Sito WordPress violato? Lo ripuliamo e chiudiamo la porta.
Se il tuo sito WordPress mostra pubblicità che non hai inserito, rimanda ad altri siti, è segnalato da Google come pericoloso o è stato sospeso dall'hosting, è stato violato. Lo ripuliamo, troviamo da dove sono entrati, chiudiamo la falla e chiediamo la rimozione degli avvisi.
Intervento su un sito WordPress da € 190Manutenzione WordPress da € 29 al mese
Aggiornato il
Come ci si accorge che il sito è stato violato
Compaiono pubblicità o link che non hai messo tu
Finestre che si aprono, banner di scommesse o farmaci, testi in fondo alla pagina in lingue straniere.
Il sito porta altrove
Chi lo apre dal telefono o arrivando da Google viene mandato su un altro sito. Tu, dal tuo computer, non lo vedi.
Google mostra un avviso rosso
«Il sito che stai per visitare è ingannevole». Oppure, nei risultati, sotto il tuo nome compaiono titoli in giapponese.
L'hosting ha sospeso lo spazio
Un'email ti avvisa che dal tuo sito partono messaggi indesiderati o che sono stati trovati file dannosi.
Ci sono utenti che non conosci
Nel pannello compare un amministratore mai creato da te. Oppure non riesci più a entrare.
Il sito è diventato lentissimo
Senza motivo apparente. Qualcuno sta usando il tuo server per fare altro.
Che cosa facciamo, in ordine
Mettiamo al sicuro lo stato attuale
Una copia completa del sito così com'è, prima di toccare qualunque cosa. Serve a capire e a non perdere nulla.
Cerchiamo tutto ciò che è stato aggiunto
File estranei, codice inserito in file legittimi, contenuti nascosti nel database, utenti e accessi creati di nascosto.
Sostituiamo i componenti
WordPress, tema e plugin vengono reinstallati da fonti ufficiali. Ciò che non è recuperabile viene ricostruito.
Troviamo la porta d'ingresso
Un plugin vecchio, una password debole, un componente scaricato da una fonte non ufficiale. Va chiusa.
Rinnoviamo tutte le chiavi
Password di utenti, hosting, database, posta, più le chiavi interne di WordPress.
Facciamo togliere gli avvisi
Richiesta di revisione a Google, comunicazione all'hosting per riattivare lo spazio.
Prima cosa: niente panico, e niente mosse affrettate
Scoprire che il proprio sito è stato violato fa venire voglia di agire subito: cancellare i file strani, ripristinare una vecchia copia, reinstallare tutto.
Sono quasi sempre mosse sbagliate. Cancellando si eliminano le tracce che servono a capire come sono entrati. Ripristinando una copia si rischia di rimettere online un sito che conteneva già l’intrusione, e di perdere i contenuti aggiunti nel frattempo.
La cosa giusta da fare subito è una sola: cambiare le password dell’hosting dal pannello del fornitore. Poi si procede con metodo.
Che cosa vuole chi viola un sito
Raramente l’obiettivo sei tu. Il tuo sito serve come strumento:
- per mostrare pubblicità o rimandare i visitatori verso siti di truffe;
- per ospitare pagine che imitano una banca o un corriere, e rubare dati ad altre persone;
- per inviare posta indesiderata dal tuo server;
- per inserire link nascosti che spingono altri siti su Google.
Chi lo fa ha tutto l’interesse a non farsi notare. Per questo il codice dannoso spesso si mostra solo a chi arriva da Google, o solo sui telefoni, o solo una volta per visitatore. Tu, che apri il sito ogni giorno dal tuo computer, lo vedi normale.
Perché una pulizia a metà non serve
Quando qualcuno entra in un sito, la prima cosa che fa è assicurarsi di poter rientrare. Lascia delle porte di servizio: un file dal nome innocuo in una cartella poco visitata, qualche riga di codice dentro un file legittimo, un utente amministratore nascosto, un’istruzione nel database.
Se ne trovi nove su dieci, il sito sembra pulito. Dopo due settimane è di nuovo com’era.
Per questo non ci limitiamo a una scansione automatica. Confrontiamo ogni file con l’originale, esaminiamo il database, controlliamo utenti, attività pianificate e configurazione del server. E non consideriamo chiuso il lavoro finché non abbiamo capito da dove sono entrati.
Gli avvisi di Google e la sospensione dell’hosting
Quando Google trova contenuti dannosi su un sito, mostra un avviso a schermo intero a chi prova a visitarlo. Le visite crollano all’istante.
L’avviso non scompare da solo. Bisogna ripulire il sito e poi chiedere una revisione attraverso gli strumenti di Google, spiegando che cosa è stato fatto. Ce ne occupiamo noi.
Lo stesso vale per l’hosting: molti fornitori sospendono lo spazio quando rilevano file dannosi o invii anomali di posta. Comunichiamo con il loro supporto per la riattivazione.
Dopo la pulizia
Un sito ripulito ma lasciato com’era verrà violato di nuovo, perché la causa di fondo, cioè componenti vecchi e nessuno che controlla, è ancora lì.
A fine intervento ricevi un resoconto scritto: che cosa abbiamo trovato, da dove sono entrati, che cosa è stato fatto e che cosa consigliamo. Poi decidi tu se affidarci anche la manutenzione.
Scrivici adesso
Vai al preventivo guidato, scegli «È stato violato» e, alla domanda successiva, indica se il sito è fermo o bloccato. Queste richieste passano davanti alle altre.
Che cosa fare adesso
- 1
Non cancellare niente
Eliminare file a caso distrugge le tracce che servono a capire da dove sono entrati.
- 2
Cambia le password dell'hosting
Dal pannello del fornitore, non dal sito. Avvisa anche chi altro ha un accesso.
- 3
Non ripristinare copie a caso
Una copia di pochi giorni fa potrebbe contenere già l'intrusione, e sovrascrive le prove.
- 4
Scrivici
Dal preventivo guidato, indicando che il sito è fermo o bloccato.
Con cosa lo costruiamo
Interveniamo su siti WordPress e WooCommerce, su qualsiasi hosting, con accesso ai file e al database.
- WordPress
- WooCommerce
- Analisi dei file
- Analisi del database
- Google Search Console
- Messa in sicurezza del server
Può interessarti anche
Domande frequenti
Come faccio a sapere se il mio sito WordPress è stato hackerato?
I segnali più comuni sono: pubblicità o link che non hai inserito, visitatori mandati su altri siti, un avviso di pericolo nel browser o nei risultati di Google, pagine in lingue straniere indicizzate sotto il tuo dominio, utenti amministratori sconosciuti, una sospensione da parte dell'hosting. Spesso il titolare è l'ultimo ad accorgersene, perché il codice dannoso si nasconde a chi è collegato come amministratore.
Quanto tempo ci vuole per ripulire il sito?
Dipende dalla dimensione del sito e da quanto è estesa l'intrusione: da qualche ora a qualche giorno lavorativo. La rimozione dell'avviso di Google richiede poi una revisione da parte loro, che in genere arriva entro pochi giorni ma non dipende da noi.
Perché hanno attaccato proprio il mio sito?
Quasi certamente non ti hanno scelto. Programmi automatici passano in rassegna milioni di siti cercando un plugin non aggiornato o una password debole. I siti piccoli sono i più colpiti, proprio perché di solito nessuno li segue.
Non basta installare un plugin di sicurezza e fare una scansione?
Una scansione aiuta a trovare una parte dei file dannosi, ma raramente tutti, e non dice da dove sono entrati. Se resta una sola porta nascosta, chi ha violato il sito rientra dopo qualche settimana. Per questo la pulizia va fatta a mano, su file e database, e deve concludersi con la chiusura della falla.
I dati dei miei clienti sono stati rubati?
Dipende da cosa conteneva il sito e da che tipo di intrusione è stata. Te lo diciamo dopo l'analisi, per iscritto. Se il sito trattava dati personali, per esempio un negozio online o un'area riservata, potresti avere obblighi di comunicazione previsti dal GDPR: in quel caso conviene coinvolgere subito chi ti segue per la privacy.
Come evito che succeda di nuovo?
Con tre abitudini: aggiornamenti regolari, password robuste e diverse per ogni accesso, copie di sicurezza quotidiane conservate fuori dal server. È esattamente ciò che comprende la manutenzione.
Prima il prezzo di partenza. Poi decidi tu.
Rispondi a poche domande: capiamo cosa ti serve e ti diciamo da che cifra si parte. Nessuna telefonata a sorpresa.