Un sito WordPress compromesso si riconosce da pochi segnali: redirect verso siti strani, pagine che non hai creato, avviso rosso di Google, email di spam partite dal tuo dominio. Se ne vedi uno, il sito è già stato violato e ogni ora che passa peggiora la situazione: i motori di ricerca declassano il dominio e le liste di blocco si aggiornano.
Questa è la sequenza da seguire, in ordine, dalla prima ora alla messa in sicurezza. È la stessa che seguo quando un cliente mi chiama dicendo che il sito è impazzito.
Come capire che il sito è compromesso
| Segnale | Cosa significa | Quanto è grave |
|---|---|---|
| Google mostra «sito pericoloso» o «può danneggiare il computer» | Il sito distribuisce malware o phishing ed è stato segnalato | Alto: il traffico organico si azzera in pochi giorni |
| Il sito reindirizza a un altro dominio | File o database modificati per inviare visitatori altrove | Alto: i clienti non arrivano più |
| Email di spam o bounce dal tuo dominio | Il server di posta viene usato per inviare messaggi | Alto: il dominio finisce nelle blacklist |
| Utenti amministratori che non hai creato | Accesso backdoor lasciato aperto | Alto: la pulizia non è finita finché ci sono |
| File nuovi in cartelle che non usi | Shell o script caricati per mantenere l’accesso | Medio-alto: va rimosso prima di tutto il resto |
| Calo di traffico senza motivo apparente | A volte è il primo segnale, prima degli avvisi | Medio: da controllare con Search Console |
Un sito può anche essere compromesso senza mostrare niente: in quel caso lo script lavora in background e lo scopri quando Google avvisa i visitatori. Per questo i controlli periodici contano più della reazione.
I primi 60 minuti: cosa fare in ordine
- Non cancellare niente. File e database sono la prova di cosa è successo e servono per capire da dove è entrato l’attacco.
- Fai un backup completo di file e database, prima di qualsiasi modifica. Va tenuto da parte, fuori dal server.
- Cambia le password di amministrazione WordPress, hosting, FTP e database. Se sono le stesse su altri servizi, cambiale anche lì.
- Metti il sito offline o in manutenzione: se distribuisce malware, ogni visitatore è un danno in più.
- Attiva o rinnova il certificato SSL e controlla che non ci siano pagine che raccolgono dati senza HTTPS.
- Avvisa chi gestisce hosting e posta, perché a volte l’accesso è arrivato da lì e non dal sito.
Se il sito vende, il passaggio 4 va pesato: metterlo offline blocca gli incassi. In quel caso si tiene online togliendo le pagine infette, che è più lento ma evita di perdere ordini.
Come si ripulisce un sito compromesso
La pulizia non è cancellare i file strani che si vedono. Gli attacchi lasciano più punti di accesso, e rimuoverne uno solo significa essere violati di nuovo dopo pochi giorni. La sequenza corretta è questa:
- Reinstallare core di WordPress, tema e tutti i plugin, anche quelli che sembrano a posto.
- Confrontare le cartelle di temi e plugin con le versioni ufficiali: ogni file in più va analizzato.
- Cercare backdoor in wp-config.php, .htaccess, cartella uploads e file con nomi simili a quelli legittimi.
- Pulire il database: utenti aggiunti, opzioni sconosciute, script negli articoli, link inseriti nei widget.
- Verificare i permessi dei file (644 per i file, 755 per le cartelle) e disattivare l’editor dei temi da WordPress.
- Ricontrollare dopo una settimana: se i file sospetti tornano, c’è un accesso ancora aperto.
In parallelo si chiede la revisione a Google tramite Search Console, che richiede di dichiarare gli interventi fatti. La revisione richiede da uno a diversi giorni e durante l’attesa il sito resta segnalato.
Quanto tempo e quanto costa
Un caso semplice, con un plugin vulnerabile e pochi file infetti, si chiude in tre o quattro ore. Un sito con backdoor nel database, utenti nascosti e pagine generate in automatico richiede sei-otto ore e in alcuni casi conviene ricostruire il sito da un backup pulito.
A 70 euro l’ora significa tra 200 e 600 euro, a cui si aggiungono i giorni di traffico perso. Il costo più alto però è quello che non si vede: un dominio segnalato perde posizioni e ci mette mesi a recuperarle, anche quando il sito è già pulito.
Come evitare che succeda di nuovo
Quasi tutti gli attacchi partono da tre cose: plugin o temi non aggiornati, password deboli o riutilizzate, accesso all’area di amministrazione senza protezione. Chiudere queste tre porte elimina la maggior parte dei rischi.
In pratica: aggiornamenti mensili, autenticazione a due fattori, limitazione dei tentativi di accesso, un firewall applicativo e backup conservati fuori dal server. Se il sito non viene aggiornato da mesi, la prima cosa da fare è un controllo completo, non un plugin di sicurezza in più. Trovi il piano completo nell’articolo su backup e sicurezza del sito.
Domande frequenti
Se il sito è compromesso, il backup mi salva?
Solo se è precedente all’attacco e se il ripristino è stato provato almeno una volta. Un backup di tre mesi prima riporta online il sito, ma perdi tutti i contenuti e gli ordini di quei mesi.
Devo avvisare i clienti?
Se dal sito sono passati dati personali o pagamenti, sì: il GDPR chiede di comunicare la violazione al Garante entro 72 ore quando c’è rischio per le persone. Su questo conviene sentire un consulente, non improvvisare.
Basta cambiare la password per risolvere?
No. Cambiare la password chiude un accesso, ma non rimuove i file che l’attaccante ha caricato né gli utenti che ha creato.
Un sito pulito può essere violato di nuovo?
Sì, se la causa non è stata rimossa. Un tema pirata o un plugin abbandonato reintroducono la vulnerabilità anche dopo la pulizia.
Se il tuo sito mostra uno di questi segnali, la cosa utile è capire subito da dove è entrato l’attacco. Con la manutenzione del sito il controllo è mensile e il problema si intercetta prima che diventi un’emergenza. Per una situazione già in corso, scrivimi dal modulo di preventivo indicando cosa hai visto: ti rispondo entro un giorno lavorativo.