Ten artykuł powstał na podstawie rzeczywistych zdarzeń, z którymi zespół naszej Agencji Rozmach mierzył się w lipcu 2026 roku. Ze względów bezpieczeństwa nie opisujemy technicznych szczegółów usuwania infekcji ani danych klientów.

Piątkowy poranek zaczął się zupełnie zwyczajnie. Kilka zaplanowanych wdrożeń, poprawki na stronach klientów, bieżące aktualizacje. Około dziewiątej odebraliśmy telefon od jednego z klientów. Program antywirusowy zaczął blokować wejście na jego stronę internetową. Takie zgłoszenia zdarzają się od czasu do czasu, więc początkowo nie wyglądało to na nic wyjątkowego.

Niecałą godzinę później zadzwonił kolejny klient.

Potem następny.

Pod koniec dnia wiedzieliśmy już, że nie mamy do czynienia z pojedynczym przypadkiem.

Przez kolejne dni przez nasze ręce przewinęło się około dwudziestu stron internetowych. Różni klienci, różne branże, różne firmy hostingowe, różne motywy i różne zestawy wtyczek. Łączyło je jedno – wszystkie działały na WordPressie.

Na pierwszy rzut oka większość z nich wyglądała zupełnie normalnie.

Strony działały.

Formularze kontaktowe działały.

Panel administracyjny również.

Gdyby nie komunikaty programów antywirusowych albo zgłoszenia od użytkowników, wielu właścicieli prawdopodobnie jeszcze przez długi czas nie wiedziałoby, że na ich stronie wydarzyło się coś niepokojącego.

To właśnie było w tym wszystkim najbardziej zdradliwe.

Wszystko wydarzyło się bardzo szybko

Nikt w piątkowe południe jeszcze nie przypuszczał, że właśnie wtedy rozpoczęły się masowe ataki wymierzone w podatne instalacje WordPressa.

Przez pierwsze dwa dni praktycznie nic nie wskazywało na skalę problemu. Strony w większości działały normalnie, dlatego wielu administratorów nie miało powodów, by podejrzewać, że doszło do naruszenia bezpieczeństwa.

Sytuacja oficjalnie zaczęła się zmieniać 19 lipca. To właśnie wtedy pierwsi dostawcy hostingu zaczęli informować swoich klientów (zapewne po wielu uwagach, podobnych do tych, które miały miejsce w naszej agencji) o wykrytych zagrożeniach i podejrzanej aktywności na serwerach. W tym samym czasie pojawiła się również aktualizacja WordPress 7.0.2, która usuwała wykrytą podatność.

To jednak nie oznaczało końca problemów.

W wielu przypadkach atakujący zdążyli wykorzystać lukę jeszcze przed opublikowaniem poprawki. Aktualizacja skutecznie zamykała drogę do ponownego wykorzystania tej konkretnej podatności, ale nie usuwała zmian pozostawionych na stronach, które zostały wcześniej zainfekowane.

I właśnie dlatego w kolejnych dniach zaczęły pojawiać się zgłoszenia od właścicieli stron. Część z nich była przekonana, że skoro WordPress został zaktualizowany, temat jest zamknięty. Tymczasem skutki wcześniejszych włamań nadal były widoczne.

To ważne, bo wiele osób wyobraża sobie cyberatak jako sytuację, w której ktoś wybiera konkretną firmę i próbuje włamać się właśnie do niej.

W rzeczywistości wygląda to inaczej. Większość takich ataków jest całkowicie zautomatyzowana. Boty nie interesują się tym, czy skanują stronę kancelarii, sklepu internetowego czy lokalnej firmy usługowej. Szukają wyłącznie podatnych instalacji. Jeżeli znajdą możliwość wykorzystania luki, robią to automatycznie i przechodzą do kolejnego adresu.

To właśnie dlatego w krótkim czasie problem dotknął tak wiele, często zupełnie niezwiązanych ze sobą stron internetowych.

Pierwsza myśl? To pewnie jakaś wtyczka

Kiedy analizowaliśmy pierwsze zgłoszenia, naturalnie zaczęliśmy szukać wspólnego mianownika.

Może wszyscy korzystają z tej samej wtyczki? Może problem dotyczy konkretnego hostingu? Może winny jest jeden popularny motyw? Im więcej stron sprawdzaliśmy, tym szybciej te hipotezy przestawały mieć sens.

Jedna strona działała na LH.pl. Inna na SEOHost. Kolejna na OVH. Jeszcze inna na zupełnie innym serwerze.

Różniły się praktycznie wszystkim. Poza WordPressem. I właśnie wtedy zaczęliśmy rozumieć, że skala problemu jest znacznie większa, niż początkowo zakładaliśmy.

Co najbardziej zwróciło naszą uwagę?

Po trzeciej czy czwartej analizowanej stronie zaczęliśmy zauważać pewną prawidłowość.

Objawy były niemal identyczne. Nie miało znaczenia, czy analizowaliśmy prostą stronę usługową, portal informacyjny czy sklep WooCommerce. Schemat wyglądał bardzo podobnie. Pojawiały się nowe konta użytkowników, których nikt nie tworzył. Programy antywirusowe zgłaszały połączenia z podejrzanymi domenami, wymuszającymi wejście na stronę wykorzystującą moc obliczeniową komputera użytkownika.

Na serwerach znajdowaliśmy elementy, które nie były częścią oryginalnej instalacji strony.

Nie będziemy opisywać szczegółów technicznych ani sposobu działania tych mechanizmów. Nie dlatego, że chcemy robić z tego tajemnicę. Po prostu uważamy, że takie informacje nie powinny trafiać do publicznych poradników.

Najważniejszy wniosek był jednak inny. Nie wyglądało to na przypadkowe włamania. Wyglądało to na dobrze przygotowaną, zautomatyzowaną kampanię, która wykorzystywała ten sam scenariusz na kolejnych podatnych stronach.

Dlaczego sama aktualizacja nie wystarczyła?

To pytanie usłyszeliśmy chyba najczęściej. Przecież WordPress został zaktualizowany. Dlaczego problem nie zniknął? Najłatwiej wyobrazić to sobie na prostym przykładzie. Jeżeli ktoś dostanie się do domu przez uszkodzony zamek, wymiana zamka jest konieczna. Zamknie drogę kolejnym włamywaczom. Nie sprawi jednak, że z domu automatycznie zniknie wszystko, co wydarzyło się wcześniej. Dokładnie tak samo działa to w przypadku stron internetowych. Aktualizacja zamyka lukę bezpieczeństwa. Nie usuwa jednak zmian, które mogły zostać wprowadzone wcześniej.

I właśnie dlatego wielu właścicieli stron było przekonanych, że problem został rozwiązany, podczas gdy jego skutki nadal pozostawały obecne. Dla osób, które na co dzień nie zajmują się administracją WordPressa, było to całkowicie niezrozumiałe. Trudno się temu dziwić. Z perspektywy właściciela firmy aktualizacja powinna przecież rozwiązać problem. Rzeczywistość okazała się znacznie bardziej skomplikowana.

Dlaczego wielu właścicieli stron nie zauważyło problemu?

To, co najbardziej nas zaskoczyło, to fakt, że większość zainfekowanych stron działała pozornie normalnie. Nie było charakterystycznego komunikatu o błędzie. Nie pojawiał się biały ekran. Strona nie przestawała działać.

Z punktu widzenia właściciela firmy wszystko wyglądało tak, jak dzień wcześniej. Można było zalogować się do panelu, edytować treści, odbierać wiadomości z formularza kontaktowego czy realizować zamówienia.

Pierwszym sygnałem alarmowym bardzo często nie był sam WordPress, ale… klienci. Ktoś zadzwonił z informacją, że jego program antywirusowy blokuje stronę. Ktoś inny wysłał zrzut ekranu z ostrzeżeniem wyświetlanym przez przeglądarkę. Dopiero wtedy właściciel dowiadywał się, że jego witryna może być częścią znacznie większego problemu.

To pokazuje, jak podstępne potrafią być współczesne ataki. Nie zawsze chodzi o spektakularne unieruchomienie strony. Często znacznie groźniejsze są sytuacje, w których wszystko wygląda poprawnie, a złośliwy kod działa w tle.

To nie był czas na zgadywanie

Jedną z najgorszych rzeczy, jakie można zrobić podczas incydentu bezpieczeństwa, jest działanie na oślep.

Internet pełen jest poradników w stylu:

• usuń ten plik,
• zainstaluj tę wtyczkę,
• przywróć kopię zapasową,
• zmień hasło.

Problem polega na tym, że nie istnieje jeden uniwersalny scenariusz. Każda strona ma inną konfigurację. Każda działa na innym serwerze. Każda posiada inny zestaw wtyczek, motywów i integracji.

To, co pomoże w jednym przypadku, w innym może jedynie zamaskować objawy albo utrudnić późniejszą analizę.

Właśnie dlatego podczas takich incydentów najważniejsze jest ustalenie, z czym naprawdę mamy do czynienia. Dopiero wtedy można podejmować świadome decyzje.

Największym przeciwnikiem okazał się… czas

W przypadku cyberataków czas działa na niekorzyść właściciela strony.

Im później problem zostanie zauważony, tym większe ryzyko, że pojawią się kolejne konsekwencje. Mogą to być ostrzeżenia w programach antywirusowych, spadki widoczności w Google, utrata zaufania użytkowników czy problemy z wysyłką wiadomości e-mail.

Dlatego tak ważne jest, aby nie dowiadywać się o problemie od klientów. Znacznie lepiej wykryć go wcześniej i zareagować, zanim wpłynie na funkcjonowanie strony.

Ta historia zmieniła nasze podejście

Każdy incydent bezpieczeństwa czegoś uczy. Ten przypomniał nam, że nawet dobrze utrzymana strona internetowa może stać się celem automatycznego ataku. Nie dlatego, że ktoś upatrzył sobie konkretną firmę, ale dlatego, że boty działają bez przerwy i wykorzystują każdą okazję.

Utwierdził nas również w przekonaniu, że opieka techniczna nad stroną nie polega wyłącznie na instalowaniu aktualizacji. To przede wszystkim gotowość do szybkiej reakcji wtedy, gdy wydarzy się coś nieprzewidzianego.

Na co dzień nikt o tym nie myśli. Dopóki strona działa, temat bezpieczeństwa schodzi na dalszy plan. Dopiero sytuacje takie jak ta pokazują, jak wiele zależy od regularnego monitoringu, sprawdzonych procedur i osoby, która potrafi właściwie ocenić sytuację. Nie chodzi o to, żeby żyć w przekonaniu, że każda strona zostanie zaatakowana.

Chodzi o świadomość, że jeżeli kiedyś coś się wydarzy, warto mieć obok kogoś, kto nie będzie uczył się problemu na Twojej stronie, tylko od razu zacznie działać.

Czego nauczyły nas tamte dni?

Każdy incydent bezpieczeństwa zostawia po sobie jakieś wnioski. Ten również.

Przede wszystkim utwierdził nas w przekonaniu, że bezpieczeństwo strony internetowej nie jest czymś, o czym można pomyśleć raz i odhaczyć temat. Aktualizacje są ważne, kopie zapasowe są ważne, mocne hasła również. Ale to dopiero fundament.

Największym problemem okazał się czas. Czas między pojawieniem się podatności a jej wykorzystaniem. Czas, który mija od pierwszych oznak problemu do momentu, kiedy ktoś rzeczywiście zaczyna się nim zajmować. I wreszcie czas potrzebny na ocenę sytuacji.

Im szybciej właściciel strony dowie się, że dzieje się coś niepokojącego, tym większa szansa, że skutki będą niewielkie.

Co może zrobić właściciel strony już dziś?

Nie istnieje rozwiązanie, które daje stuprocentową gwarancję bezpieczeństwa. Gdyby takie istniało, cyberprzestępcy już dawno szukaliby innej drogi. Można jednak znacząco ograniczyć ryzyko.

Regularnie aktualizuj WordPressa, motywy i wtyczki. Nie odkładaj tego „na spokojniejszy tydzień”, bo zagrożenia nie czekają, aż znajdziesz wolną chwilę.

Dbaj o kopie zapasowe i upewnij się, że wiesz, jak je odtworzyć. Backup, którego nigdy nie sprawdzono, daje tylko złudne poczucie bezpieczeństwa.

Ogranicz liczbę zainstalowanych wtyczek do tych, których naprawdę używasz. Każdy dodatkowy element to kolejny fragment kodu, który trzeba utrzymywać i aktualizować.

Regularnie przeglądaj listę użytkowników mających dostęp do panelu administracyjnego. To prosta czynność, a potrafi uchronić przed wieloma problemami.

I najważniejsze – reaguj na każdą nietypową sytuację. Ostrzeżenie programu antywirusowego, wiadomość od klienta czy nagły problem z działaniem strony nigdy nie powinny być ignorowane.

Dlaczego coraz więcej firm decyduje się na stałą opiekę techniczną?

Jeszcze kilka lat temu wielu przedsiębiorców traktowało stronę internetową jak wizytówkę. Raz została wykonana i miała po prostu działać. Dzisiaj to często narzędzie sprzedaży, obsługi klientów i budowania wizerunku firmy.

Jeżeli przez stronę trafiają zapytania ofertowe, składane są zamówienia albo rezerwowane usługi, jej sprawność i bezpieczeństwo przestają być wyłącznie kwestią techniczną. Stają się elementem codziennego funkcjonowania biznesu.

Właśnie dlatego coraz więcej naszych klientów nie pyta już tylko o wykonanie strony internetowej. Pytają, kto będzie nad nią czuwał za miesiąc, za pół roku i za dwa lata.

I to jest bardzo dobra zmiana.

Bo opieka techniczna nie polega na tym, żeby pojawić się wtedy, gdy wydarzy się awaria. Największą wartością jest to, że wiele problemów udaje się wychwycić wcześniej albo całkowicie im zapobiec.

Tamten tydzień był intensywny. Mamy nadzieję, że kolejny taki nieprędko się powtórzy.

Nie publikujemy tego artykułu po to, żeby kogokolwiek przestraszyć. Wręcz przeciwnie.

Chcemy pokazać, że zagrożenia są realne, ale można się na nie przygotować. I że nawet jeśli dojdzie do incydentu, najważniejsze jest spokojne działanie, a nie przypadkowe decyzje podejmowane pod wpływem emocji.

Przez kilka dni pracowaliśmy praktycznie wyłącznie nad podobnymi zgłoszeniami. Każda kolejna analiza dawała nam nowe doświadczenia i utwierdzała w przekonaniu, że bezpieczeństwo stron internetowych będzie z roku na rok coraz ważniejszym tematem.

To nie był pierwszy taki incydent i z pewnością nie będzie ostatnim.

Dlatego zamiast zastanawiać się, czy warto dbać o bezpieczeństwo swojej strony, lepiej zadać sobie inne pytanie.

Czy wiesz, do kogo zadzwonisz, jeśli pewnego dnia ktoś poinformuje Cię, że z Twoją stroną dzieje się coś niepokojącego?

Jeżeli nie masz osoby lub firmy, która na co dzień opiekuje się Twoją stroną WordPress, warto pomyśleć o tym jeszcze zanim pojawi się pierwszy problem.

My właśnie od tego jesteśmy.

Nie po to, żeby straszyć zagrożeniami, ale żeby nasi klienci mogli spokojnie zajmować się prowadzeniem swoich firm, mając pewność, że nad stroną internetową ktoś czuwa.

Nie czekaj, aż problem zapuka do Twoich drzwi

Jeżeli nie masz osoby lub firmy, która na co dzień opiekuje się Twoją stroną WordPress, warto pomyśleć o tym jeszcze zanim pojawi się pierwszy problem.

Właśnie z takich doświadczeń powstał Support IT – usługa stałej opieki technicznej nad stronami WordPress. Dbamy o bieżące aktualizacje, monitorujemy działanie serwisu, wykonujemy kopie zapasowe i reagujemy wtedy, gdy liczy się każda minuta. Dzięki temu nasi klienci mogą skupić się na prowadzeniu swojej firmy, mając pewność, że nad ich stroną ktoś czuwa.

Mamy nadzieję, że podobna sytuacja długo się nie powtórzy. Jeżeli jednak pewnego dnia usłyszysz od klienta: „Program antywirusowy blokuje Waszą stronę”, będziesz wiedzieć, że warto działać od razu, a nie dopiero wtedy, gdy problem zacznie wpływać na Twój biznes.