Er jeres hjemmeside eller webshop hacket, så lad være med at gendanne fra backup eller rydde op, før der er taget en kopi af siden, som den ser ud nu, og før hostingudbyderen har gemt sine logs. Genopretningen skal nok ske hurtigt, men en time til sikring kan være forskellen på at vide, hvad der skete, og at gætte. Det er ejerens beslutning, ikke kun webbureauets.
Hvordan en hjemmeside teknisk sikres, er beskrevet i opslagsværket. Her handler det om, hvem der gør hvad, og hvad ejeren skal sørge for. → Bevissikring af en WordPress-hjemmeside
Typiske tegn
- Siden viser reklamer, mærkelige links eller sender besøgende videre til andre sider.
- Der er oprettet ukendte administratorer.
- Kunder skriver, at kortbetaling er gået galt, eller at de har fået mærkelige mails efter et køb.
- Hostingudbyderen har lukket siden eller sendt en advarsel.
- Google eller browseren advarer mod siden.
- Der er pludselig mange nye sider eller indlæg på andre sprog, som søgemaskinerne finder.
Hvad gør I nu, i rækkefølge
- Udpeg én ansvarlig hos jer. Typisk ejeren eller den daglige leder. Vedkommende træffer beslutningerne og fører en kort log.
- Ring til webbureauet og hostingudbyderen. Bed dem om at vente med oprydning, til der er taget en kopi. Bed om skriftlig bekræftelse.
- Bed hostingudbyderen gemme logs. Adgangslog, fejllog, log over FTP- og SSH-forbindelser og log fra kontrolpanelet. Mange udbydere gemmer dem kun kort.
- Få taget en fuld kopi af filer og database, som de er nu. Notér, hvem der tog den, hvornår og hvordan. Kopien skal opbevares et sted, hvor ingen arbejder videre i den.
- Tag siden ned eller i vedligeholdelse, hvis den skader besøgende. Det kan ske, efter kopien er taget, eller samtidig, hvis det haster.
- Vurder persondata. Har nogen kunnet se kundedata, ordrer eller loginoplysninger, kan det være et brud, der skal dokumenteres og måske anmeldes. → Persondatabrud: dokumentationen inden for 72 timer
- Underret forsikringen, før I bruger penge på genopretning, hvis I har en cyberforsikring.
- Genopret først derefter, og skift alle adgangskoder til administration, database, hosting og FTP.
Det skal sikres
- Filer og database, som de er nu · Hosting eller bureau
- Adgangs- og fejllogs · Hostingudbyderen
- Brugere og administratorer · Hjemmesidens administration
- Ordrer og betalinger i perioden · Webshop og betalingsudbyder
- Mails og advarsler om hændelsen · Ejer, bureau og hosting
Gem også de ældre backups, der findes. Det er dem, der kan vise, hvornår den skadelige kode kom ind. De må ikke slettes for at skabe plads.
Webshoppen: betalingssiden er særlig
Er det en webshop, skal I være ekstra opmærksomme på betalingssiden. Skadelig kode på betalingssiden kan opsnappe kundernes kortoplysninger, selv om selve betalingen sker hos en betalingsudbyder. Kontakt betalingsudbyderen med det samme, og bed dem om vejledning. Gem ordrer og logs fra perioden, så det senere kan opgøres, hvilke kunder der kan være berørt. → Webshops og detail
Hvis I ikke selv har adgang til hosting
I mange mindre virksomheder er det bureauet, der har kontoen hos hostingudbyderen, og ejeren har aldrig set kontrolpanelet. Det gør det svært at bede udbyderen om noget direkte. Find ud af med det samme, hvem der står som kunde hos udbyderen, og hvem der står som ejer af domænet. Bed bureauet sende en skriftlig anmodning til udbyderen om at gemme logs, og få en kopi af anmodningen. Notér, hvem I har talt med og hvornår. Står jeres virksomhed ikke som ejer af kontoen eller domænet, er det et punkt, I skal have rettet, når sagen er overstået.
Hvem gør hvad?
- Ejer · Beslutter rækkefølgen, underretter forsikring og kunder
- Webbureau · Tager kopi og genopretter efter aftale
- Hostingudbyder · Gemmer logs og backups
- Ansvarlig for persondata · Vurderer, om der er et brud
- IT-sagkyndig · Sikrer uvildigt, hvis ansvaret kan blive til tvist
Når ansvaret kan ligge hos bureauet
Har webbureauet en aftale om drift, opdateringer eller sikkerhed, kan spørgsmålet om ansvar hurtigt komme op. Var udvidelserne opdateret? Var der en kendt sårbarhed? Var adgangskoderne stærke? I det tilfælde er det ikke hensigtsmæssigt, at bureauet alene står for at dokumentere, hvad der skete.
Det betyder ikke, at I skal mistænke bureauet. Men bed om, at kopien og logs udleveres til jer, eller lad en uvildig tage kopien. Gem jeres aftale med bureauet, fakturaer for vedligeholdelse og mails om opdateringer. Hvis samarbejdet ender, og I skifter bureau, er der flere ting at sikre. → Skift af webbureau: dokumentér før flytning
Det må I ikke gøre
- Gendanne fra backup, før der er taget en kopi af den hackede side.
- Slette ukendte brugere og filer for at få det til at se pænt ud.
- Lade bureauet rydde op uden skriftlig aftale om, hvad der gemmes.
- Vente med at kontakte hosting, så logs når at udløbe.
- Skrive til kunderne om årsagen, før I kender den.
Hvad skriver I til kunderne?
Er kundedata berørt, kan I have pligt til at underrette dem. Skriv kort og sagligt: hvad der er sket, hvilke oplysninger der kan være berørt, hvad I har gjort, og hvad kunderne selv bør gøre, fx at holde øje med kontoudtog. Skriv ikke, hvem der har skylden, og lov ikke mere, end I ved. Gem en kopi af beskeden og en liste over modtagere.
Efter genopretningen
Når siden kører igen, så skriv en kort opsummering: hvornår I opdagede det, hvad kopien og logs viste, hvad der blev gjort, og hvad der er ændret. Læg den sammen med kopien og logs i en mappe, som kun få har adgang til. Hold øje med siden de næste uger. Det er ikke usædvanligt, at en side bliver ramt igen, hvis hullet ikke er fundet, og så er det en fordel, at I har den første kopi at sammenligne med. Aftal med bureauet, hvordan opdateringer og backup håndteres fremover, og skriv det ind i aftalen.
Forebyg næste gang
- Fast aftale om opdateringer, med dokumentation for hvornår de er lavet.
- Totrinsgodkendelse på administration, hosting og domæne.
- Backup, der gemmes et andet sted end hjemmesiden, og i flere versioner.
- Logs, der gemmes længe nok hos hosting, gerne i flere uger.
- En liste over, hvem der har adgang, opdateret, når nogen stopper.
Hvornår skal I have hjælp udefra?
Få hjælp, hvis kundedata eller betalinger kan være berørt, hvis der kan blive uenighed med bureauet om ansvaret, eller hvis forsikringen beder om en uvildig redegørelse. En IT-sagkyndig kan sikre hjemmesiden og logs, så de kan bruges over for forsikring, kunder og i en tvist. Hastesager koster ekstra. → Pris og tilbud
Læs også: Firmaets Facebook- eller Instagram-side er overtaget · Vi er blevet hacket: bevissikring efter et cyberangreb eller ransomware
→ Hacket eller snydt? Hjælp til virksomheden · Haster det? Akut hjælp · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
