Scoprire che il tuo sito è stato hackerato è terribile, e la tentazione è di iniziare subito a cancellare cose. Non farlo. Un ordine chiaro dei passaggi ripulisce il sito più in fretta e impedisce che il problema ritorni.

1. Conferma con cosa hai a che fare

I segni di un sito hackerato includono un avviso del browser («Sito ingannevole»), un risultato di Google con strano testo giapponese o farmaceutico, visitatori reindirizzati a un altro sito, nuovi utenti amministratori che non hai creato, oppure il tuo hosting che sospende l'account. Controlla il tuo sito da una finestra privata e dal telefono con la rete mobile, perché alcuni malware si mostrano solo ai visitatori che arrivano da un motore di ricerca.

Puoi fare un rapido controllo dall'esterno con il nostro controllo gratuito di hack del sito. Guarda le liste di malware e cerca script iniettati, link nascosti e spam, e vede solo ciò che può vedere qualsiasi visitatore.

2. Contieni il danno

  • Metti il sito in modalità manutenzione o mettilo offline per un momento, così visitatori e motori di ricerca smettono di vedere le pagine infette.
  • Fai un backup completo del sito hackerato (file e database) prima di cambiare qualsiasi cosa. Potrebbe servirti per capire come è successo.
  • Cambia ogni password che dà accesso: pannello dell'hosting, FTP e SSH, database, account amministratore del CMS e l'account email usato per i reset. Fallo da un computer di cui ti fidi.

3. Scopri cosa è cambiato

Gli hacker raramente lasciano una sola traccia. Cerca:

  • Utenti amministratori sconosciuti nel tuo CMS. Rimuovili.
  • File modificati di recente, in particolare file PHP nelle cartelle di upload, che non dovrebbero mai contenere codice.
  • Codice strano nel header.php, footer.php o functions.php del tuo tema, e lunghe stringhe illeggibili che usano eval o base64_decode.
  • Backdoor nascoste: piccoli file che danno all'attaccante una via per rientrare, spesso con nomi casuali.

Se hai un backup pulito precedente all'attacco, ripristinarlo di solito è più rapido e sicuro che ripulire a mano. Ripristinalo, poi prosegui con i passaggi successivi, perché la stessa falla è ancora aperta.

4. Chiudi la falla

La maggior parte dei siti hackerati non era un bersaglio personale. Aveva un plugin, un tema o una versione del core obsoleti, una password debole o riutilizzata, o un'estensione vulnerabile che nessuno usava più. Dopo la pulizia:

  • Aggiorna tutto: il CMS, i temi e i plugin, e PHP stesso.
  • Elimina i plugin e i temi che non usi. Il codice inutilizzato resta superficie d'attacco.
  • Usa password forti e uniche e attiva l'autenticazione a due fattori per gli amministratori.
  • Controlla i permessi dei file e togli l'accesso in scrittura dove non serve.

5. Avvisa i motori di ricerca e i visitatori

Se Google ha segnalato il tuo sito, apri Google Search Console, guarda il rapporto Problemi di sicurezza e richiedi un riesame quando il sito è pulito. Se i dati dei clienti potrebbero essere stati esposti, verifica quali obblighi di legge hai di informarli. Dipende da dove vi trovate tu e i tuoi clienti.

6. Assicurati che resti pulito

Ripulire una volta non basta, perché gli attaccanti spesso lasciano una backdoor e ritornano. Nelle settimane successive tieni il sito sotto stretta osservazione: file nuovi, utenti nuovi, pagine modificate e script inattesi. È proprio per questo che esiste un monitor automatico. ServerMonitor controlla regolarmente le tue pagine alla ricerca di script iniettati, link nascosti, parole chiave di spam e presenze nelle liste di malware e phishing, e ti avvisa per tempo.

Conviene chiedere aiuto a un professionista?

Se l'infezione continua a ripresentarsi, se gestisci pagamenti dei clienti o dati personali, o se semplicemente non hai tempo, una pulizia professionale vale il costo. Chi la fa dovrebbe dirti come è entrato l'attaccante, non limitarsi a eliminare i sintomi.

Il momento migliore per prepararsi è prima che accada: mantieni il software aggiornato, conserva backup recenti fuori dal server e usa un monitoraggio che ti avvisi lo stesso giorno.