Sito WordPress hackerato: cosa fare subito e come ripulirlo

Le prime due ore, nell’ordine

1. Annota cosa vedi

   Screenshot dei redirect, delle pagine strane, degli avvisi di Google o del browser, con data e ora. Segna cosa è cambiato di recente: un plugin nuovo, un tema, un accesso dato a qualcuno.

2. Avvisa l’hosting

   Scrivi al supporto: chiedi se hanno rilevato malware, se altri siti sullo stesso spazio sono colpiti, quali backup hanno e da quale data. Se il sito è sospeso, chiedi cosa serve per riattivarlo.

3. Fai una copia del sito così com’è

   File e database, anche se infetti. Non usarla per ripristinare: serve per l’analisi e come paracadute.

4. Metti il sito in manutenzione

   Con una pagina di manutenzione, o chiedendo all’hosting di bloccare l’accesso pubblico: i visitatori non devono finire su pagine pericolose mentre lavori.

5. Cambia tutte le password da un computer pulito

   Pannello dell’hosting, FTP/SFTP, database, ogni utente amministratore di WordPress, caselle email del dominio. Attiva la verifica in due passaggi dove possibile.

6. Cerca un backup pulito

   Quello di un giorno sicuramente precedente ai primi segnali, possibilmente conservato fuori dall’hosting. Se non sei sicuro della data, meglio uno più vecchio.

I segnali di un sito WordPress violato

• Redirect: chi arriva dal telefono o da Google finisce su siti di scommesse, incontri, finti premi. Spesso tu, entrando direttamente, non vedi nulla: è voluto.
• Pagine spam su Google: cercando site: seguito dal tuo dominio compaiono migliaia di pagine in giapponese, di farmaci o di marchi contraffatti. Google chiama il caso più diffuso «Japanese keyword hack».
• Avvisi di Google: un’etichetta che indica che il sito potrebbe essere compromesso sotto il risultato di ricerca, o una pagina rossa nel browser che parla di sito ingannevole o di malware.
• Hosting che sospende il sito o lo spazio per malware, invio di spam o uso anomalo di risorse.
• Utenti amministratori che non conosci, spesso con nomi tecnici o simili ai tuoi.
• File PHP strani nelle cartelle del sito, file modificati di recente che nessuno ha toccato, cartelle con nomi casuali.
• Email di spam partite dal server: clienti che ricevono messaggi dal tuo dominio, posta che finisce nello spam perché l’indirizzo del server è in una lista nera.
• Proprietari sconosciuti in Search Console: chi attacca si aggiunge per cambiare sitemap e impostazioni.

Se invece il sito dà errore 500, pagina bianca o «errore critico» dopo un aggiornamento, di solito non è un attacco ma un plugin incompatibile: vedi sito non raggiungibile, che spiega anche la modalità di ripristino di WordPress e i certificati.

Perché non conviene cancellare tutto subito

La reazione istintiva è eliminare i file strani o reinstallare in fretta. Di solito peggiora le cose:

• se non capisci da dove sono entrati (un plugin vecchio, una password rubata, un altro sito sullo stesso spazio), rientrano in pochi giorni;
• chi attacca lascia quasi sempre più di una porta di servizio: togliere il file che vedi non toglie gli altri;
• senza una copia non puoi più valutare se sono usciti dati dei clienti, e non hai nulla da mostrare in caso di denuncia.

WordPress stesso consiglia di fare una copia anche dell’ambiente infetto, oltre ai backup puliti. Scansiona con l’antivirus anche il computer da cui accedi al sito: un programma che ruba le password FTP o di WordPress è una causa frequente, e cambiare password da un PC infetto non serve. Su questo vedi PC infetto da virus: cosa fare.

La pulizia: dal backup o a mano

Se hai un backup pulito

1. Ripristina file e database del backup precedente all’infezione.
2. Prima di riaprire il sito, aggiorna WordPress, temi e plugin all’ultima versione: il backup contiene la stessa falla da cui sono entrati.
3. Rifai il cambio delle password e i controlli della sezione successiva.

Se perdi ordini o articoli pubblicati dopo la data del backup, recuperali dalla copia infetta solo come testo, non come file.

Se non c’è un backup affidabile

1. Reinstalla il core di WordPress con file scaricati da wordpress.org, della stessa versione del sito, sostituendo per intero le cartelle wp-admin e wp-includes. Il pulsante di reinstallazione nella bacheca non basta: lascia al loro posto i file aggiunti.
2. Plugin e temi: elimina quelli non usati; reinstalla gli altri da fonti ufficiali, versione aggiornata.
3. Elimina i plugin e temi «nulled», cioè le versioni a pagamento craccate scaricate gratis: spesso contengono già una porta di servizio. Se ti servono, acquista la licenza dal produttore.
4. Controlla la cartella wp-content/uploads: lì dovrebbero esserci solo immagini e documenti, mai file .php.
5. Controlla i file preferiti da chi attacca: .htaccess (anche nelle sottocartelle), index.php, e nel tema header.php, footer.php, functions.php. Segnali tipici: righe lunghissime illeggibili, funzioni come eval, base64_decode, gzinflate.

Questa parte richiede di saper distinguere il codice legittimo da quello inserito: se non lavori abitualmente con file PHP, falla fare a un tecnico.

I controlli da fare in ogni caso

A pulizia finita, WordPress consiglia di cambiare di nuovo tutte le password: quelle cambiate all’inizio potrebbero essere state viste mentre il sito era ancora infetto.

Google Search Console: togliere gli avvisi

Gli avvisi nei risultati e nel browser non spariscono da soli in fretta. Serve Google Search Console, gratuita: se non l’hai, verifica la proprietà del sito.

1. Apri il rapporto Problemi di sicurezza: indica se Google ha trovato contenuti compromessi, malware o pagine ingannevoli, con esempi di indirizzi.
2. In Impostazioni → Utenti e autorizzazioni elimina i proprietari che non conosci, e il file di verifica che hanno lasciato sul sito.
3. Con lo strumento Controllo URL guarda le pagine come le vede Google: chi attacca spesso mostra lo spam solo al motore di ricerca.
4. Togli dalle sitemap gli indirizzi spam e quelle che non hai creato tu; le pagine spam devono rispondere «non trovata».
5. Quando tutto il sito è pulito e la falla è chiusa, premi Richiedi una revisione e spiega cosa hai trovato e cosa hai fatto.

Secondo Google, la revisione richiede circa un giorno per il phishing, alcuni giorni per il malware e fino a diverse settimane per lo spam da sito violato; se il sito risulta pulito, gli avvisi vengono tolti entro 72 ore. Non chiederla troppo presto: correggere solo alcune pagine non basta, e una richiesta respinta allunga i tempi. Le pagine spam escono dai risultati di ricerca gradualmente.

Se nel sito c’erano dati dei clienti

Moduli di contatto salvati nel database, ordini di un negozio online, account dei clienti, iscritti alla newsletter: se chi è entrato poteva leggerli, è un data breach. Dal momento in cui te ne accorgi hai 72 ore per valutare se notificarlo al Garante. Come si fa è spiegato in data breach: cosa fare. Dopo il ripristino ricontrolla anche il cookie banner: chi attacca a volte inserisce script di tracciamento.

Come evitare che ricapiti

• Aggiornamenti automatici: WordPress aggiorna da solo le versioni minori; attiva anche gli aggiornamenti automatici di plugin e temi affidabili.
• Pochi plugin, mantenuti e scaricati da fonti ufficiali. Niente versioni «nulled».
• Verifica in due passaggi per gli amministratori, password uniche, e un plugin che limita i tentativi di accesso.
• Backup automatici giornalieri, conservati fuori dall’hosting, con almeno qualche settimana di storico.
• SFTP al posto del vecchio FTP.
• Un hosting serio: PHP aggiornato, spazi isolati tra siti, backup e assistenza che risponde.

Quando affidarsi a un tecnico

• non hai un backup pulito e il sito va ripulito a mano;
• il sito è un negozio online o raccoglie dati dei clienti;
• l’infezione torna dopo la prima pulizia;
• l’hosting ha sospeso lo spazio o il server è in lista nera per spam;
• la richiesta di revisione a Google è stata respinta.

Un esempio concreto

Elena ha un agriturismo con un sito WordPress fatto anni fa. Un cliente le scrive che, cliccando il sito da Google, finisce su un casinò online. Cercando site: con il suo dominio, Elena trova centinaia di pagine in giapponese.

• Scrive all’hosting, che conferma file modificati e le fornisce un backup di tre settimane prima, precedente alle prime pagine spam.
• Il tecnico fa una copia del sito infetto e trova la causa: un tema craccato e un plugin di prenotazione mai aggiornato.
• Ripristina il backup, sostituisce il tema con uno ufficiale, aggiorna tutto, elimina un amministratore sconosciuto e rigenera le chiavi segrete.
• Elena cambia tutte le password dal suo PC, controllato prima con l’antivirus, e attiva la verifica in due passaggi.
• In Search Console elimina un proprietario sconosciuto e chiede la revisione.

Il modulo di prenotazione salvava nomi e telefoni: con un consulente privacy valuta il data breach.

Cosa fa il tecnico su Intervento

Indica l’indirizzo del sito, l’hosting, cosa vedi e da quando, con gli screenshot degli avvisi. L’orientamento gratuito ti dice quanto è urgente e cosa fare per primo. Con l’Analisi ottieni una lettura automatica di avvisi ed email dell’hosting. Con l’Esperto un tecnico informatico verificato ti risponde per iscritto: se è un attacco, da dove partire, cosa chiedere all’hosting e se il backup è utilizzabile. Con il livello Soluzione, su preventivo, ripulisce il sito, chiude la falla e segue la richiesta di revisione a Google.