Hakirana web stranica: što tvrtka može izgubiti i kako se zaštititi

Ukratko: od 34 stranice hrvatskih tvrtki koje smo provjerili u listopadu i studenom 2026. gotovo sve imale su barem jedan ozbiljan sigurnosni propust. Najčešći su zastarjeli WordPress i dodaci, javno vidljiva prijava za administratora, nepostojeća sigurnosna zaglavlja i nezaštićena e-mail domena. Sve se to može popraviti za nekoliko sati, a šteta od napada mjeri se tjednima.

Koliko su sigurne stranice hrvatskih tvrtki?

U besplatnim pregledima stranica uvijek provjeravamo i sigurnost, a za ovaj smo članak istu provjeru napravili i na stranicama drugih tvrtki iz istih djelatnosti: odvjetnika, trgovina, restorana, servisa, edukacijskih centara i agencija. Ukupno smo u listopadu i studenom 2026. provjerili 34 stranice hrvatskih tvrtki. Provjeravamo samo ono što je javno vidljivo, bez ikakvog upada na stranicu. Rezultati su ovi:

• Svih šest preporučenih sigurnosnih zaglavlja imala je samo jedna stranica (3 %), a gotovo polovica nije imala nijedno. Barem polovicu zaglavlja imalo je 28 % stranica.
• Samo 19 % e-mail domena imalo je uključenu DMARC zaštitu. Ostale su je imale samo u probnom načinu, koji prati poruke, ali ne zaustavlja lažne poruke poslane u ime tvrtke, ili je nisu imale uopće.
• Na svih 15 WordPress stranica našli smo barem jedan podatak koji napadaču olakšava posao: javnu stranicu za prijavu, vidljivu verziju sustava ili korisničko ime administratora. Na većini se moglo vidjeti i korisničko ime administratora, a dvije su radile na verzijama WordPressa starim više godina.
• Više od trećine stranica (38 %) postavljalo je kolačiće za mjerenje posjeta prije privole posjetitelja. To nije upad hakera, ali je pravni rizik koji AZOP može kazniti.

Što se događa kad hakiraju web stranicu tvrtke?

Napadači rijetko ciljaju baš vašu tvrtku. Programi automatski pretražuju internet i traže stranice sa zastarjelim dodacima i slabim lozinkama, a zatim ih iskorištavaju za svoje svrhe. Najčešće posljedice su ove:

Google upozorava kupce ili vas izbacuje iz rezultata

Kad Google otkrije zlonamjeran sadržaj, uz vašu stranicu u rezultatima može prikazati oznaku da je stranica možda hakirana, a preglednik Chrome prije otvaranja prikazuje crveno upozorenje. Malo tko nakon toga klikne dalje. Upozorenje nestaje tek kad stranicu očistite i zatražite ponovnu provjeru u Search Consoleu.

Na vašoj domeni niču stotine tuđih stranica

Česta vrsta napada stvara na vašoj domeni stotine novih stranica s automatski generiranim tekstom i poveznicama na trgovine s krivotvorenom robom. Google takve napade opisuje i u svojim uputama, a jedan od najpoznatijih je takozvani japanski spam. Vi ih na svojoj stranici često ne vidite, ali ih vidi Google, a vaše prave stranice gube pozicije.

Prevaranti šalju e-mailove u vaše ime

Ako e-mail domena nema uključenu DMARC zaštitu, prevarant može poslati poruku koja izgleda kao da dolazi s vaše adrese, primjerice lažni račun s promijenjenim IBAN-om. Kupac novac uplaćuje prevarantu, a krivi vas.

Curenje osobnih podataka i obveza prijave

Ako napadač dođe do podataka iz obrazaca, narudžbi ili popisa za newsletter, to je povreda osobnih podataka. Prema GDPR-u tvrtka je dužna o tome obavijestiti AZOP u roku od 72 sata, osim ako povreda vjerojatno neće ugroziti prava ljudi čiji su podaci procurili.

Napad se vraća

Čišćenje nije gotovo kad nestanu sumnjive stranice. Prema Googleovim uputama za oporavak hakiranih stranica, 20 % hakiranih stranica ponovno je hakirano unutar jednog dana, ako se ne zatvori rupa kroz koju je napadač ušao.

Kako provjeriti je li vaša stranica hakirana?

• U Google upišite site:vasadomena.hr i prođite nekoliko stranica rezultata. Stranice na stranom jeziku, s čudnim adresama ili s nazivima proizvoda koje ne prodajete jasan su znak napada.
• U Search Consoleu otvorite izvještaj „Sigurnosni problemi”. Ako ga nikad niste otvorili jer nemate Search Console, to je prvi korak: bez njega vas Google o napadu nema kako obavijestiti.
• Ako ste dobili obavijest da je netko nepoznat dodan kao vlasnik vaše stranice u Search Consoleu, stranica je vrlo vjerojatno hakirana.
• Pazite na znakove: nagli pad posjeta, preusmjeravanja na druge stranice s mobitela, nove korisnike u administraciji koje niste dodali.

Kako zaštititi web stranicu tvrtke?

1. Redovite nadogradnje sustava, teme i dodataka

Većina napada na WordPress ide kroz zastarjele dodatke. Nadogradnje treba raditi barem jednom mjesečno, a sigurnosne zakrpe odmah, uz prethodnu sigurnosnu kopiju i provjeru da stranica i obrasci rade i nakon nadogradnje.

2. Dnevne sigurnosne kopije izvan poslužitelja

Kopija koja stoji na istom poslužitelju kao i stranica ne pomaže ako napadač obriše sve. Kopije čuvajte na drugom mjestu i barem jednom provjerite da se iz njih stranica stvarno može vratiti.

3. Zaštićena prijava

Jake i različite lozinke, prijava u dva koraka za sve administratore, ograničen broj pokušaja prijave i bez korisničkog imena „admin”. Bivšim zaposlenicima i vanjskim suradnicima pristup ukinite istog dana kad suradnja završi.

4. HTTPS i sigurnosna zaglavlja

HTTPS danas ima gotovo svaka stranica, ali sigurnosna zaglavlja gotovo nitko. To su kratke upute koje poslužitelj šalje pregledniku, primjerice da stranicu otvara samo preko HTTPS-a ili da je ne smije prikazati unutar tuđe stranice. Postavljaju se jednom, u nekoliko minuta.

5. Zaštita e-mail domene: SPF, DKIM i DMARC

Tri zapisa u postavkama domene govore poslužiteljima e-pošte koje poruke stvarno dolaze od vas. DMARC treba nakon probnog razdoblja prebaciti iz načina praćenja u način koji lažne poruke šalje u neželjenu poštu ili ih odbija.

6. Sakrijte ono što napadaču pomaže

Verzija WordPressa, datoteka readme.html, popis korisnika preko sučelja i otvoren XML-RPC napadaču govore odakle krenuti. Sve se to može sakriti ili isključiti bez utjecaja na rad stranice.

Ove provjere radimo u sklopu redovitog održavanja web stranica. Ako stranicu radite iznova, sigurnost treba postaviti od prvog dana, a ne nakon prvog napada. Hakirana stranica je i SEO problem, pa o tome pišemo i u vodiču Što je SEO optimizacija.

Česta pitanja

Zašto bi netko hakirao stranicu male tvrtke?

Napadi su uglavnom automatski. Programi traže bilo koju stranicu sa zastarjelim dodacima i koriste je za spam, krađu podataka ili širenje zlonamjernog sadržaja. Veličina tvrtke im nije važna.

Je li dovoljno imati SSL certifikat?

Nije. SSL certifikat šifrira vezu između posjetitelja i stranice, ali ne štiti od zastarjelih dodataka, slabih lozinki ni lažnih e-mailova poslanih u vaše ime.

Što prvo napraviti ako je stranica hakirana?

Promijenite sve lozinke, vratite čistu sigurnosnu kopiju ili očistite datoteke, zatvorite rupu kroz koju je napadač ušao i zatražite ponovnu provjeru u Search Consoleu. Ako su procurili osobni podaci, procijenite trebate li to prijaviti AZOP-u u roku od 72 sata.

Koliko često treba nadograđivati WordPress?

Redovite nadogradnje barem jednom mjesečno, a sigurnosne zakrpe čim izađu. Uvijek uz sigurnosnu kopiju prije nadogradnje i provjeru stranice nakon nje.

Utječe li sigurnost stranice na pozicije u Googleu?

HTTPS je slab signal za poredak, a sigurnosna zaglavlja Google ne gleda. Velik utjecaj ima napad: hakirana stranica može dobiti upozorenje u rezultatima i izgubiti pozicije dok se ne očisti.

Besplatni pregled

Je li vaša stranica zaštićena?

U besplatnom pregledu provjeravamo i sigurnost: zaglavlja, zaštitu e-mail domene, vidljive podatke o sustavu i privolu za kolačiće. Dobit ćete jasan popis što popraviti, bez obveze.

Zatražite besplatni pregled095 390 3317