Un sito hackerato si recupera quasi sempre, però l’ordine delle operazioni conta. La prima cosa da fare è limitare i danni: metti il sito in manutenzione, cambia le password e salva una copia dello stato attuale prima di toccare altro. Poi si cerca la porta usata dall’attaccante, si pulisce e si ripristina. Qui trovi i passaggi che seguo io, uno dopo l’altro.
I segnali di un sito hackerato
Non sempre l’attacco si vede. A volte il sito sembra normale, ma nasconde pagine di spam visibili solo a Google. Ecco i segnali più comuni:
- reindirizzamenti verso siti di scommesse, farmaci o truffe, spesso solo da smartphone;
- risultati su Google con titoli in lingue strane o prodotti che non vendi;
- avvisi del browser che segnalano il sito come pericoloso;
- utenti amministratori che non hai creato tu;
- email inviate dal tuo server che finiscono nello spam o vengono bloccate;
- file sconosciuti nell’hosting, oppure un sito improvvisamente lentissimo.
Un controllo rapido lo puoi fare subito. Cerca su Google «site:tuodominio.it» e scorri i risultati. Se compaiono pagine che non riconosci, il sito è compromesso.
A volte se ne accorge per primo l’hosting. Alcuni fornitori sospendono il sito in automatico quando rilevano file sospetti o invii di spam anomali. Se ricevi un avviso del genere, non ignorarlo e non limitarti a riattivare il sito.
Primo passo: fermare i danni
Con un sito hackerato la fretta è cattiva consigliera, quindi non cancellare nulla. Innanzitutto metti il sito in manutenzione o chiedi all’hosting di sospenderlo. Così proteggi i visitatori ed eviti di diffondere altro codice malevolo. Poi cambia tutte le password: pannello dell’hosting, accesso FTP, database, amministratori di WordPress e caselle email collegate.
Dopo, fai una copia completa del sito così com’è, file e database. Sembra strano salvare un sito infetto. Tuttavia quella copia serve a capire da dove è entrato l’attaccante. Inoltre è l’unica traccia se poi devi ricostruire cosa è successo.
Avvisa anche chi lavora sul sito con te: collaboratori, agenzia, sviluppatore. Nessuno deve fare modifiche finché non è chiaro cosa è successo. Altrimenti si rischia di cancellare tracce utili o, peggio, di riaprire la porta appena chiusa.
Trovare la falla che ha permesso l’attacco
Pulire senza capire la causa significa subire un nuovo attacco dopo pochi giorni. Quando mi chiamano per un sito hackerato, la prima cosa che controllo sono le versioni di WordPress, del tema e dei plugin. Molto spesso la porta d’ingresso è un plugin non aggiornato o un tema scaricato da siti non ufficiali.
Le altre cause frequenti sono password deboli o riutilizzate e computer infetti da cui si accede al pannello. Poi ci sono gli account di vecchi collaboratori mai eliminati. Guardo anche i log del server, se l’hosting li conserva. In pratica raccontano chi ha fatto cosa, e quando.
Controllo anche il computer da cui accedi al sito. Se è infetto, può rubare di nuovo le password appena cambiate. Per questo, quando il dubbio c’è, conviene cambiarle una seconda volta da un dispositivo pulito.
Pulire e ripristinare il sito hackerato
Le strade sono due. La più sicura è ripristinare un backup pulito, cioè precedente all’attacco. Se ce l’hai, di solito è anche la soluzione più veloce. Attenzione però: il sito ripristinato va aggiornato subito, altrimenti la falla resta aperta. Per questo conviene sapere come impostare un backup del sito fatto bene.
Se il backup non c’è, o è già infetto, si pulisce a mano. In pratica si reinstallano WordPress, tema e plugin da fonti ufficiali. Poi si controllano i file caricati e il database, alla ricerca di codice inserito dall’attaccante. È un lavoro lungo e delicato. La documentazione ufficiale di WordPress dedica al tema una pagina, «FAQ My site was hacked».
Infine rimuovo gli utenti sospetti, rigenero le chiavi di sicurezza nel file wp-config.php e cambio di nuovo le password, questa volta a lavoro finito.
Dopo la pulizia tengo il sito sotto osservazione per qualche settimana. Controllo i file modificati, gli accessi e i risultati su Google. Se qualcosa ricompare, significa che una porta è rimasta aperta.
Google, clienti e dati personali
Se Google ha segnalato il sito hackerato, dopo la pulizia bisogna chiedere una revisione da Search Console, nella sezione sui problemi di sicurezza. Di solito la verifica richiede da qualche giorno a qualche settimana. Nel frattempo gli avvisi possono restare visibili.
C’è poi un aspetto che molti trascurano. Se il sito conservava dati personali, per esempio ordini, moduli o account utente, l’attacco può essere una violazione dei dati. In questi casi il GDPR prevede la notifica al Garante entro 72 ore, quando c’è un rischio per le persone. Sul sito del Garante privacy trovi le indicazioni e la procedura. Nel dubbio, parlane subito con chi segue la privacy della tua azienda.
Valuta anche se avvisare i clienti. Un messaggio breve e onesto funziona meglio del silenzio, soprattutto se qualcuno ha visto avvisi strani o ha ricevuto email sospette a tuo nome.
Come prevenire un nuovo attacco al sito
Una volta pulito, il sito va protetto. Queste sono le misure che applico sempre:
- aggiornamenti regolari di WordPress, tema e plugin;
- solo plugin necessari, scaricati da fonti ufficiali;
- password lunghe e diverse, con l’autenticazione a due fattori per gli amministratori;
- backup automatici conservati fuori dall’hosting;
- un firewall applicativo e un controllo periodico dei file;
- un account personale per ogni collaboratore, da eliminare quando il rapporto finisce.
Nessun sito è inattaccabile. Però un sito aggiornato e controllato è un bersaglio molto meno comodo. Gli attacchi automatici cercano falle note, e passano oltre quando non le trovano.
E i costi? La pulizia professionale di un sito hackerato costa in genere da circa 200 a 800 euro, a seconda della gravità. Un contratto di manutenzione annuale parte invece da poche centinaia di euro. Di conseguenza prevenire costa quasi sempre meno che rimediare. Senza contare le giornate di lavoro perse e la fiducia dei clienti, che nessun preventivo può restituire.
Domande frequenti sul sito hackerato
Basta un plugin di sicurezza per pulire il sito?
Aiuta a trovare i file sospetti, però non sempre li trova tutti. Inoltre non chiude la falla da cui è entrato l’attacco. Va usato insieme a un controllo manuale. Dopo la pulizia, invece, un buon plugin di sicurezza resta utile per tenere d’occhio accessi e file modificati.
Devo rifare il sito da zero?
Raramente, perché di solito si recupera. Conviene ripartire solo se il sito era già vecchio e fermo da anni. Ne parlo nell’articolo su come capire se rifare il sito web o ottimizzarlo.
L’hosting può aiutarmi?
Sì, spesso può fornire log, backup e scansioni del server. Contattalo subito, anche solo per sapere cosa conserva e per quanto tempo.
Se il tuo sito è stato attaccato, o vuoi evitare che succeda, posso aiutarti. Guarda il servizio di consulenza informatica e sicurezza oppure contattami subito. Intervengo anche da remoto, in tutta Italia.