Plan de recuperare după atac WordPress: backup, restaurare, lecții

Există o diferență mare între a avea backup și a avea un plan de recuperare. Backup-ul este o copie. Planul răspunde la întrebări concrete: cine hotărăște ce se întâmplă când site-ul cade, de unde iau copia, în cât timp pot reveni online, ce spun clienților și cum evit să se repete. Mulți descoperă diferența în cel mai prost moment, când au o arhivă de care nu știu dacă se poate folosi.

Un plan bun se scrie la liniște, nu în mijlocul incidentului. Nu trebuie să fie un document de zeci de pagini. O pagină sau două, cu pași clari și date de contact corecte, sunt mai valoroase decât un manual pe care nu îl citește nimeni. Mai jos construim planul bucată cu bucată, cu exemple și o listă de verificare la final.

Ce înseamnă „recuperare" și de ce nu se reduce la backup

Recuperarea după un atac înseamnă să readuci site-ul la o stare sigură și funcțională și să închizi cauza care a permis atacul. Include patru laturi:

1. Datele: fișierele, baza de date, conținutul adăugat de utilizatori.
2. Timpul: cât durează până revii online.
3. Siguranța: versiunea restaurată nu trebuie să conțină deja problema.
4. Comunicarea: cei afectați trebuie să afle la timp ce s-a întâmplat.

Dacă ai backup, dar nu știi cât durează restaurarea sau dacă acea copie e curată, ai rezolvat doar prima latură.

Doi termeni utili: RPO și RTO

În planificarea continuității se folosesc două noțiuni simple:

• RPO (punctul de recuperare): cât de mult conținut ești dispus să pierzi. Dacă faci backup zilnic și site-ul cade chiar înainte de următoarea copie, pierzi aproape o zi de activitate. Pentru un blog, e posibil acceptabil; pentru un magazin cu comenzi continue, probabil nu.
• RTO (timpul de recuperare): cât timp poți suporta ca site-ul să fie indisponibil. Răspunsul diferă între un site de prezentare și un magazin online.

Nu e nevoie să folosești sigla; ajunge să răspunzi în scris la două întrebări: „Cât conținut pot pierde?" și „Cât timp pot fi offline?". Răspunsurile îți dictează frecvența backup-urilor și metoda de restaurare.

Ce salvezi: lista completă

Un backup util cuprinde:

• Baza de date, unde sunt articolele, paginile, utilizatorii, setările, comenzile și comentariile.
• Folderul wp-content, cu temele, extensiile și fișierele încărcate (imagini, documente).
• Fișierul wp-config.php, cu setările de conectare la baza de date.
• Fișierul .htaccess (sau configurația echivalentă), cu regulile de adrese și de redirecționare.
• Alte fișiere personalizate din rădăcina site-ului, dacă există.

Backup-ul este una dintre măsurile din ghidul securitate WordPress: 15 măsuri esențiale. Notează separat, în afara site-ului: versiunea de PHP și de WordPress folosite, lista extensiilor și datele de acces la hosting, registrar și DNS. Când refaci un site de la zero, aceste informații economisesc ore întregi.

Regula 3-2-1, pe înțelesul tuturor

O regulă simplă și răspândită în practica backup-ului este 3-2-1:

• 3 copii ale datelor (originalul și două backup-uri).
• 2 tipuri diferite de stocare (de exemplu, serverul hostingului și un serviciu de stocare în cloud).
• 1 copie în afara locației principale (alt furnizor, alt cont).

Pentru un site WordPress, o aplicare practică este: backup automat zilnic pe hosting, plus o copie trimisă într-un serviciu extern, plus o descărcare lunară pe un dispozitiv propriu. Important: copia externă trebuie protejată cu parolă și 2FA, altfel devine și ea o țintă.

Cât de des și cât de mult păstrezi

Frecvența depinde de ritmul în care se schimbă conținutul.

Valorile sunt orientative; ajustează-le după RPO. Păstrează mai multe versiuni, nu doar ultima. Dacă infecția a început acum zece zile, backup-ul de ieri o conține deja, iar tu ai nevoie de unul mai vechi. O politică simplă ar putea fi: ultimele zile, câteva săptămâni și câteva luni, în funcție de spațiul disponibil.

Verifică-ți backup-urile: testul de restaurare

Cel mai frecvent punct slab nu este lipsa copiei, ci faptul că nu a fost niciodată testată. Un backup incomplet, corupt sau lipsit de parola pentru deschidere nu te ajută. Fă măcar o dată pe trimestru:

1. Creează un mediu de test (un subdomeniu protejat sau un spațiu local).
2. Restaurează cel mai recent backup acolo.
3. Verifică: se încarcă pagina principală, funcționează autentificarea, se văd imaginile, merge coșul de cumpărături.
4. Notează cât a durat restaurarea. Acesta este RTO-ul tău real.
5. Remediază problemele găsite (arhive incomplete, parole uitate, versiuni de PHP incompatibile).

Nu testa niciodată restaurarea direct pe site-ul de producție ca prim experiment.

Planul pas cu pas pentru ziua incidentului

Iată un schelet care poate fi adaptat. Pentru partea de identificare a infecției și curățare în detaliu, consultă ghidul site WordPress infectat: ce faci în primele ore.

Faza 1: Confirmare și limitare (primele minute)

• Confirmă incidentul: ce simptome ai, cine le-a observat, de când.
• Pune site-ul în mentenanță sau restricționează accesul dacă vizitatorii sunt afectați.
• Înștiințează persoanele din plan: hostingul, dezvoltatorul, persoana responsabilă.
• Notează ora și acțiunile întreprinse.

Faza 2: Securizare (prima oră)

• Schimbă parolele (WordPress, hosting, FTP, baza de date, email).
• Activează 2FA unde lipsește.
• Salvează o copie a stării actuale pentru analiză, separat de backup-urile curate.

Faza 3: Alegerea punctului de restaurare

• Caută primul semn al problemei (ultima modificare suspectă, primul mesaj, prima alertă).
• Alege cel mai recent backup dinaintea acelui moment.
• Dacă nu știi data exactă, testează în mediul de test mai multe versiuni, începând de la cele mai noi.

Faza 4: Restaurarea

1. Șterge integral fișierele site-ului compromis (nu suprascrie peste ele) și, dacă e posibil, recreează baza de date goală.
2. Restaurează fișierele și baza de date din copia aleasă.
3. Actualizează imediat WordPress, temele și extensiile, pentru a închide vulnerabilitatea.
4. Revizuiește utilizatorii și rolurile.
5. Rulează o scanare completă.

Faza 5: Verificare înainte de relansare

• Testează fluxurile critice: comenzi, formulare, autentificare.
• Verifică redirecționările și paginile indexate.
• Urmărește jurnalul de acces și alertele pentru încercări de reintrare.

Faza 6: Revenirea și monitorizarea

• Scoate site-ul din mentenanță.
• Urmărește îndeaproape primele zile.
• Programează o analiză după incident (vezi mai jos).

Comunicarea în timpul și după incident

Un plan complet include și cine vorbește cu cine.

Intern: stabilește o persoană care coordonează. Evită ca zece oameni să încerce simultan să remedieze lucruri, pentru că se suprapun și strică dovezile.

Clienți și parteneri: dacă site-ul este afectat vizibil sau dacă există riscul ca datele lor să fi fost expuse, un mesaj scurt și onest este mai bun decât tăcerea. Spune ce s-a întâmplat, ce ai făcut, ce urmează și ce ar trebui ei să facă (de exemplu, să-și schimbe parola).

Aspecte legale: dacă site-ul prelucrează date personale și există indicii de expunere, pot exista obligații de notificare conform GDPR. Nu oferim sfaturi juridice; discută cu responsabilul pentru protecția datelor sau cu un consultant și consultă ghidurile autorității naționale de supraveghere.

Motoare de căutare și furnizori: dacă apar avertismente, folosește instrumentele oficiale (de exemplu Google Search Console) pentru a solicita reevaluarea după curățare. Răspunsul nu poate fi garantat ca timp.

Analiza după incident: lecțiile

După ce lucrurile revin la normal, ia o oră pentru o analiză fără vinovați. Întrebările utile:

1. Cum au intrat atacatorii? (extensie, parolă, cont de hosting, alt furnizor)
2. Cum am aflat? Ne-a spus cineva sau am observat noi? Cât a durat până am observat?
3. Ce a mers bine în plan? Ce a întârziat?
4. A fost backup-ul util? A lipsit ceva din el?
5. Ce schimbăm: proceduri, instrumente, acces, instruire?

Notează răspunsurile și actualizează planul. Un plan care nu se îmbunătățește după fiecare incident devine rapid învechit.

Lista de verificare a planului (pentru tipărit)

• Backup automat al bazei de date și al fișierelor
• Cel puțin o copie în afara serverului principal
• Mai multe versiuni păstrate
• Test de restaurare făcut în ultimele trei luni
• Lista persoanelor de contact (hosting, dezvoltator, responsabil)
• Parolele critice într-un manager de parole, cu acces pentru cel puțin două persoane de încredere
• 2FA activat pe conturile importante
• Alerte pe email pentru modificări de fișiere și autentificări suspecte
• Șablon de mesaj către clienți
• Data următoarei revizuiri a planului

Greșeli frecvente

• Backup doar pe același server. Dacă serverul este compromis sau pierdut, dispar ambele.
• Păstrarea unei singure versiuni. O copie făcută după infectare poate suprascrie ultima copie curată.
• Backup care nu include baza de date sau fișierele încărcate. Rezultatul: un site fără conținut sau fără imagini.
• Parole de acces la backup uitate sau stocate doar în site. Când site-ul cade, nu le mai găsești.
• Netestarea restaurării. O arhivă care nu se deschide este o iluzie de siguranță.
• Restaurarea fără a închide vulnerabilitatea. Site-ul revine la viață, dar și atacatorul.
• Lipsa unui responsabil. Când toată lumea știe că „cineva se ocupă", adesea nu se ocupă nimeni.
• Planul păstrat doar pe site. Ține o copie tipărită sau într-un loc independent.

Întrebări frecvente

De câte backup-uri am nevoie?

Depinde de cât conținut poți permite să pierzi și de cât spațiu ai. Ca regulă practică, ai o copie recentă pe hosting, una externă și câteva versiuni mai vechi, ca să poți merge înapoi dacă infecția a trecut neobservată.

Pot folosi doar backup-ul oferit de hosting?

Este un început bun, dar nu ar trebui să fie singurul. Dacă ți se suspendă contul sau serverul are o problemă, copiile de acolo pot fi indisponibile. O copie externă, controlată de tine, adaugă siguranță.

Cum aflu care backup este încă curat?

Restaurează versiunile pe rând într-un mediu de test, începând de la cea mai recentă, și scanează-le. Corelează apoi data cu primele semne ale atacului din loguri, alerte sau mesaje.

Cât durează, în general, să recuperezi un site?

Nu există un răspuns universal: depinde de mărimea site-ului, de metoda de backup și de dificultatea găsirii cauzei. De aceea contează testul de restaurare, care îți arată timpul real pentru situația ta.

Cum te ajută Leono Security

Un plan de recuperare funcționează mai bine dacă afli devreme că ceva nu e în regulă. Leono Security este conceput să te ajute cu alerte pe email și monitorizare: pagina despre monitorizarea și alertele de securitate descrie ce evenimente pot fi urmărite, iar pagina produsului prezintă ansamblul funcțiilor. Produsul detectează și alertează; restaurarea și curățarea rămân pași pe care îi controlezi tu, cu ajutorul planului de mai sus.

Concluzie

Un plan de recuperare este, în esență, o listă de răspunsuri date din timp: ce salvezi, unde, cât de des, cum restaurezi, cine face ce și ce spui celorlalți. Începe cu o pagină: stabilește cât conținut și cât timp îți permiți să pierzi, aplică regula 3-2-1, testează o restaurare și notează contactele importante. După fiecare incident, ajustează planul. Un atac nu poate fi exclus cu totul, dar poate deveni o problemă de câteva ore, nu una care pune în pericol afacerea.