In breve: se il tuo sito è stato hackerato, la prima cosa è non cancellare niente. Cambia le password di WordPress, dell’hosting e dell’FTP, salva una copia del sito com’è adesso e avvisa chi lo gestisce. Poi bisogna capire da dove è entrato l’attacco: togliere il malware senza chiudere la falla è il modo più sicuro per ritrovarsi bucati dopo qualche giorno.
Lo scriviamo da chi segue più di 200 siti. Gli esempi sono su WordPress, ma il ragionamento vale per qualsiasi sito.
Come capisco se il mio sito è stato hackerato?
Un sito bucato non sempre si vede dalla home. Chi lo attacca di solito vuole usarlo senza farsi notare: per mandare visitatori altrove, pubblicare pagine di spam o spedire email. I segnali più comuni:
- redirect strani: chi arriva da Google finisce su siti di scommesse, farmaci o finti premi, mentre tu, che entri digitando l’indirizzo, vedi il sito normale;
- pagine in lingue che non hai nei risultati di Google (cerca “site:tuodominio.it” e guarda cosa esce);
- l’avviso del browser “Sito ingannevole” o “Il sito che stai per visitare contiene malware”;
- una mail di Google Search Console che segnala problemi di sicurezza;
- l’hosting che sospende il sito o blocca l’invio delle email per traffico sospetto;
- utenti amministratori che non conosci, plugin che non hai installato, file con nomi strani nella cartella del sito.
Basta uno di questi segnali per trattare il sito come compromesso finché non si dimostra il contrario.
Cosa fare nelle prime ore
Le prime mosse decidono quanto sarà facile ripulire il sito. Nell’ordine:
- Cambia le password: amministratori di WordPress, pannello dell’hosting, FTP o SFTP, database se puoi. Se usi la stessa password altrove, cambia anche quella.
- Salva una copia del sito com’è adesso, file e database, anche se è infetto. Serve per capire cosa è successo, non per rimetterla online.
- Controlla i backup: quanti ne hai, di quando sono, dove stanno. Un backup salvato sullo stesso server potrebbe essere infetto anche lui.
- Avvisa l’hosting: spesso ha già visto qualcosa nei log e può dirti se il problema riguarda anche altri siti sullo stesso spazio.
- Apri Google Search Console e guarda il report Problemi di sicurezza: dice cosa ha trovato Google e su quali pagine.
Se il sito vende, valuta di metterlo in manutenzione mentre si lavora: meglio un giorno offline che i clienti mandati su un sito di truffe.
Cosa non fare
|
Da evitare |
Perché |
|---|---|
|
Cancellare file a caso |
Si perdono le tracce per capire da dove è entrato l’attacco |
|
Reinstallare WordPress e basta |
Il codice malevolo sta spesso nel database e nella cartella dei caricamenti, e la falla resta aperta |
|
Ripristinare l’ultimo backup senza controllarlo |
Se l’attacco è vecchio, anche il backup può essere infetto |
|
Installare cinque plugin di sicurezza insieme |
Si rallenta il sito e si complica la diagnosi, senza togliere niente |
|
Chiedere subito a Google di riesaminare il sito |
Se la pulizia non è completa la richiesta viene respinta, e si riparte |
Come si rimuove il malware da un sito WordPress
Una pulizia fatta bene ha quattro passaggi, e il primo è il più importante.
1. Analisi
Si parte dalla copia del sito: scansione dei file e del database, confronto del core di WordPress, di temi e plugin con le versioni originali, controllo degli utenti e dei log del server. L’obiettivo è trovare la porta d’ingresso: di solito un plugin vecchio con una vulnerabilità nota, una password debole o rubata, un altro sito bucato sullo stesso hosting.
2. Pulizia
Si tolgono i file aggiunti dall’attacco, il codice inserito nei file esistenti e quello nascosto nel database (nelle opzioni, negli articoli, negli utenti). Core, tema e plugin si rimettono dalle fonti originali invece di correggerli a mano. Se c’è un backup pulito di prima dell’attacco, si valuta se ripartire da lì e recuperare a parte i contenuti e gli ordini arrivati dopo.
3. Chiusura della falla
Il plugin vulnerabile si aggiorna o si sostituisce, si cambiano di nuovo password e chiavi di sicurezza di WordPress, si eliminano gli accessi che non servono, si sistemano i permessi dei file e la versione di PHP. Senza questo passaggio la pulizia dura poco.
4. Google e hosting
Quando il sito è pulito, dalla Search Console si chiede a Google di riesaminarlo con il pulsante Richiedi esame, spiegando cosa è stato trovato e cosa è stato fatto. Google stesso dice che l’esame può richiedere da alcuni giorni a qualche settimana; quando è superato, l’avviso “sito pericoloso” sparisce. Le pagine di spam rimaste nei risultati si tolgono a parte. Se l’hosting aveva sospeso il sito o le email, gli si mostra che il problema è risolto.
Non sempre si riesce a recuperare tutto. Un sito molto compromesso, senza backup e con un tema modificato a mano negli anni, a volte conviene ricostruirlo partendo dai contenuti. Lo si capisce dopo l’analisi, non prima.
Come si evita che ricapiti
La maggior parte dei siti che vediamo bucati due volte ha lo stesso problema: è stato pulito, ma nessuno l’ha seguito dopo. Le cose che contano davvero sono poche:
- aggiornamenti regolari di WordPress, temi e plugin, provati prima su una copia del sito (staging);
- meno plugin, e solo quelli mantenuti: un plugin abbandonato è una porta che resta aperta;
- password uniche e autenticazione a due fattori per chi amministra il sito;
- un sistema che blocca i tentativi di intrusione prima che arrivino a WordPress;
- backup automatici salvati fuori dal server, con ripristini provati: sono quelli che ti permettono di tornare a prima dell’attacco;
- monitoraggio con avvisi se il sito cambia o va giù.
È il lavoro che descriviamo nella nota sull’assistenza WordPress e che facciamo con la manutenzione WordPress.
Cosa chiedere a chi ripulisce il sito
- Mi dite da dove è entrato l’attacco, o solo cosa avete tolto?
- Avete chiuso la falla o solo pulito i file?
- Avete controllato anche il database e gli altri siti sullo stesso hosting?
- Chi chiede il riesame a Google e chi segue la risposta?
- Il prezzo me lo dite prima di iniziare, dopo aver guardato il sito?
Da noi funziona così: prima un’analisi, poi ti diciamo cosa abbiamo trovato e quanto costa la pulizia, prima di cominciare. Se il sito lo seguiamo già in manutenzione, il malware facile da individuare lo togliamo nel canone; i casi complessi, o i siti che non seguiamo, vanno a preventivo. I dettagli sono nella pagina sul sito WordPress hackerato.
Ortica sono due persone, Riccardo e Davide, sul web dal 2016: chi ti risponde è chi ci lavora, senza intermediari.
