Bezpieczeństwo strony małej firmy – podstawowe zasady

Właściciele małych firm często zakładają, że ich strona nikogo nie interesuje. Kto miałby się włamywać na wizytówkę gabinetu fizjoterapii albo firmy remontowej? Problem w tym, że wiele ataków nie jest wymierzonych w konkretną firmę. Automatyczne programy przeszukują internet w poszukiwaniu stron z nieaktualnym oprogramowaniem, słabymi hasłami i znanymi lukami. Nie wybierają ofiar po nazwie, tylko po tym, co da się łatwo otworzyć.

Dobra wiadomość: przed większością takich zagrożeń chronią proste, regularne czynności. Nie trzeba być informatykiem, żeby wiedzieć, o co zadbać i o co zapytać osobę, która opiekuje się stroną.

Po co ktoś miałby się włamywać na małą stronę

Przejęta strona jest dla atakujących narzędziem. Może posłużyć do rozsyłania spamu z Twojego serwera, ukrywania linków do podejrzanych serwisów, podstawiania fałszywych stron logowania do banków albo przekierowywania odwiedzających w zupełnie inne miejsca. Bywa, że właściciel długo niczego nie zauważa, bo zmiany są widoczne tylko dla części odwiedzających albo dla wyszukiwarki.

Skutki odczuwasz jednak Ty: przeglądarki i wyszukiwarka mogą ostrzegać przed wejściem na stronę, firma hostingowa może zablokować konto, a klienci tracą zaufanie. Do tego dochodzi czas i koszt sprzątania.

Aktualizacje – nudne, ale najważniejsze

Jeśli strona działa na systemie do zarządzania treścią, np. WordPressie, składa się z rdzenia systemu, szablonu i wtyczek. Każdy z tych elementów jest co jakiś czas aktualizowany, często właśnie po to, by załatać wykryte luki. Strona, której nikt nie aktualizuje od roku czy dwóch, jest łatwym celem.

• Aktualizuj system, szablon i wtyczki regularnie, a przed większymi aktualizacjami zrób kopię zapasową.
• Usuń wtyczki i szablony, z których nie korzystasz. Wyłączona wtyczka wciąż leży na serwerze.
• Instaluj dodatki tylko z zaufanych źródeł i takie, które są nadal rozwijane przez autorów.
• Nie korzystaj z „darmowych” wersji płatnych dodatków pobranych z przypadkowych stron – to częsta droga dla złośliwego kodu.

Strony pisane od podstaw, bez systemu z wtyczkami, mają mniej elementów do aktualizowania, ale też nie są zwolnione z tego obowiązku – oprogramowanie serwera również wymaga aktualizacji. Różnice między tymi podejściami opisujemy w tekście WordPress czy strona tworzona od podstaw.

Hasła i dostępy

Drugą typową furtką są dane logowania. Chodzi nie tylko o panel strony, ale o wszystkie miejsca, z których da się nią sterować: panel hostingu, panel domeny, skrzynkę pocztową, na którą przychodzą linki do resetowania haseł.

• Każde konto powinno mieć długie i niepowtarzalne hasło. Najprościej korzystać z menedżera haseł.
• Włącz weryfikację dwuetapową wszędzie, gdzie to możliwe – szczególnie w panelu domeny, hostingu i poczty.
• Każda osoba powinna mieć własne konto, a nie wspólny login „admin” znany całemu zespołowi.
• Nadawaj tylko takie uprawnienia, jakie są potrzebne. Osoba, która dodaje wpisy na bloga, nie musi mieć dostępu do instalowania wtyczek.
• Gdy kończysz współpracę z pracownikiem lub wykonawcą, usuń jego konta albo zmień hasła tego samego dnia.

Osobna sprawa to fałszywe wiadomości. Atakujący często podszywają się pod firmę hostingową, rejestratora domeny albo dostawcę poczty: „Twoja domena wygasa, zaloguj się, aby ją odnowić” albo „Skrzynka jest pełna, potwierdź hasło”. Link prowadzi do łudząco podobnej strony logowania, która przechwytuje hasło. Bezpieczny nawyk jest prosty: do paneli loguj się zawsze, wpisując adres samodzielnie lub z zapisanej zakładki, a nie z linku w mailu. W razie wątpliwości zadzwoń do dostawcy lub osoby, która opiekuje się stroną.

Formularze, spam i dane klientów

Formularz kontaktowy to brama, przez którą obok zapytań klientów mogą wpadać tysiące automatycznych wiadomości. Zabezpieczenie przed spamem powinno działać w tle i nie utrudniać życia prawdziwym klientom – dobrze ustawiony filtr nie każe nikomu przepisywać nieczytelnych liter.

Zastanów się też, jakie dane zbierasz. Formularz na stronie to zwykle nie najlepsze miejsce do przesyłania skanów dokumentów, wyników badań czy numerów PESEL. Im mniej danych zbierasz, tym mniej masz do chronienia. Strona powinna też działać wyłącznie przez szyfrowane połączenie HTTPS, żeby dane z formularza nie wędrowały otwartym tekstem.

Kopie zapasowe i plan na wypadek włamania

Żadne zabezpieczenie nie daje stuprocentowej pewności. Dlatego tak ważne są kopie zapasowe strony przechowywane także poza serwerem. Jeśli coś pójdzie nie tak, czysta kopia pozwala wrócić do działającej wersji w ciągu godzin, a nie dni.

Gdy podejrzewasz włamanie – strona wyświetla dziwne treści, przekierowuje gdzie indziej, hosting informuje o wysyłce spamu – działaj w tej kolejności:

1. Skontaktuj się z osobą, która opiekuje się stroną, albo z firmą hostingową.
2. Zmień hasła do panelu strony, hostingu, domeny i poczty, najlepiej z innego, zaufanego urządzenia.
3. Przywróć stronę z kopii sprzed włamania i ustal, którędy atakujący się dostał, żeby problem nie wrócił.
4. Jeśli mogło dojść do wycieku danych osobowych, sprawdź swoje obowiązki wynikające z RODO. Zgłoszenie do Prezesa UODO składa się co do zasady w ciągu 72 godzin od stwierdzenia naruszenia, chyba że jest mało prawdopodobne, by spowodowało ono ryzyko dla osób, których dane dotyczą. W konkretnej sprawie warto skonsultować się z prawnikiem lub inspektorem ochrony danych.

Incydenty bezpieczeństwa można też zgłaszać do CERT Polska, który pomaga w ich obsłudze.

Lista kontrolna na co kwartał

• Czy system, szablon i wtyczki są aktualne?
• Czy lista osób z dostępem do strony, hostingu i domeny jest aktualna?
• Czy weryfikacja dwuetapowa jest włączona w najważniejszych panelach?
• Czy kopie zapasowe są wykonywane i czy ktoś ostatnio sprawdził, że da się je przywrócić?
• Czy formularz kontaktowy działa i nie przepuszcza zalewu spamu?
• Czy certyfikat SSL jest ważny, a strona otwiera się przez HTTPS?
• Czy domena i hosting są opłacone, a powiadomienia o płatnościach trafiają do skrzynki, którą ktoś czyta?

Jeśli nie chcesz pilnować tego samodzielnie, te zadania zwykle obejmuje opieka techniczna nad stroną. Wtedy Twoja rola sprowadza się do tego, by raz na jakiś czas poprosić o krótkie potwierdzenie, że wszystkie punkty z listy są odhaczone.