdy usuniesz pliki.	Lista użytkowników w panelu CMS, posortowana po dacie rejestracji.
Blokada konta przez hosting	Dostawca odciął witrynę, żeby nie ucierpieli sąsiedzi na tym samym serwerze.	Mail od dostawcy z listą plików uznanych za złośliwe.

Żaden z tych objawów nie mówi jeszcze, którędy weszli. To ustala się z logów i dat modyfikacji plików, i właśnie dlatego pierwszą czynnością jest kopia obecnego stanu, a nie kasowanie.

Jak zabezpieczone są własne strony polskich firm hostingowych

Nagłówki bezpieczeństwa to najtańsza warstwa ochrony, jaka istnieje: kilka linii w konfiguracji serwera, zero wpływu na wydajność. Blokują osadzenie Twojej strony w cudzej ramce, ograniczają skutki wstrzyknięcia skryptu i wymuszają szyfrowane połączenie. Sprawdziliśmy 9 września 2026, ile z sześciu ustawiły u siebie firmy, które sprzedają hosting w Polsce. Wynik odczytaliśmy bezpośrednio z odpowiedzi ich serwerów.

Firma	HSTS	CSP	X-Frame-Options	X-Content-Type	Referrer-Policy	Permissions-Policy	Razem
cyberFolks	jest	jest	jest	jest	jest	jest	6
kei.pl	jest	jest	jest	jest	jest	jest	6
businesshost.pl	jest	brak	jest	jest	jest	jest	5
Hostido	jest	jest	jest	jest	jest	brak	5
LH.pl	jest	jest	jest	jest	brak	brak	4
Zenbox	jest	brak	jest	jest	jest	brak	4
MyDevil	brak	jest	brak	jest	jest	brak	3
home.pl	brak	brak	jest	jest	brak	brak	2
nazwa.pl	brak	jest	jest	brak	brak	brak	2
SeoHost	jest	brak	brak	jest	brak	brak	2
dhosting	brak	jest	jest	brak	brak	brak	2
AZ.pl	brak	brak	jest	jest	brak	brak	2
OVH	brak	brak	jest	jest	brak	brak	2

Komplet ma dwóch na trzynastu

Wszystkie sześć nagłówków ustawiły u siebie tylko cyberFolks i kei.pl. Sześć firm poprzestało na dwóch, i są to zawsze te same dwa, czyli X-Frame-Options oraz X-Content-Type-Options. To akurat te, które dopisuje się jedną linijką bez zastanawiania się nad skutkami ubocznymi.

Najrzadszy jest Permissions-Policy

Ustawiły go trzy firmy na trzynaście. Odcina on stronie dostęp do kamery, mikrofonu i lokalizacji, więc po wstrzyknięciu obcego skryptu ogranicza to, o co ten skrypt może w ogóle poprosić przeglądarkę. Wymuszenie HTTPS przez HSTS ma siedem firm na trzynaście.

Zenbox pokazuje wersję WordPressa

W kodzie strony zenbox.pl numer wersji systemu jest podany wprost. Boty skanują sieć właśnie pod kątem wersji z publicznie znaną podatnością, więc ukrycie tej informacji jest darmowe i zdejmuje stronę z listy łatwych celów. cyberFolks też stoi na WordPressie i wersji nie ujawnia.

Uczciwie o nas

Nam brakuje jednego nagłówka z sześciu i jest to Content-Security-Policy. Nie ustawiamy go świadomie: ta polityka potrafi po cichu zablokować przejście do operatora płatności, a awarii ścieżki zakupu nie widać w żadnym teście automatycznym, tylko na fakturach, których nie ma. Wolimy pokazywać brak w naszym własnym teście, niż ryzykować cichą usterkę u klienta. Możesz to sprawdzić sam, wpisując naszą domenę w skaner na górze tej strony.

Co zrobić w pierwszej godzinie, zanim ktokolwiek zacznie czyścić

Te cztery czynności decydują o tym, czy sprzątanie skończy się raz, czy będzie się powtarzać. Wykonuje się je w podanej kolejności i żadna z nich nie polega na kasowaniu plików.

Krok 1
Kopia obecnego stanu

Pliki i baza w takiej postaci, w jakiej są teraz, razem z datami modyfikacji. To jedyny materiał, z którego da się później ustalić, którędy weszli i od kiedy siedzą.
Krok 2
Odcięcie ruchu

Strona schodzi z widoku dla odwiedzających albo zostaje ograniczona do Twojego adresu IP. Chodzi o to, żeby nie zarażać gości i nie pogłębiać kłopotu w wyszukiwarce.
Krok 3
Hasła z czystej maszyny

Panel, FTP, baza i poczta, wszystkie z innego komputera. Zmiana hasła z maszyny, z której dane wyciekły, oddaje nowe hasło atakującemu w tej samej minucie.
Krok 4
Sprawdzenie statusu w Google

Search Console, sekcja problemów bezpieczeństwa. Trzeba wiedzieć od razu, czy domena jest już oznaczona, bo od tego zależy, co robimy na końcu sprzątania.

Trzy odruchy, przez które infekcja wraca

Kasowanie plików od razu

Usunięcie podejrzanych plików w pierwszym odruchu likwiduje dowody, a nie infekcję. Znika ślad daty i ścieżki wejścia, a konto administratora założone przez atakującego oraz kod wstrzyknięty do bazy zostają nietknięte. Za tydzień pliki wracają.

Przywrócenie kopii bez łatania

Odtworzenie kopii sprzed tygodnia cofa stronę do stanu, w którym podatna wtyczka nadal jest podatna. Bot, który znalazł tę lukę raz, znajdzie ją ponownie w ciągu godzin. Kopię przywraca się dopiero po aktualizacji dziurawego komponentu.

Zgłoszenie do Google za wcześnie

Wniosek o ponowne sprawdzenie złożony przed dokończeniem czyszczenia kończy się odmową, a kolejny rozpatrywany jest wolniej. Zgłasza się stronę wtedy, gdy nie ma już ani złośliwego kodu, ani obcych kont, ani otwartej luki.

Kiedy warto oddać to komuś, kto robi to zawodowo

Strona sprzedaje

Sklep albo strona z formularzem zapytań traci pieniądze za każdą godzinę ostrzeżenia w wynikach. Tu liczy się tempo i pewność, że nie trzeba będzie wracać za tydzień.

Infekcja wraca kolejny raz

Drugie i trzecie czyszczenie tej samej witryny prawie zawsze znaczy, że backdoor przetrwał poprzednie sprzątanie albo luka wejściowa nigdy nie została zamknięta.

Hosting zablokował konto

Gdy dostawca odciął witrynę i przysłał listę plików, trzeba wyczyścić stronę i wykazać to, żeby odblokował usługę. Sama lista plików rzadko obejmuje całą infekcję.

Nie wiadomo, co jest w bazie

Kod w tabelach z opcjami albo w treści wpisów jest niewidoczny z poziomu panelu. Znajduje się go przeglądem zrzutu bazy, nie klikaniem po zapleczu.

Strona przetwarza dane osobowe

Przy realnym podejrzeniu wycieku liczy się kolejność i udokumentowanie działań, bo obowiązki wobec osób, których dane dotyczą, biegną niezależnie od naprawy technicznej.

Nie ma czym się cofnąć

Brak działającej kopii zapasowej zmienia sprzątanie w rekonstrukcję. Wtedy tym bardziej nie warto zaczynać od kasowania czegokolwiek.

U nas czyszczenie strony po infekcji i naprawa po włamaniu wchodzą w abonament od planu Biznes, razem z zarządzanymi aktualizacjami, kopiami i monitoringiem. Sposób, w jaki utrzymujemy witrynę w stanie, w którym infekcja w ogóle nie ma jak wejść, opisujemy przy zabezpieczeniu WordPressa, a pełny zakres stałej opieki na stronie obsługi strony internetowej.

Najczęstsze pytania o usuwanie wirusów ze stron internetowych

Jak usunąć wirusa ze strony internetowej?

Kolejność jest zawsze ta sama: kopia dowodowa aktualnego stanu, odcięcie ruchu, skan plików i bazy, usunięcie wstrzykniętego kodu razem z backdoorami, podmiana rdzenia i wtyczek na czyste pliki z oficjalnego źródła, zamknięcie luki wejściowej, wymiana haseł, kluczy i soli, a na końcu zgłoszenie strony do ponownego sprawdzenia w Google. Pominięcie backdoora oznacza powrót infekcji w ciągu kilku dni.

Po czym poznać, że strona jest zainfekowana?

Najczęstsze objawy to przekierowanie odwiedzających na obcą witrynę, czerwony ekran ostrzeżenia w przeglądarce, obce podstrony w wynikach Google pod Twoją domeną, nagły skok obciążenia serwera i maile z Twojej domeny, których nikt nie wysłał. Część infekcji nie daje żadnego objawu zalogowanemu administratorowi i pokazuje się wyłącznie użytkownikowi wchodzącemu z wyszukiwarki.

Ile kosztuje usunięcie wirusa ze strony internetowej?

Na rynku jest to zwykle jednorazowa usługa wyceniana od kilkuset złotych w górę, zależnie od rozmiaru strony i tego, jak długo infekcja siedziała w systemie. U nas czyszczenie strony i naprawa po włamaniu mieszczą się w abonamencie od planu Biznes za 79 zł netto miesięcznie, bez osobnej faktury za akcję ratunkową i bez rozliczania godzin. Aktualne stawki wszystkich planów są w cenniku.

Czy wirus na stronie wpływa na pozycję w Google?

Tak, i to dwutorowo. Google wystawia w wynikach ostrzeżenie, które ścina liczbę wejść praktycznie do zera, a wstrzyknięte podstrony ze spamem zmieniają to, o czym według wyszukiwarki jest Twoja domena. Samo ostrzeżenie zdejmuje się szybko po wyczyszczeniu i zgłoszeniu strony, ale odbudowa pozycji po długiej infekcji potrafi zająć tygodnie.

Skąd wziął się wirus na mojej stronie?

W większości przypadków z nieaktualnej wtyczki, motywu albo starej wersji CMS-a, w której publicznie znana jest podatność i boty masowo skanują sieć w jej poszukiwaniu. Drugie źródło to wykradzione hasło do FTP lub panelu, najczęściej z zainfekowanego komputera pracownika. Włamania celowane, wymierzone w konkretną firmę, są w tej puli rzadkością.

Czy przywrócenie kopii zapasowej usunie wirusa?

Tylko wtedy, gdy kopia pochodzi sprzed infekcji i luka wejściowa została zamknięta. Infekcje potrafią siedzieć cicho tygodniami, więc świeża kopia bywa już zarażona, a przywrócenie starej bez aktualizacji podatnego komponentu przywraca też dziurę, przez którą weszli. Osobno tłumaczymy, jak często robić kopię zapasową strony firmowej, żeby w takiej chwili było z czego wracać.

Ile trwa usuwanie wirusa ze strony?

Zwykłą stronę firmową czyści się w kilka godzin, licząc od kopii dowodowej do zgłoszenia w Google. Dłużej trwa tam, gdzie infekcja jest stara i rozeszła się po bazie, oraz przy sklepach, w których każdą zmianę trzeba przetestować przed wypuszczeniem. Zdjęcie ostrzeżenia przez Google po zgłoszeniu to zwykle kwestia jednego dnia.

Czy wtyczka zabezpieczająca usunie wirusa ze strony?

Wtyczka znajdzie część znanych sygnatur i to jest jej realna wartość na etapie wykrycia. Nie usunie natomiast kodu wstrzykniętego do bazy, nie rozpozna pliku podszywającego się pod element systemu i nie zamknie luki, przez którą atakujący wszedł. Rozwijamy ten wątek w tekście o tym, czy wtyczka zabezpieczająca WordPressa wystarczy.

Czy hosting sam usuwa wirusy ze stron?

Zwykle nie. Standardowa reakcja hostingu współdzielonego na infekcję to zablokowanie konta, żeby nie ucierpieli sąsiedzi na tym samym serwerze, i przekazanie klientowi listy zainfekowanych plików do samodzielnego wyczyszczenia. Czyszczenie w cenie abonamentu jest wyjątkiem, a nie regułą, i warto sprawdzić ten zapis w umowie hostingu przed awarią, a nie w jej trakcie.

Co zrobić, gdy Google oznaczył stronę jako niebezpieczną?

Najpierw wyczyścić stronę do końca, razem z backdoorami i kontami administratora założonymi przez atakującego, a dopiero potem złożyć w Search Console wniosek o ponowne sprawdzenie. Zgłoszenie nadal zainfekowanej witryny kończy się odmową i wydłuża całą sprawę, bo kolejny wniosek rozpatrywany jest wolniej.

Wyczyścimy stronę i zamkniemy wejście, przez które weszli

Kopia dowodowa, ręczne usunięcie kodu z plików i bazy, backdoory, konta atakującego, łatanie podatnego komponentu, wymiana haseł i kluczy oraz zgłoszenie strony do ponownego sprawdzenia w Google. Bez faktury za akcję ratunkową i bez liczenia godzin.

Zgłoś zainfekowaną stronę

Odpowiadamy w godzinach pracy tego samego dnia.