Aktualizováno 19. 10. 2026. Článek vychází z oficiálního vyjádření TeamUpdraft z 19. října. Vyšetřování stále probíhá a výrobce svoje stanovisko průběžně doplňuje — u klíčových kroků proto vždy zkontrolujte i původní stránku incidentu.
O víkendu 17.–18. října se někdo neoprávněně dostal na web teamupdraft.com — tedy k výrobci UpdraftPlus, nejrozšířenějšího zálohovacího pluginu pro WordPress. Podle vyjádření firmy byla pravděpodobně zpřístupněna zákaznická databáze.
Hned na úvod to podstatné, protože se to v obecné panice ztrácí: samotný plugin UpdraftPlus napadený nebyl a vaše zálohy u Google Drive, Dropboxu nebo S3 jsou v pořádku. Pro většinu uživatelů jde o „změňte si heslo“. Existuje ale jedna skupina, která musí jednat okamžitě — a je to vážné.
Koho se to týká
| Co používáte | Jak moc vás to pálí | Co udělat |
|---|---|---|
| UpdraftCentral v cloudu | Vysoká priorita | Zabezpečit každý web zvlášť, ještě dnes |
| UpdraftVault | Střední | Znovu připojit weby, jinak se zálohy neukládají |
| UpdraftClone | Střední | Rozeslat nové klíče, staré nefungují |
| Účet na teamupdraft.com | Nízká | Změnit heslo, resetovat 2FA |
| UpdraftPlus zdarma, bez účtu | Žádná | Nic |
| UpdraftCentral na vlastním serveru | Žádná | Nic |
Co přesně uniklo
Podle TeamUpdraft databáze obsahovala:
- jména, e-maily, fakturační adresy a historii objednávek
- hesla — pouze v zahashované podobě, nikdy ne v čitelném textu
- nastavení dvoufázového ověření
- připojovací klíče pro UpdraftCentral, UpdraftVault a UpdraftClone
Platební údaje firma neukládá, platby jdou přes Stripe a PayPal.
Ten tučně vyznačený řádek je jádro celého problému. Připojovací klíč UpdraftCentralu umí vašemu webu posílat příkazy. Prakticky to znamená totéž co administrátorský přístup — jen se k němu nepřihlašuje přes wp-login.php, ale přes API. Kdo ten klíč má, může na vašem webu instalovat pluginy, zakládat uživatele a měnit obsah.
Používáte UpdraftCentral v cloudu? Udělejte tohle dnes
TeamUpdraft chystá nouzovou aktualizaci UpdraftPlus, která všechna stará spojení odpojí automaticky. Nečekejte na ni. Dokud nevyjde a dokud se nenainstaluje, je starý klíč platný.
Pro každý web zvlášť:
- Přihlaste se do WordPressu daného webu přímo, ne přes UpdraftCentral.
- Jděte do Nastavení → UpdraftPlus → Advanced Tools → UpdraftCentral a připojovací klíč smažte.
- V Uživatelé zkontrolujte, jestli nepřibyl administrátor, kterého neznáte. Takový účet odstraňte.
- V Pluginy projděte seznam včetně záložky Must-Use, pokud ji vidíte. Cokoli neznámého odstraňte.
- Změňte hesla všem administrátorům webu.
- Pokud najdete cokoli podezřelého, zvažte obnovu ze zálohy pořízené před 17. říjnem.
- Teprve potom web znovu připojte k UpdraftCentralu.
Záložka Must-Use v kroku 4 je důležitá a často se přehlíží. Mu-pluginy se načítají automaticky, nejdou vypnout z administrace a v běžném seznamu pluginů nejsou vidět — jsou proto oblíbeným místem, kam se schovává zadní vrátka.
Nouzová aktualizace odpojí jen spojení vytvořená před 18. říjnem 22:00 britského času. Když web podle návodu výše znovu připojíte, aktualizace ho už neodpojí.
UpdraftVault a UpdraftClone
UpdraftVault — všechny weby byly odpojeny, takže se zálohy do Vaultu neukládají, dokud je znovu nepřipojíte. V Nastavení → UpdraftPlus → Nastavení klikněte u vzdáleného úložiště na UpdraftVault, pod „Already got space?“ na Connect, zadejte e-mail a nové heslo a uložte. Pak pusťte ruční zálohu, ať máte jistotu.
Tohle je tichá past: zálohy neběží a nic na to neupozorní. Čím dřív to vyřešíte, tím kratší díru v zálohách budete mít.
UpdraftClone — všechny klientské klíče byly vyměněny. Pokud jste klíče sdíleli se svými klienty, nové najdete v My Account → UpdraftClone → UpdraftClone Key Management a musíte je rozeslat. Klonování se starým klíčem skončí chybou.
Pozor na phishing
Útočníci mají jména, e-maily a historii objednávek. To je ideální materiál pro cílený podvod — e-mail, který zná vaše jméno, vaši licenci i datum nákupu, působí mnohem důvěryhodněji než běžný spam.
Čekejte zprávy ve stylu „vaše licence UpdraftPlus vyžaduje ověření“ nebo „kvůli incidentu si resetujte přístup zde“. TeamUpdraft nikdy nebude chtít vaše heslo ani klíče. Když si jdete měnit heslo, napište si teamupdraft.com do prohlížeče ručně — neklikejte na odkaz v e-mailu, ani když vypadá v pořádku.
Co firma už udělala
Pro úplnost: TeamUpdraft uzavřel cestu, kterou se útočník dostal dovnitř, odhlásil všechny účty, vyměnil přihlašovací údaje k UpdraftVaultu, nahradil všechny klíče UpdraftClone, zrotoval klíče k platebním branám, nasadil dodatečný monitoring a incident nahlásil úřadům včetně britského ICO.
Komunikace proběhla slušně — konkrétní seznam dotčených dat, konkrétní kroky pro uživatele, přiznaná nejistota. To je u incidentů bohužel spíš výjimka.
Co si z toho odnést
Mimo samotné odstranění následků má tenhle případ jedno obecné poučení, které platí i pro ty, kdo UpdraftPlus vůbec nepoužívají.
Nástroje pro centrální správu webů koncentrují riziko. UpdraftCentral, ManageWP, MainWP a podobné panely jsou užitečné — bez nich se deset webů spravuje těžko. Jejich cenou ale je, že někde mimo váš web leží klíč, který vašemu webu umí poroučet. Když se někdo dostane do databáze provozovatele toho panelu, dostane se tím i ke všem webům připojeným pod ním.
Není to argument proti centrální správě. Je to argument pro to vědět, kdo všechno má k vašim webům přístup na úrovni příkazů — a umět ten seznam vyjmenovat dřív, než se něco stane. Většina provozovatelů to neví. Patří tam správcovské panely, zálohovací služby s obousměrným přístupem, deploy nástroje, monitoring se zápisem, agentury a bývalí dodavatelé.
Druhé poučení je k zálohám. Rada „obnovte ze zálohy před 17. říjnem“ funguje jen tehdy, když takovou zálohu máte, víte kde je a umíte ji nasadit. Záloha, kterou jste nikdy nezkoušeli obnovit, není záloha — je to naděje.
Potřebujete s tím pomoct?
Pokud spravujete víc webů a nechcete procházet každý ručně, nebo si nejste jistí, jestli na některém z nich útočník nezanechal stopu, ozvěte se nám. Umíme projít uživatele, pluginy včetně mu-pluginů, naplánované úlohy i soubory a porovnat je proti čistému stavu.
A pokud nevíte, kdo všechno má k vašim webům přístup, je to samo o sobě dobrý důvod k revizi — nezávisle na tom, jestli se vás tenhle konkrétní incident týká.