Napadený web: co udělat hned a jak to ustát jako firma

Je pondělí ráno a majitelka e-shopu s doplňky stravy otevře poštu plnou zpráv od zákazníků. Někteří píšou, že se jim při nákupu zobrazila podezřelá reklama na padělané hodinky. Jiní hlásí, že jim prohlížeč rovnou vypsal varování: „Tento web může poškodit váš počítač.“ Tržby za víkend jsou nulové.

Web přitom navenek vypadá v pořádku, design sedí, produkty se načítají, nikdo nic neměnil. Problém je skrytý hlouběji: někdo se dostal dovnitř a přidal kód, který teď Google i prohlížeče hromadně blokují.

Přesně tahle situace potká v Česku týdně desítky firemních webů a e-shopů, a málokdo na ni má připravený postup. Nejčastější vstupní branou bývá zastaralý plugin, slabé heslo do administrace nebo zapomenutý testovací přístup, který zůstal otevřený roky po tom, co ho někdo naposledy použil.

Rozebereme, co udělat v první hodině, jestli máte podle zákona povinnost to někomu nahlásit, jak se web vrátí zpátky do Google a kolik vás taková oprava reálně bude stát.

Jak poznáte, že je web napadený

Jak poznáte, že je web napadený, nebývá vždy tak zjevné jako varování v prohlížeči. Útočníci často volí tišší cestu, protože čím déle zůstanou neodhalení, tím déle mohou web zneužívat.

• Google ve výsledcích zobrazuje jiný titulek nebo popisek, než jaký má stránka ve skutečnosti, typicky s reklamou na léky, padělky nebo hazard.
• Na webu se objeví nový administrátorský účet, který nikdo z týmu nevytvořil.
• Návštěvnost z Googlu spadne skokově během pár dní, aniž by tomu předcházela jakákoli změna na vaší straně.
• Web přesměrovává část návštěvníků jinam, často jen na mobilech nebo jen z určitých zemí, takže si toho z počítače v kanceláři nemusíte vůbec všimnout.
• Hosting nebo CDN služba vás sama upozorní na neobvykle vysoké vytížení serveru nebo podezřelý odchozí provoz.

Platí jednoduché pravidlo: cokoliv z uvedeného seznamu je důvod k okamžité kontrole, ne k vyčkávání, jestli problém zmizí sám.

Co udělat v první hodině

Co udělat v první hodině po zjištění, že je web napadený, se dá shrnout do čtyř kroků: odpojit, nic nemazat, zálohovat pro analýzu a změnit přístupy. Pořadí je důležité, protože unáhlený zásah umí napáchat víc škody než samotný útok.

1. Přepněte web do údržbového režimu, nebo ho dočasně odpojte. Zastavíte tím šíření škodlivého kódu k dalším návštěvníkům, aniž byste přišli o data potřebná k opravě.
2. Nic nemažte a neresetujte. Soubory, databázi i logy budete potřebovat jako důkaz pro forenzní analýzu a případné hlášení.
3. Udělejte kopii napadeného stavu stranou od produkčního webu. Teprve na téhle kopii pak hledejte, kudy útočník pronikl dovnitř.
4. Změňte všechna hesla a přístupové klíče, administraci, FTP, databázi, hosting i API klíče propojených služeb. Útočník mohl získat přístup přesně těmito cestami, takže staré heslo útok jen zopakuje.

Teprve po těchto čtyřech krocích má smysl volat odborníka na odstranění malwaru, ať už je to váš stávající správce webu, hosting, nebo specializovaná agentura.

Pomoct s orientací umí i rychlá kontrola, kdy přesně problém začal. Podívejte se na seznam naposledy upravených souborů na serveru a porovnejte datum s tím, kdy si poprvé někdo všiml problému. Hledejte soubory změněné v posledních dnech před nahlášením, obvykle jde o pár konkrétních souborů, ne o celý web, a právě tahle stopa nejrychleji ukáže, kudy útočník prošel.

Co určitě nedělat

Co určitě nedělat, je stejně důležité jako to, co udělat. Tři chyby se opakují nejčastěji a každá z nich prodlužuje dobu, než se web vrátí do normálu.

• Nemažte celý web a nezačínejte stavět znovu od nuly. Bez znalosti příčiny se napadený kód často vrátí i do nové instalace, pokud zůstane otevřená stejná bezpečnostní díra.
• Neposílejte nová hesla e-mailem ani přes chat, dokud nevíte, že útočník nemá přístup ke schránce nebo k historii komunikace.
• Nepodceňujte drobný nález. Jedna podezřelá reklama nebo jediný neznámý soubor bývá jen viditelná špička většího zásahu.
• Nezveřejňujte podrobnosti o útoku na sociálních sítích, dokud nemáte jasno v rozsahu škody. Předčasné veřejné přiznání bez faktů dokáže napáchat víc škody na pověsti než samotný incident.

Máte zákonnou povinnost to někomu nahlásit?

Zákonnou povinnost nahlásit napadení webu máte tehdy, pokud při útoku unikly nebo mohly uniknout osobní údaje zákazníků, třeba jména, e-maily, adresy nebo historie objednávek. Podle GDPR musí správce dat ohlásit porušení zabezpečení Úřadu pro ochranu osobních údajů (ÚOOÚ) do 72 hodin od chvíle, kdy se o něm dozví, pokud hrozí riziko pro práva dotčených lidí.

Pokud 72hodinovou lhůtu nestihnete, zákon to nepenalizuje automaticky, vyžaduje ale, abyste zpoždění zdůvodnili (čl. 33 GDPR). Lepší je ohlásit dřív s neúplnými informacemi a doplnit je později, než čekat na dokonalý přehled škod.

Pokud žádné osobní údaje zasažené nebyly, například šlo jen o přesměrování na podvodný e-shop bez přístupu k databázi zákazníků, ohlašovací povinnost se vás netýká. V nejistých případech je bezpečnější kontaktovat ÚOOÚ a nechat posouzení na něm, než riskovat pokutu za pozdní nebo chybějící hlášení.

Pokuty za porušení GDPR se počítají v řádech statisíců až milionů korun a odvíjí se hlavně od toho, jestli jste povinnost ignorovali úmyslně, nebo jste se jen zpozdili s omluvitelným důvodem. Správně a včas podané hlášení, i neúplné, působí jako důkaz, že jste problém řešili zodpovědně, a v praxi bývá klíčové pro to, jak úřad celou věc nakonec posoudí.

Co říct zákazníkům

Co říct zákazníkům, závisí na tom, jestli útok ohrozil jejich data, nebo jen dočasně vzhled a dostupnost webu. Mlčení ale není bezpečná volba v žádném z těchto případů, zákazníci si podezřelé chování stejně všimnou, ať už z reklamy, z pomalého načítání, nebo z varování prohlížeče.

Krátká věcná zpráva na webu i v e-mailu funguje líp než omluvné mlčení: co se stalo, co děláte pro nápravu a jestli mají zkontrolovat vlastní hesla nebo platby. Pokud unikly platební údaje, informujte zákazníky bezodkladně a doporučte jim kontaktovat banku. I když to zní nepříjemně, mlčení poškodí důvěru víc než přiznaná chyba.

Osvědčená struktura zprávy má tři části: co se stalo (jednou větou, bez technického žargonu), co už jste pro nápravu udělali, a co má zákazník udělat teď, například změnit heslo nebo zkontrolovat výpis z účtu. Zpráva delší než pět vět už působí jako omlouvání, ne jako informace k jednání.

Jak se web vrátí zpátky do Google

Jak se web vrátí zpátky do Google, patří k nejčastějším otázkám po vyřešení napadení, a zároveň k tématu, které většina technických návodů vynechává. Google napadený web obvykle označí bezpečnostním varováním přímo ve výsledcích vyhledávání nebo v prohlížeči, a návštěvnost tím spadne skokově, podobně jako při penalizaci, o které jsme psali v článku o Google Spam Update ze srpna 2026.

Postup návratu má tři kroky:

1. Zkontrolujte v Search Console sekci Zabezpečení a ruční akce. Google tam přesně popíše, jaký typ napadení detekoval a kterých stránek se to týká.
2. Po odstranění škodlivého kódu podejte žádost o kontrolu. Google web znovu projde a varování odstraní, pokud nic závadného nenajde.
3. Počítejte s čekací dobou. Samotná kontrola trvá obvykle několik dní až dva týdny, návrat na původní pozice ve vyhledávání pak může trvat další týdny podle toho, jak dlouho varování viselo.

Rychlost návratu nejvíc ovlivňuje to, jak rychle po zjištění napadení žádost podáte, a jestli má web prokazatelně čistou historii před útokem. Proto se vyplatí mít pravidelné zálohování webu nastavené už předem, ne až ve chvíli, kdy je potřeba.

Varování v prohlížeči a propad ve vyhledávání jsou technicky dvě různé věci, i když spolu souvisí. Bezpečnostní varování vychází ze systému Google Safe Browsing, který si libovolný návštěvník může ověřit zdarma přímo v nástroji Google Transparency Report, zadáním adresy webu. Propad pozic ve vyhledávání řeší samostatně tým Google pro kvalitu výsledků, a proto je potřeba vyřešit obě věci zvlášť, odstranění varování totiž automaticky nevrátí ztracené pozice.

Kolik to reálně stojí

Kolik to reálně stojí, se dá odhadnout jen v rozpětí, protože cena závisí na rozsahu napadení, velikosti webu a na tom, jestli máte prokazatelně čistou zálohu. Následující čísla jsou orientační tržní rozpětí ověřené z veřejných ceníků webových agentur a specialistů na zabezpečení, ne sazba jedné konkrétní firmy.

Do konečné ceny se obvykle promítá i to, jestli web běží na rozšířeném redakčním systému jako WordPress, kde je oprava rychlejší díky známým vzorům útoků, nebo na méně obvyklém řešení na míru, kde specialista musí nejdřív pochopit strukturu webu.

Do žádné z uvedených cen navíc není započítaná následná ochrana, tedy monitoring, pravidelné zálohování a aktualizace, která podobnému útoku do budoucna zabrání. Firmy, které po prvním napadení investují jen do opravy a zabezpečení neřeší dál, se podle zkušeností agentur se zabezpečením webů do podobné situace často dostanou znovu během jednoho až dvou let.

Pokud si od agentury necháváte udělat jen vyčištění bez návazné péče, počítejte s tím, že se vám podobná faktura může za rok nebo dva vrátit na stůl znovu. V nabídce proto vždy srovnávejte nejen cenu za jednorázový zásah, ale i to, jestli součástí je i následné nastavení monitoringu a aktualizací, protože to je rozdíl mezi opravou a skutečnou prevencí.

Naše praxe: svépomoc, nebo agentura?

Svépomoc dává smysl, pokud máte ve firmě někoho technicky zdatného a napadení je omezené, třeba jediný přesměrovací skript na jinak čistém webu. Agentura nebo specialista na zabezpečení se vyplatí ve chvíli, kdy jde o e-shop se zákaznickými daty, kdy si nejste jistí rozsahem škody, nebo kdy vám běží čas kvůli ohlašovací povinnosti.

Rozhodování usnadní jedna jednoduchá otázka: pokud byste museli chybu v nahlášení nebo v opravě obhajovat před zákazníkem, bankou nebo úřadem, raději si přizvěte odborníka. Cena za pár hodin konzultace bývá zanedbatelná ve srovnání s cenou za chybně provedenou nápravu, kterou je potřeba dělat podruhé.

Naše praxe: u jednoho klienta, menšího e-shopu se zahradní technikou, jsme po napadení nejdřív prošli serverové logy a zjistili, že útočník využil zastaralou verzi pluginu, kterou si klient sám před rokem nainstaloval a pak zapomněl aktualizovat. Oprava samotná trvala den, většinu času jsme ale strávili ověřováním, že se útočník nedostal i k databázi objednávek, protože to rozhodovalo, jestli vzniká ohlašovací povinnost vůči ÚOOÚ. Nevznikla, bez téhle kontroly by ale klient riskoval pokutu za nenahlášení.

Jak podobné situaci příště předejít

Jak podobné situaci příště předejít, se dá shrnout do tří návyků, které většinu útoků zastaví dřív, než se vůbec stanou problémem.

• Pravidelné zálohování webu mimo samotný server, ideálně automatizované a s historií aspoň 30 dní zpátky.
• Aktuální SSL certifikát a průběžné aktualizace redakčního systému, pluginů a šablon, protože většina útoků cílí na známé díry ve starých verzích.
• Kvalitní webhosting s vlastním firewallem a monitoringem podezřelého provozu, ne nejlevnější tarif bez jakékoli ochrany.
• Dvoufázové ověření a omezený počet přihlašovacích pokusů do administrace, ideálně i omezení přístupu jen na konkrétní IP adresy, pokud do redakčního systému přistupuje jen pár lidí z firmy.

Pokud web zrovna stěhujete k jinému poskytovateli nebo plánujete větší technickou obnovu, je to dobrá příležitost projít zabezpečení od základu, podobně jako popisujeme v článku o migraci webu bez ztráty pozic. A pokud si najímáte agenturu nebo vývojáře na údržbu webu, vyplatí se mít odpovědnost za zabezpečení a zálohování ošetřenou přímo ve smlouvě na tvorbu nebo správu webu, ne jen domluvenou ústně.

Časté otázky o napadeném webu

Napadený web není konec byznysu, je to technický problém s jasným postupem: odpojit, nemazat, zálohovat, zkontrolovat zákonné povinnosti, informovat zákazníky a požádat Google o kontrolu. Čím rychleji podle něj začnete postupovat, tím kratší bude doba, než se vrátíte na původní pozice i tržby.

Pokud si nejste jistí, jak na vašem webu poznat rozsah napadení, nebo potřebujete s opravou a hlášením pomoct, ozvěte se nám v Apadore. Podobné situace řešíme pravidelně a dokážeme poradit i v krizové chvíli.