PrestaShop po włamaniu — naprawa i utwardzenie [2026]

Włamanie na sklep PrestaShop najczęściej objawia się przekierowaniami do obcych stron, wyskakującymi reklamami, dziwnymi skryptami w kodzie albo spamem wysyłanym z serwera. Złośliwy kod w sklepie to nie tylko problem SEO — to wyciek danych klientów, blokada Google i utrata zaufania. Naprawa wymaga więcej niż usunięcia plików: trzeba znaleźć punkt wejścia, oczyścić sklep, zrotować wszystkie dostępy i utwardzić system. Usunięcie malware z utwardzeniem: 800–2 500 zł netto, w skomplikowanych przypadkach wycena indywidualna.

Najważniejsze: Naprawa sklepu PrestaShop po włamaniu w 7 krokach: 1) odizoluj sklep (tryb offline, blokada ruchu), 2) zrób kopię dowodową przed czyszczeniem, 3) znajdź złośliwy kod (porównanie plików, logi dostępu, skaner), 4) ustal punkt wejścia (podatny moduł, stary PrestaShop, słabe hasło, backdoor), 5) wyczyść i załataj, 6) zrotuj hasła, klucze API i sekrety, 7) utwardź sklep i ustaw monitoring. Same usunięcie plików bez zamknięcia luki = powtórne włamanie w ciągu dni.

• ## Krok 1: Odizoluj sklep

Zanim zaczniesz cokolwiek czyścić, odetnij atakującemu dostęp do sklepu

• włącz tryb offline (panel → Parametry sklepu → Tryb konserwacji) albo blokadę IP,
• jeśli masz dostęp do serwera, ogranicz ruch do swojego adresu IP,
• nie usuwaj jeszcze niczego — atakujący wciąż ma dostęp, a Ty potrzebujesz danych do analizy.

Jeśli sklep wysyła spam albo wykonuje ruch wychodzący, poinformuj hosting — mogą zablokować konto pocztowe lub ograniczyć ruch, zanim trafisz na blacklisty.

• ## Krok 2: Kopia dowodowa

Przed czyszczeniem zrób kopię CAŁEGO środowiska: plików i bazy. To nie jest kopia do przywrócenia (jest zainfekowana) — to materiał dowodowy do analizy:

• porównasz pliki z czystą instalacją tej samej wersji,
• sprawdzisz, co dokładnie zostało zmienione i kiedy,
• w razie eskalacji (wyciek danych, roszczenia klientów) będziesz mieć dokumentację incydentu.

Kopię trzymaj poza serwerem produkcyjnym.

• ## Krok 3: Znajdź złośliwy kod

Najskuteczniejsza metoda to porównanie z czystą instalacją

1. pobierz czystą wersję swojego PrestaShop (np. 8.1.x) ze strony oficjalnej,
2. porównaj katalogi modules/, themes/, override/ oraz pliki główne,
3. pliki różniące się od oryginału — przejrzyj każdy; nowe pliki .php w katalogach img/, upload/, var/ to prawie zawsze backdoory,
4. dodatkowo przeskanuj sklep skanerem malware (np. maldet, skaner hostingu).

Szukaj typowych śladów

• zakodowane ciągi base64_decode, eval(, gzinflate, preg_replace z /e,

• ukryte iframe'y i skrypty w plikach motywu (header.tpl, footer.tpl),

• wpisy w .htaccess przekierowujące ruch (np. po User-Agent Googlebota),

• nieznane zadania cron i konta administratorów.

• ## Krok 4: Ustal punkt wejścia

Bez znalezienia luki sklep zostanie zainfekowany ponownie. Najczęstsze punkty wejścia

Przejrzyj logi dostępu z ostatnich tygodni: nietypowe żądania POST do plików .php w modules/, admin/ czy katalogach uploadu to klasyczny ślad eksploatacji.

• ## Krok 5: Wyczyść i załataj

Czyszczenie rób świadomie

• usuń znalezione złośliwe pliki i wstawki, ale najpierw zanotuj ścieżki,

• pliki zmodyfikowane przez atakującego przywróć z czystej instalacji,

• zaktualizuj PrestaShop do najnowszej wersji wspieranej gałęzi,

• zaktualizuj lub usuń moduły z listy podatności,

• popraw pliki motywu; jeśli infekcja była rozległa, wgraj czysty motyw,

• - sprawdź bazę: złośliwe skrypty potrafią siedzieć w ps_configuration (np. wstrzyknięty kod do header/footer), w opisach produktów i w tabeli ps_hook.

Po czyszczeniu przeskanuj sklep ponownie — drugi przebieg wyłapuje to, co przegapił pierwszy.

• ## Krok 6: Zrotuj wszystkie dostępy

Załóż, że każdy sekret sklepu jest w rękach atakującego

• - zmień hasła: panel admina (wszystkie konta), FTP/SFTP, SSH, baza danych, hosting,

• - zmień klucze API: moduły płatności, kurierzy, marketplace, SMTP,

• unieważnij i wygeneruj ponownie klucze: cookie_key w config/settings.inc.php / .env, klucz szyfrowania,

• usuń nieznane konta administratorów i sprawdź uprawnienia pozostałych,

• sprawdź zadania cron i webhooki — atakujący zostawiają sobie powroty.

• ## Krok 7: Utwardź i monitoruj

Po naprawie zamknij klasę problemów

• aktualizuj PrestaShop i moduły na bieżąco (na stagingu, z testami),
• włącz 2FA do panelu i ogranicz dostęp do admin po IP,
• ustaw kopie zapasowe poza serwerem — najlepiej z testem odtworzenia,
• włącz monitoring plików (alert o zmianach w katalogach sklepu),
• dodaj nagłówki bezpieczeństwa i utwardź .htaccess,
• obserwuj Google Search Console — po infekcji możesz dostać ostrzeżenie o złośliwym oprogramowaniu i spaść w wynikach.

Uwaga: Ostrzeżenie „Ten produkt jest niebezpieczny" w Google albo blokada przeglądarki nie zniknie samo po czyszczeniu. Po usunięciu kodu zgłoś sklep do przeglądu w Google Search Console (Bezpieczeństwo → Poproś o sprawdzenie).

Ile to trwa i ile kosztuje

Typowy scenariusz (kilka zainfekowanych plików, znana luka) to 4–8 godzin pracy. Rozległa infekcja z backdoorami w bazie i kradzieżą danych to 1–3 dni. Koszt u specjalisty: 800–2 500 zł netto za usunięcie malware z utwardzeniem. Stała opieka bezpieczeństwa z monitoringiem i kopiami zapasowymi: pomoc techniczna PrestaShop.

Najczęściej zadawane pytania

Sklep przekierowuje na obce strony — czy to włamanie?

Najprawdopodobniej tak. Przekierowania (często tylko dla ruchu z Google lub na mobile) to klasyczny objaw złośliwego kodu w motywie albo .htaccess. Odizoluj sklep, zrób kopię dowodową i przejdź procedurę czyszczenia — zaczynając od porównania plików z czystą instalacją.

Czy usunięcie złośliwych plików wystarczy?

Nie. Bez zamknięcia luki (aktualizacja modułu, zmiana haseł, rotacja kluczy API) atakujący wróci — backdoory i skradzione dane dostępowe zostają aktywne. Czyszczenie bez rotacji dostępów to połowa naprawy.

Czy po włamaniu stracę pozycje w Google?

Na krótko możesz stracić widoczność, jeśli Google oznaczy sklep ostrzeżeniem o złośliwym oprogramowaniu. Po wyczyszczeniu zgłoś sklep do przeglądu w Search Console — po pozytywnej weryfikacji ostrzeżenie znika, a pozycje wracają w ciągu dni do tygodni. Szybka reakcja minimalizuje straty.

Jak zabezpieczyć PrestaShop przed kolejnym włamaniem?

Aktualizuj rdzeń i moduły, włącz 2FA i ograniczenia IP do panelu, rób kopie zapasowe poza serwerem, monitoruj zmiany plików i ucz się na logach. Najczęstszym wektorem pozostają nieaktualizowane moduły i stare wersje PrestaShop. Więcej: wsparcie PrestaShop.

Źródła i narzędzia

• OWASP — Top 10 najczęstszych podatności
• PrestaShop — komunikaty bezpieczeństwa
• Google Search Console — bezpieczeństwo i ręczne działania
• CERT Polska — zgłaszanie incydentów

👉 Podejrzewasz włamanie na sklep? Odizoluj sklep i zgłoś się po diagnostykę — formularz kontaktowy lub kontakt@informatix.com.pl. Zobacz też pełny przegląd awarii: pomoc PrestaShop.

📖 Zobacz też: błąd 500 w PrestaShop, problemy po aktualizacji i wsparcie PrestaShop.