Nettsiden er hacket: dette gjør du nå

Kort svar: ta siden ned eller sett den i vedlikeholdsmodus, bytt alle passord fra en ren maskin og slå på tofaktor, ta en kopi av den hackede siden som bevis, og gjenopprett fra en ren sikkerhetskopi eller rens siden. Er personopplysninger kommet på avveie, må du som regel melde fra til Datatilsynet innen 72 timer. Ikke slett noe før du har sikret bevis og forstått hvordan angriperen kom inn.

Hvordan vet du at nettsiden er hacket?

De vanligste tegnene er at Google eller nettleseren viser en advarsel, at siden sender besøkende videre til spam eller svindel, eller at det dukker opp sider og brukere du ikke har laget.

• Chrome viser en rød advarsel om at siden er farlig eller villedende.
• Besøkende fra Google blir sendt til en annen side, ofte bare på mobil, så du ser det ikke selv.
• Et søk på site:dittdomene.no i Google viser sider med japansk tekst, piller, kasino eller lignende.
• Det finnes nye administratorbrukere i WordPress eller hostingpanelet som ingen i bedriften kjenner til.
• Webhotellet har stengt kontoen eller sendt e-post om skadevare eller spamutsending.
• Kunder får e-post fra domenet ditt som du ikke har sendt.
• Google Search Console varsler om sikkerhetsproblemer.

Steg 1: stopp skaden de første timene

Det første du skal gjøre, er å hindre at angrepet rammer flere besøkende, og sikre at angriperen mister tilgangen.

1. Sett siden i vedlikeholdsmodus eller ta den ned. Hos de fleste webhotell kan du midlertidig stenge siden fra kontrollpanelet. Det er bedre å være nede noen timer enn å spre skadevare til kundene dine.
2. Bruk en annen maskin. Er det mulig at din egen PC er infisert, for eksempel fordi passordet ble stjålet derfra, bytter du passord fra en annen enhet.
3. Bytt alle passord. Hostingkonto, FTP eller SFTP, database, administratorkontoer i publiseringsløsningen, e-post, domeneregistrar, GitHub og eventuelle API-nøkler. Start med e-posten, fordi den brukes til å nullstille alt annet.
4. Slå på tofaktorautentisering overalt der det finnes.
5. Logg ut alle økter og fjern brukere du ikke kjenner.
6. Ta en kopi av den hackede siden med filer, database og logger før du endrer noe mer. Du trenger den for å finne ut hvordan angriperen kom inn, og som dokumentasjon hvis du skal anmelde.

Steg 2: finn ut hvordan angriperen kom inn

De fleste angrep på små bedriftssider skjer gjennom utdaterte utvidelser, svake eller gjenbrukte passord, eller lekkede nøkler. Det er sjelden noe avansert.

Sjekk tilgangsloggene hos webhotellet for rare forespørsler rundt tidspunktet angrepet startet, og se etter filer med nylig endringsdato. Har siden blitt laget med KI-verktøy, er lekkede nøkler og manglende tilgangsregler i databasen de vanligste synderne. Les guiden om lekket API-nøkkel og vanlige sikkerhetsfeil.

Steg 3: rens eller gjenopprett siden

Den sikreste løsningen er å gjenopprette fra en sikkerhetskopi tatt før angrepet, og deretter tette hullet før siden går live igjen.

1. Finn en ren sikkerhetskopi. Gå tilbake til en dato du vet var før angrepet. Mange angrep ligger skjult i uker før de oppdages, så velg heller for gammel enn for ny.
2. Har du ingen ren kopi, installer publiseringsløsningen, tema og utvidelser på nytt fra offisielle kilder, og flytt bare over innhold og bilder etter å ha sjekket dem.
3. Oppdater alt til siste versjon og fjern utvidelser og temaer du ikke bruker.
4. Skann siden. Bruk sikkerhetsskanning hos webhotellet eller en anerkjent sikkerhetsutvidelse, og sjekk siden med Google Safe Browsing.
5. Bytt nøkler igjen. Alle API-nøkler, databasepassord og hemmelige nøkler i konfigurasjonsfiler skal byttes etter at siden er renset.

Er siden bygget som en statisk side på GitHub og Vercel eller lignende, er jobben ofte enklere: rull tilbake til en tidligere commit, bytt tilgangsnøkler og publiser på nytt. Det er en av grunnene til at vi anbefaler statiske sider, se guiden om å publisere nettside gratis.

Må du varsle Datatilsynet?

Ja, hvis angrepet har ført til at personopplysninger er kommet på avveie, endret eller blitt utilgjengelige, må du som hovedregel melde avviket til Datatilsynet innen 72 timer etter at du ble klar over det.

Dette følger av GDPR artikkel 33. Unntaket er hvis det er usannsynlig at bruddet medfører risiko for personene det gjelder. Er risikoen høy, for eksempel hvis passord, helseopplysninger eller betalingsinformasjon er lekket, må du også varsle de berørte selv etter artikkel 34. Avviksmelding sendes via skjemaet på datatilsynet.no. Du kan sende en foreløpig melding og fylle på senere, så vent ikke på at alt er avklart. Du skal også dokumentere avviket internt, også når du ikke melder det.

Typiske personopplysninger på en nettside er kontaktskjemaer, kundekontoer, bestillinger, nyhetsbrevlister og bookinger. Har siden bare vært en ren informasjonsside uten skjemaer eller brukere, er det mindre sannsynlig at du har meldeplikt, men vurder det konkret. Mer om reglene finner du i guiden om KI og personvern.

Hvem andre bør du varsle?

I tillegg til Datatilsynet bør du vurdere å varsle politiet, webhotellet, kundene dine og Google.

• Politiet: datainnbrudd er straffbart, og en anmeldelse kan være nødvendig for forsikringen. Anmeld via politiet.no.
• NSM: Nasjonalt cybersikkerhetssenter i NSM samler oversikt over digitale angrep i Norge, og har en ordning med godkjente leverandører av hendelseshåndtering hvis du trenger profesjonell hjelp.
• Webhotellet eller hostingleverandøren: de kan ofte hjelpe med logger og opprydding, og trenger å vite det hvis serveren deres er misbrukt.
• Forsikringsselskapet: sjekk om bedriftsforsikringen dekker cyberhendelser.
• Google: når siden er ren, ber du om ny vurdering under Sikkerhetsproblemer i Google Search Console. Advarselen forsvinner vanligvis i løpet av noen dager. Se guiden om Google Search Console.

Hvordan hindrer du at det skjer igjen?

De fleste angrep stoppes av tre enkle tiltak: automatiske oppdateringer, tofaktor på alle kontoer og jevnlige sikkerhetskopier som lagres et annet sted enn selve siden.

• Slå på automatiske oppdateringer for publiseringsløsning og utvidelser, eller ha en avtale med noen som gjør det jevnlig.
• Bruk en passordbehandler og unike passord for hver tjeneste.
• Ta automatiske sikkerhetskopier daglig eller ukentlig, og test at du faktisk klarer å gjenopprette.
• Hold antall administratorbrukere nede, og fjern tilgang for folk som har sluttet.
• Legg aldri API-nøkler i kode som havner på nettsiden eller i et offentlig repo.
• Vurder om du trenger en tung publiseringsløsning i det hele tatt. En statisk side har svært lite å angripe.

Vil du lese mer om hvordan du bygger trygt fra starten, har vi skrevet om sikkerhet når du bygger med KI.

Hva koster det å fikse en hacket nettside?

Prisen varierer fra noen timers arbeid til en helt ny nettside, avhengig av hvor dypt angrepet sitter og om du har en ren sikkerhetskopi.

Med en fersk og ren sikkerhetskopi kan jobben være gjort på et par timer. Uten kopi, og med et angrep som har spredd seg til databasen og flere filer, kan opprydding bli både dyrt og usikkert. Da er det ofte bedre å bygge siden på nytt på en tryggere plattform enn å betale for å lappe den gamle, særlig hvis den bygger på en utdatert WordPress-installasjon med mange utvidelser. En enkel, statisk bedriftsside er i dag ofte rimeligere å bygge på nytt enn mange tror.