Hjelp! Nettbutikken har blitt hacket!

Har din nettbutikk eller nettside blitt hacket, eller ønsker du forhindre at den blir det? Her har vi noen råd som kan vise seg å bli ekstremt verdifulle for alle nettside-eiere.

Hacket nettbutikk
5. desember 2024 av Start Nettbutikk / Betaling og sikkerhet

En av de største truslene mot nettbutikker er hacking og cyberangrep slik som distribuert tjenestenekt (Distributed Denial-of-Service, DDoS).

For å unngå at nettbutikken din blir hacket, bør du først og fremst ha en god nettbutikk-løsning. Du kan også hente inn kvalifisert hjelp til å finne ut om nettbutikken faktisk opprettholder teknologi som forhindrer de fleste hacker angrep.

Nedenfor følger noen sårbarheter for nettbutikker og nettsider.

Hacking av/i kommentarfelt, kontaktskjemaer og andre skjemaer

Det er ikke uvanlig at en hacker finner en sårbarhet i et kontaktskjema eller et annet skjema på nettsiden10) Kommentar Angrep

Kommentarer er en av de mest populære funskjoner i blogger, og nettbutikker med kommentarfelt for protukter (for eksempel i forbindelse med produktanmeldelser eller tilbakemeldinger) oppnår ofte god tillit til sine kunder - men disse skjemaene har også en skjult trussel: Det kan være lett for noen å sette inn HTML-kode eller annen onsinnet kode som forårsaker problemer på nettstedet.

Du må derfor validere den kommentaren som sendes før den aksepteres, og "strippe" den for all HTML og annen potensiell ondsinnet kode. Bruker du Wordpress kan du bruke "nøkkelord Filter" for å blokkere ut enkelte ord også, slik at du slipper å gå igjennom manuelt for å fjerne alle stygge kommentarer.

Uoppfordret installasjon av ondsinnet kode

Det kan være farlig å installere tredjeparts kode-snutter og programmer på nettstedet ditt, spesielt hvis du ikke forstår hva denne koden faktisk gjør.

Selv om du ikke helt forstår programmering, kan du lese gjennom koden og se etter avslørende tegn som referanser til tredjeparts nettadresser. Du kan også besøke forum på nett, slik som DigitalPoint for å spørre om råd.

Unngå svindelnettsider

Alle som eier en nettside ønsker trafikk til nettsiden sin. I et desperat forsøk på å få besøkende kan du prøve deg på viral markedsføring og andre måter for å få oppmerksomhet. I noen tilfeller, dersom dette gjøres på en måte som ikke er populært blant enkelte deler av samfunnet, kan dette føre til at noen misliker dette, og dermed velger å angripe nettsiden din.

Ingen webmaster ønsker å blir møtt med en arme av rebeller, som ser på nettsiden som et legitimt angrepsmål. Hold deg derfor unna nettsteder og forum som tilbyr "informasjon" om hvordan du kan få trafikk rask. Ofte inneholder slike taktikker bruk av ulovlige spam lister og lignende.

Fjern cookies!

Mange nettbrukere benytter ofte offentlige datamaskiner til å blogge eller gjøre andre nettaktiviteter, kanskje fordi det er praktisk eller fordi internett hjemme ikke fungerte i øyeblikket.

Om du har en blogg eller nettbutikk, og går inn på din administrasjonsside på en offentlig datamaskin, bør du være ekstra på vakt.

Husk å tømme cookies og cache før du forlater den offentlige datamaskinen! Og lukk alle faner og selve nettleseren etter bruk. Dette bør du gjøre selv om tjenesteyteren hevder at det ikke forekommer noen sporing eller krenkelser av personvern, eller noe i den retning.

Bruk riktig CHMOD tillatelser

CHMOD filrettigheter tildeles bestemt verdier for hver fil og mappe på serveren din, der nettbutikken/nettsiden din ligger lagret, slik at den kan nås via internett. Med CHMOD får brukere ulike nivåer av tilgang.

En CHMOD tillatelse er fra 000 (ingen tilgang) til 777 (full tilgang). Du må selv bestemme hvilke filer som får hvilke tillatelser, men merk at ofte vil noen tredjeparts programmer som installeres på nettbutikken/nettsiden krever høyere tillatelser for å kunne fungere.

Ved hjelp av en FTP klient kan du enkelt endre tillatelsene gitt til hver fil og mappe på serveren din. Som oftest kan du bare høyreklikke på ønsket fil på serveren, og velge "Filrettigheter" eller noe tilsvarende - kanskje ligger det under "filinstillinger" eller et annet begrep. CHMOD er viktig for å sikre uautorisert tilgang til innholdet på nettbutikken.

Merk at noen webhotell ikke fungerer med 777 av sikkerhetsmessige grunner.

Sørg for at din .htaccess fil og .htpasswrd fil (dersom du har disse filene) er riktig formatert med den sikreste CHMOD som er 644.

Unngå å bruke generiske brukernavn for innlogging

Alle nettbutikker, blogger og større nettsider har en administrasjonsside, som er en bakdør inn til nettsiden. Her administreres alt, og man kan kanskje få tilgang til statistikk og lignende.

Når du velger brukernavn og passord, så følg noen smarte råd. Når det gjelder passord, benytter du både små og store bokstaver, og i tillegg tall - og dersom det er tillatt og mulig kan du også benytte symboler, slik som for eksempel €, + og }.

Vag av brukernavn: Unngå vanlige ord for brukernavn, slik som "admin", "administrator" eller "webmaster" - det gjør jobben til hackere mye enklere. Ved å bruke slike vanlige ord som brukernavn, er du utrolig mye mer sårbar for hackerangrep.

Sikre porter

En "port" brukes til å få tilgang til data fra utenfor serveren. Det også benyttes til å overføre data begge veier, i serveren og også utgående. Mesteparten av denne aktiviteten er bak lukkede dører og skjer automatisk, og bare fagfolk har en tendens til å leke seg med slike detaljer.

Likevel hender det ofte at man glemmer å lukke "portene", og dermed blir det enklere tilgang for hackere også. Alle som har leket seg litt med en FTP (File Transfer Protocol) vil ha kjennskap til dette.

Sørg derfor for at eventuelle uønskede porter er skikkelig lukket.

Oppdatert sikkerhetsoppdateringer

Hvis din webhotell leverandør ikke har gjort det allerede, bør du sjekke at de har installert siste sikkerhetsoppdateringer for ulike aspekter av tjenesten som er installert på din nettside, og alle berørte programmer, inkludert administrasjonspanelet til webhotellet (for eksempel CPanel).

Som du kanskje vet, er WordPress en av de mest populære CMS (Content Management System) på markedet, og mange glemmer å oppdatere til siste programvare, eller de vet kanskje ikke at det er noe man bør gjøre.

Siden Wordpress brukes av millioner av nettsider, også nettbutikker, så er det lite overraskende å se at mange hackere jobber dag og natt for å prøver å hacke nettopp dette CMS-et. Det samme gjelder for populære nettbutikk skript, slik som OSCommerce og lignende.

Løsningen er enkelt og greit å oppdatere så snart nye "patcher" (mindre oppdateringer) og oppdateringer er tilgjengelig.

Bruk passord som er vanskelige å knekke

Noe av det smarteste du kan gjøre, er å benytte et bra passord som det er vanskelig å tenke seg til.

Hackere er eksperter på programmering, og å gå igjennom millioner av passord på kort tid er ikke et problem. Det er en grunnen til at de lengre passordene er de sikreste, og det er fordi antall mulige kombinasjoner vokser eksponentielt med hvert ekstra tegn som blir lagt til.

Hackere benytter en teknikk som kalles "ordbok angrep" der de gjentatte ganger prøver brukernavn og passord kombinasjoner ved å kjøre gjennom hundrevis av vanlige ord, uttrykk, tall og kombinasjoner av disse.

Det er viktig at du bruker tilfeldige symboler som "!#¤%&/()=" i stedet for eksempelvis "data1977oslo" som faktisk er et passord en hacker lett kunne funnet ut av! Benytt tilfeldige kombinasjoner av tegn, og ikke benytt ord som finnes i ordboken, leksikon eller noen navnebøker.