Tre hackade webbplatser, återtagna.

01 22 juni · Det besökarna såg

Sidorna såg fortfarande ut som hennes. Det var de inte.

Hennes bilder, priser och ord fanns kvar. Men beroende på webbplats och tidpunkt möttes besökaren av popupreklam, en falsk ”Klicka på Tillåt”-sida, en butik med någon annans affiliatelänk eller bara ett felmeddelande. Inloggningssidan hon brukade använda för att ändra saker hade försvunnit.

02 April → 16 juni · Det som hände i det tysta

Det började veckor innan någon märkte det.

Filer som planterats på webbplatserna var daterade så långt tillbaka som april. Fungerande bakdörrar — små program som lät en utomstående ladda upp och köra kod — var daterade till början av maj. Sedan, den 16 juni klockan 09.33, ändrades alla tre webbplatserna inom samma sju sekunder.

03 22–23 juni · De första 48 timmarna

Ta tillbaka åtkomsten. Bevara sedan allt.

Det första arbetet var att återfå kontrollen och bevara bevisen precis som de var — utan att låta den infekterade koden köras igen.

04 23 juni · Inuti filerna

Bara 29 % matchade den officiella kärnan.

Ögonblicksbilden jämfördes, byte för byte, med de officiella kärnversionerna. 29 396 filer matchade exakt. De övriga 73 709 omfattade tillägg, eget innehåll och bekräftad angreppskod. Att en fil inte matchar betyder inte i sig att den är skadlig.

05 23–25 juni · Beslutet

För de här webbplatserna var ombyggnad det bättre valet.

Granskningen visade omfattande ändringar, dolda bakdörrar och skador som fanns kvar efter en tidigare rensning. I det här fallet gav en ombyggnad en tydligare grund att lita på. Bara granskat innehåll och bilder fördes över. Andra webbplatser kan lämpa sig för en riktad reparation.

06 23 juni → 2 juli · Ombyggd från ritningen

Den gamla sidan blev en ritning, inte en grund.

Varje sida byggdes om utifrån underlagen — layout, menyer, text, avstånd, bildernas storlek och placering — för att behålla den välbekanta upplevelsen och ersätta den komprometterade implementationen.

07 30 juni · En ny grund

Färre ställen för ett angrepp att få fäste.

De gamla webbplatserna körde program på servern vid varje besök, med en databas och 187 tillägg att underhålla. De nya levererar färdigbyggda sidor från ett globalt nätverk. Redigeringen har en separat inloggning. Redigeraren, driftkontona och programberoendena behöver fortfarande skötas.

08 30 juni → 1 juli · Flytten

Flytta utan att tappa posten.

Webbadresserna pekades om till de nya webbplatserna medan mejlen behöll sin väg till den gamla brevlådan. En äldre inställning skulle ha lett mejlen fel vid flytten — den rättades före bytet.

09 Juli → augusti · De andra ingångarna

Intrånget slutade inte vid webbplatserna.

Ett av hennes mejlkonton hade använts för inloggning från utlandet. Genomgången identifierade sjutton konton där lösenord och inloggningsskydd behövde ses över. På den gamla servern fanns också rester på platser som webbplatserna inte använde.

10 Augusti · Städa upp i Google

Angriparens sidor levde kvar efter intrånget.

Fallrapporten från augusti anger 10 356 Google-träffar för en webbplats, med angriparens sidor i 967 av de 1 000 granskade träffarna. Borttagna adresser fick svar som visar att sidorna saknas eller är borta. De riktiga sidorna fick titlar, beskrivningar och strukturerade data. Animationen visar hur städningen är tänkt att fungera, inte ett uppmätt resultat i sökplaceringar.

11 6 juli → 14 oktober 2026 · Nycklarna tillbaka

Nu redigerar hon sina egna webbplatser.

Hon loggar in med sin mejladress, ändrar en mening eller lägger till en bild och trycker på Spara. Ungefär en minut senare är det publicerat — och varje sparning finns kvar som en version att återställa. Hon kan ändra text och bilder. Redigeraren håller vanliga innehållsändringar åtskilda från sidans layout.

12 Juli–oktober · Fortsatt skötsel

Att sköta en webbplats är att märka de små sakerna.

↺ Översikt

Före och efter.

→ Vad den här sortens arbete innebär

Sex saker, gjorda med omsorg.