CleanOps

Z Twojej domeny wychodzi spam albo ktoś postawił na niej stronę phishingową — co robić

18 października 2026 • 4 min czytania • spam, phishing, poczta, reputacja domeny, SPF, DKIM, hosting

Drewniane słupki z drutem kolczastym na tle łąki

Nie każda infekcja chce coś zmienić na Twojej stronie. Wiele chce tylko użyć Twojego serwera i Twojej domeny do czegoś, co z własnego adresu byłoby od razu zablokowane: do wysyłki spamu i do hostowania stron wyłudzających dane. Twoja domena ma reputację, Twój serwer ma IP, którego filtry antyspamowe jeszcze nie znają. Dla atakującego to zasób. Dla Ciebie problem, który sięga dalej niż strona.

Objawy

  • Hosting pisze o „przekroczeniu limitu wysyłki” albo blokuje funkcję wysyłki poczty na koncie.
  • Klienci lub znajomi pytają o dziwne maile „od Ciebie”, których nie wysyłałeś.
  • Twoje prawdziwe maile trafiają do spamu albo odbijają się z informacją o umieszczeniu na czarnej liście.
  • W logach serwera są setki żądań POST do jednego pliku PHP o nieznanej nazwie.
  • Pod adresem w Twojej domenie (/wp-content/uploads/secure/, /login/, /update/) jest strona wyglądająca jak bank, kurier albo poczta, której nie robiłeś.
  • Dostajesz mail od instytucji, której logo zostało użyte, albo od zespołu CERT, z prośbą o usunięcie strony phishingowej.

Jak to działa

Spam: na serwer trafia skrypt PHP (mailer), który na żądanie z zewnątrz wysyła tysiące maili przez funkcję mail() albo przez konto SMTP, którego hasło znalazł w konfiguracji strony. Maile mają nadawcę w Twojej domenie, więc przechodzą przez filtry lepiej niż z losowej domeny, dopóki Twoja domena nie trafi na czarne listy.

Phishing: do podkatalogu strony trafia paczka HTML udająca stronę logowania banku, kuriera, Allegro. Link do niej idzie w spamie. Ofiara wpisuje dane, skrypt zapisuje je do pliku albo wysyła na adres atakującego. Twoja domena w pasku adresu uwiarygadnia całość.

Oba przypadki zaczynają się tak samo: luka we wtyczce albo przejęte hasło, a potem web‑shell, przez który atakujący wgrywa to, czego potrzebuje.

Co zrobić natychmiast

  1. Zatrzymaj wysyłkę. Jeśli hosting jej nie zablokował, zrób to sam w panelu hostingu (wyłączenie funkcji mail() dla konta, zmiana hasła SMTP) albo poproś pomoc techniczną.
  2. Znajdź mailer. W logach dostępu szukaj adresu z największą liczbą żądań POST:
awk '$6 ~ /POST/ {print $7}' access_log | sort | uniq -c | sort -rn | head

Plik, który dostaje setki POST‑ów, a nie jest formularzem Twojej strony, to on. Do kwarantanny.

  1. Znajdź i wyłącz stronę phishingową. Katalogi z plikami HTML, których nie tworzyłeś, często z nazwą instytucji w środku. Do kwarantanny razem z plikami, do których zapisywały dane. Nie kasuj: to dowód, a instytucja lub CERT mogą o niego poprosić.
  2. Zmień hasła: SMTP, FTP, panel CMS‑a, panel hostingu, baza danych. Jeśli hasło SMTP było w wp-config.php lub w ustawieniach wtyczki do poczty, atakujący je ma.
  3. Dokończ naprawę jak przy każdej infekcji: porównanie z wydaniem, kwarantanna obcych plików, baza, .htaccess, zamknięcie drogi wejścia.

Odbudowa reputacji domeny

Usunięcie mailera to połowa. Druga połowa to zdjęcie domeny i IP z czarnych list, bo inaczej Twoja własna poczta będzie lądować w spamie tygodniami.

Sprawdź listy. Serwisy takie jak MXToolbox pokazują, na których czarnych listach jest IP serwera i domena. Zapisz je.

Wyślij prośby o usunięcie. Każda lista ma własny formularz. Większość usuwa wpis po kilku dniach od ustania wysyłki; niektóre wymagają wyjaśnienia, co się stało.

Napraw uwierzytelnianie poczty, bo to ono decyduje, czy następnym razem ktoś podszyje się pod Twoją domenę bez włamania na serwer:

  • SPF: rekord TXT z listą serwerów, które mogą wysyłać pocztę w Twojej domenie, zakończony -all.
  • DKIM: podpis cyfrowy maili; hosting lub dostawca poczty podaje klucz do wpisania w DNS.
  • DMARC: rekord _dmarc mówiący odbiorcom, co robić z mailami, które nie przejdą SPF/DKIM. Zacznij od p=none z raportami, po kilku tygodniach przejdź na p=quarantine.

Jeśli strona na serwerze WWW w ogóle nie musi wysyłać poczty (bo poczta jest u innego dostawcy), nie wpisuj IP serwera WWW do SPF. Wtedy spam z przejętej strony będzie odrzucany przez odbiorców nawet przed wykryciem infekcji.

Obowiązki

Strona phishingowa na Twojej domenie to nie Twoja wina, ale Twój problem, dopóki jest online. Jeśli dostałeś zgłoszenie od CERT Polska lub instytucji, odpowiedz, kiedy strona została usunięta, i zachowaj pliki. Jeśli przez serwer wyciekły dane Twoich klientów (np. mailer korzystał z bazy adresów ze sklepu), obowiązują te same zasady co przy każdym naruszeniu danych: ocena ryzyka i ewentualne zgłoszenie do UODO w 72 godziny.

Czego pilnować potem

Przez miesiąc raz w tygodniu: logi dostępu pod kątem nowych plików z dużą liczbą POST‑ów, lista katalogów w uploads/ i images/, czarne listy. Jeśli mailer wróci, nie znalazłeś drogi wejścia i trzeba jej szukać, nie sprzątać kolejny raz.

Skan w CleanOps ocenia mailery PHP po treści, niezależnie od nazwy pliku, i przenosi je do kwarantanny z zachowaniem struktury, więc dowód zostaje. Paczki phishingowe złożone z samego HTML trzeba znaleźć po katalogach i datach; asystent AI po naprawie zrobi to z Tobą, a przy okazji podpowie, które rekordy DNS sprawdzić. Reputacji domeny nie odbuduje za Ciebie.

Czytaj też