Se il tuo sito è stato compromesso, l’ordine dei passaggi conta più della velocità. Prima si mette il sito in manutenzione, poi si fa una copia dello stato attuale, poi si cambiano le credenziali, e solo dopo si pulisce. Chi inverte questi passaggi di solito peggiora la situazione, e a volte cancella le uniche tracce utili a capire da dove sono entrati.
Se sta succedendo adesso, scrivici su WhatsApp: guardiamo il sito e ti diciamo in che stato è. scrivici ora su WhatsApp
Come capire che è successo
I segnali più comuni, in ordine di frequenza:
- Il browser mostra un avviso di sito pericoloso ai visitatori
- Nei risultati di Google compaiono, sotto il tuo dominio, pagine che non hai mai creato
- Il sito reindirizza a un altro indirizzo, ma solo da telefono o solo per chi arriva da una ricerca
- Compaiono utenti amministratori che non hai creato
- Il server invia grandi quantità di posta e l’hosting ti avvisa
- File modificati in date in cui nessuno ha lavorato al sito
Il terzo caso è il più insidioso: se apri il sito dal tuo computer sembra tutto normale, perché il reindirizzamento è impostato per non attivarsi con chi visita spesso il sito.
Le prime due ore, in ordine
1. Metti il sito in manutenzione. Non spegnerlo del tutto: una pagina di manutenzione con codice di stato corretto evita che i visitatori vengano infettati e che Google interpreti il sito come scomparso.
2. Fai una copia dello stato attuale, com’è. Sembra controintuitivo copiare un sito compromesso, ma quella copia serve a capire cosa è successo. Tienila separata e non ripristinarla mai per errore.
3. Cambia tutte le credenziali. Amministratori del sito, database, FTP e SSH, pannello dell’hosting, account del registrar. Da un computer che sei ragionevolmente sicuro non sia a sua volta compromesso.
4. Avvisa chi deve saperlo. Se il sito raccoglie dati di clienti o ordini, la comunicazione non è facoltativa e ha tempi definiti dalla normativa. È il momento di sentire chi segue la protezione dei dati per la tua azienda.
5. Solo adesso, ripulisci.
L’errore che quasi tutti commettono
Ripristinare il backup più recente e considerare chiuso il caso.
Il problema è che la compromissione quasi sempre è avvenuta prima di quanto pensi: le pagine indesiderate compaiono settimane dopo l’ingresso. Il backup più recente contiene la stessa porta aperta, e nel giro di pochi giorni ti ritrovi al punto di partenza — con in più la convinzione di aver risolto.
Ripristinare va bene, ma solo dopo aver capito da dove sono entrati e aver chiuso quella via. Nella grande maggioranza dei casi è un plugin non aggiornato, spesso uno che nessuno usa più.
Altri due errori frequenti: cancellare i file sospetti senza guardare le date di modifica, che elimina le tracce utili; e reinstallare WordPress sopra l’installazione esistente, che sostituisce i file del sistema ma lascia intatto quello che è stato aggiunto altrove.
La pulizia, in sintesi
- Sostituzione dei file di WordPress, del tema e dei plugin con copie originali
- Rimozione dei plugin non necessari e di quelli abbandonati dallo sviluppatore
- Ispezione del database: utenti aggiunti, contenuti modificati, codice inserito nelle opzioni
- Controllo delle attività programmate, dove spesso resta un meccanismo di ripristino automatico
- Verifica dei file di configurazione del server, un altro punto in cui vengono lasciati reindirizzamenti
- Aggiornamento completo e nuovo cambio credenziali
- Riattivazione del sito e osservazione per almeno due settimane
Il punto 4 è quello che spiega i casi in cui “il sito si è infettato di nuovo da solo”: non si è reinfettato, non era mai stato ripulito del tutto.
Rientrare nelle liste di Google
Se il browser mostra l’avviso di sito pericoloso, dopo la pulizia va chiesta esplicitamente una revisione dalla Search Console del tuo dominio, nella sezione dedicata ai problemi di sicurezza.
Due avvertenze. La richiesta va fatta dopo la pulizia, non durante: una revisione fallita allunga i tempi. E il ripristino non è immediato, quindi conta di stare fuori per qualche giorno anche a lavoro finito.
Nel frattempo il danno più grosso non è tecnico: è che ogni visitatore vede una schermata rossa con il nome della tua azienda sopra.
Come non tornarci
Nella quasi totalità dei casi che ci arrivano, l’ingresso è stato uno di questi tre:
- Un plugin non aggiornato, con una vulnerabilità nota da mesi
- Un plugin abbandonato dallo sviluppatore, che quindi non riceverà mai la correzione
- Credenziali deboli o riutilizzate, senza verifica in due passaggi
Sono tutti e tre prevenibili con controlli ordinari. È il motivo per cui la manutenzione costa una frazione di quello che costa il recupero.
Domande frequenti
Quanto costa ripulire un sito compromesso? Dipende da quanto è estesa la compromissione e da quanto tempo è passata inosservata. In generale un recupero costa più di un anno intero di manutenzione, ed è il confronto che conviene tenere a mente.
Posso pulirlo da solo con un plugin di sicurezza? Un buon plugin trova le anomalie più comuni, e a volte basta. Su una compromissione strutturata no: quello che serve trovare è ciò che il plugin non riconosce come estraneo.
Perdo il posizionamento su Google? Se il sito resta segnalato per giorni, sì, e in parte. Si recupera dopo la revisione, ma non istantaneamente. È un altro motivo per non rimandare.
Hanno rubato i dati dei miei clienti? Va accertato caso per caso, ed è la domanda su cui non si improvvisa. Se il sito raccoglieva dati personali o ordini, ci sono obblighi di comunicazione con tempi stretti: rivolgiti a chi segue la protezione dei dati per la tua azienda.
Se vuoi che ce ne occupiamo noi
Facciamo analisi, pulizia, chiusura del punto d’ingresso, richiesta di revisione a Google e monitoraggio nelle settimane successive. E ti diciamo, con le date alla mano, da dove sono entrati.
Assistenza e manutenzione siti web — ADS Network, dal 2005.