Scoprire che il proprio sito è stato compromesso è un brutto momento, ma nella maggior parte dei casi la situazione è recuperabile. La differenza la fa agire con metodo: riconoscere l’attacco, contenerlo, pulire e rimettere in sicurezza. Ecco come.
Mantieni la calma: un sito hackerato si recupera
La prima reazione, davanti a un sito compromesso, è quasi sempre il panico. Ma la fretta porta a errori (come cancellare file a caso o ripristinare un backup sbagliato) che possono peggiorare le cose. Un sito hackerato, nella stragrande maggioranza dei casi, si recupera: basta seguire un processo ordinato in tre fasi, ovvero analisi, pulizia e rimessa in sicurezza.
In questo articolo vediamo i passi che un utente esperto può affrontare da solo, e indichiamo con chiarezza il punto oltre il quale conviene rivolgersi a un professionista. Avere a portata di mano un backup recente rende tutto molto più semplice: se non lo hai, è il primo problema da risolvere in futuro.
Come capire se il sito è davvero compromesso
A volte l’attacco è evidente, altre volte è subdolo. I segnali tipici di un sito compromesso sono:
- Redirect inattesi, con i visitatori dirottati verso siti sconosciuti o sospetti.
- Avvisi del browser del tipo “Sito non sicuro” o “Sito ingannevole”, e segnalazioni di Google.
- Contenuti spam o pagine che non hai mai creato, spesso piene di link esterni.
- Utenti amministratori sconosciuti, comparsi nella sezione Utenti senza che tu li abbia creati.
- File PHP sospetti in cartelle dove non dovrebbero esserci, come
wp-content/uploads. - Comportamenti anomali del server: picchi di CPU, email in uscita che non riconosci, o l’hosting che sospende il dominio.
Se noti uno di questi segnali, conviene trattare il sito come compromesso e procedere con i passi che seguono.
I primi passi d’emergenza
In una compromissione il tempo conta, ma più della velocità conta l’ordine. Ecco cosa fare per prime cose, in sequenza.
Metti il sito in manutenzione o limita l’accesso. Sospendere temporaneamente il sito (meglio ancora a livello di server, tramite il pannello dell’hosting) protegge i visitatori ed evita che il malware si diffonda o danneggi la reputazione del dominio.
Fai una copia dello stato attuale, prima di pulire. Anche se il sito è infetto, conviene salvarne un’istantanea completa (file e database) prima di intervenire: serve sia come analisi di ciò che è successo, sia come rete di sicurezza nel caso la pulizia vada storta. Tienila separata dai backup “puliti”.
Cambia tutte le password. Non solo quella di amministratore di WordPress, ma anche quelle dell’hosting, dell’accesso FTP/SFTP e del database. Se un attaccante ha rubato una credenziale, cambiarle tutte chiude la porta che ha usato.
Avvisa il tuo hosting. Il supporto può aiutarti a identificare problemi a livello di server e, soprattutto, fornirti i log degli accessi, preziosi per capire come e quando è avvenuta l’intrusione.
Trovare l’intrusione
Prima di pulire, è utile capire l’entità del problema. Una scansione con un plugin di sicurezza (o con un servizio cloud come quelli di Sucuri o MalCare) individua file modificati, codice iniettato e vulnerabilità note.
In parallelo, due controlli manuali sono particolarmente rivelatori. Il primo: vai in Utenti → Tutti gli utenti e cerca account amministratore o editore che non riconosci: gli attaccanti creano quasi sempre un utente “backdoor” per rientrare anche dopo la pulizia. Il secondo: controlla la cartella wp-content/uploads alla ricerca di file .php. In un’installazione normale lì non dovrebbero esserci file eseguibili, quindi ogni .php in quella posizione è sospetto.
Pulire il sito: due strade
Una volta inquadrato il problema, ci sono due approcci principali per pulire il sito.
Strada 1, ripristino da un backup pulito. Se hai un backup recente e sicuramente precedente alla compromissione, ripristinarlo è spesso il modo più rapido e affidabile per tornare a uno stato sano. È proprio in questi momenti che si capisce il valore di una buona strategia di backup. Attenzione però alla data: il backup deve essere anteriore all’infezione, altrimenti si rischia di ripristinare anche il malware.
Strada 2, pulizia manuale. Se non hai un backup pulito, la via è reinstallare da fonti ufficiali: sostituire il core di WordPress con una copia pulita, reinstallare tema e plugin dalle fonti ufficiali (eliminando quelli non più necessari) e bonificare il database da contenuti e utenti malevoli. È un lavoro più tecnico e delicato, perché il malware può nascondersi in più punti e ripresentarsi se anche un solo file infetto sfugge.
In entrambi i casi, dopo la pulizia il sito va considerato “a rischio” finché non è stato rimesso in sicurezza, come vediamo più avanti.
Quando rivolgersi a un professionista
Qui è importante essere onesti sul limite del fai-da-te. La pulizia manuale di un sito infetto è un’attività che richiede esperienza, e una pulizia incompleta porta quasi sempre a una nuova infezione nel giro di poco tempo.
Conviene rivolgersi a uno sviluppatore o a un servizio di rimozione malware professionale quando: non hai un backup pulito da cui ripartire; il sito viene reinfettato subito dopo la pulizia; la compromissione sembra estesa al server o ad altri siti sullo stesso hosting; oppure semplicemente quando non ti senti sicuro di ciò che stai facendo. Servizi come Sucuri o MalCare offrono la rimozione gestita del malware, e molti hosting hanno un supporto dedicato a questi casi. Affidarsi a un professionista non è una sconfitta: su un sito che genera traffico o vendite, è spesso la scelta più rapida ed economica.
Rimettere in sicurezza dopo la pulizia
Pulire non basta: bisogna chiudere la porta da cui è entrato l’attacco, altrimenti il problema si ripresenta. Dopo la bonifica, è il momento di:
- Aggiornare tutto (core, tema e plugin) alle ultime versioni, seguendo le buone pratiche viste nell’articolo su come aggiornare in sicurezza, ed eliminare i componenti inutilizzati.
- Rigenerare le chiavi e i “sali” di sicurezza in
wp-config.php, così da invalidare tutte le sessioni e i cookie eventualmente rubati. - Reimpostare di nuovo le password e attivare l’autenticazione a due fattori, almeno per gli account amministratori.
- Applicare le misure di hardening per ridurre la superficie d’attacco e impedire che la stessa vulnerabilità venga sfruttata di nuovo.
Questo passaggio è ciò che trasforma un’emergenza in un’occasione per rendere il sito più solido di prima.
Togliere il sito dalla blacklist di Google
Se durante la compromissione Google ha contrassegnato il sito come pericoloso, i visitatori vedranno un avviso rosso al posto delle pagine, anche dopo la pulizia. Per rimuoverlo bisogna passare da Google Search Console.
Nella sezione Sicurezza e azioni manuali → Problemi di sicurezza trovi il dettaglio di ciò che Google ha rilevato. Una volta che il sito è stato pulito e rimesso in sicurezza, da lì puoi usare l’opzione Richiedi una revisione, spiegando le azioni che hai svolto per risolvere il problema. Se Google verifica che il sito è di nuovo sicuro, l’avviso viene rimosso, in genere nel giro di qualche giorno. È importante richiedere la revisione solo dopo aver davvero ripulito tutto: una revisione fallita allunga i tempi.
Come evitare che succeda di nuovo
Un sito recuperato è anche un’ottima occasione per non ritrovarsi nella stessa situazione. Tutte le abitudini di cui abbiamo parlato in questa serie servono esattamente a questo: la sicurezza come processo, gli aggiornamenti regolari, una gestione attenta dei ruoli utente, un plugin di sicurezza ben configurato, backup automatici verificati e le configurazioni di hardening.
Nessuna di queste misure, da sola, è una garanzia assoluta; tutte insieme rendono un attacco molto più difficile e, soprattutto, molto meno dannoso quando si verifica.
Prossimi passi
Se stai leggendo questo articolo a freddo, senza un’emergenza in corso, sei nella posizione migliore: è il momento ideale per prepararti. Verifica di avere un backup automatico e funzionante, attiva l’autenticazione a due fattori, e tieni a portata di mano i contatti del tuo hosting e di un eventuale professionista di fiducia.
Se invece sei qui perché il tuo sito è compromesso proprio ora, ricorda l’ordine: contieni, fai una copia, cambia le password, pulisci, rimetti in sicurezza. Un passo alla volta, senza panico: nella maggior parte dei casi, il sito torna online più sicuro di prima.
