Sito WordPress hackerato: cosa fare subito, passo dopo passo

Se hai un sito WordPress hackerato, l’ordine delle mosse conta più della velocità. Prima salvi una copia completa dello stato compromesso, poi contieni l’accesso e cambi le credenziali, poi capisci cosa è stato toccato, ripulisci file e database, chiudi la falla da cui sono entrati e solo alla fine gestisci Google. Saltare un passaggio, o ripristinare il primo backup che trovi, è il modo più comune per ritrovarsi con il malware di nuovo online dopo pochi giorni.

In questa guida ti spiego la sequenza che seguo quando un sito arriva in questo stato, cosa puoi fare da solo e il punto in cui conviene fermarsi e chiamare qualcuno.

Come capire se il tuo sito WordPress è stato hackerato

I segnali più frequenti sono questi:

• il sito reindirizza i visitatori verso pagine di spam, scommesse o falsi premi, a volte solo da mobile o solo se arrivi da Google
• su Google compaiono pagine che non hai mai creato, spesso in giapponese o su farmaci e gioielli (prova a cercare site:tuodominio.it)
• nella bacheca c’è un utente amministratore che nessuno ricorda di aver creato
• Chrome mostra l’avviso rosso “Sito ingannevole” o Search Console segnala un problema di sicurezza
• il sito è improvvisamente lento, oppure le email partono da sole o finiscono tutte in spam
• file e plugin risultano modificati in date in cui nessuno ha lavorato

Un solo sintomo non è una diagnosi. Una schermata bianca subito dopo un aggiornamento, per esempio, è molto più spesso un conflitto tra plugin che un attacco. Prima di dare per certo l’hack, verifica con chi lavora sul sito che nessuno abbia cambiato qualcosa. Se invece i sintomi sono due o più, o c’è un redirect, parti dal presupposto che il sito sia compromesso.

Sito WordPress hackerato: cosa fare nelle prime ore

1. Salva una copia completa, anche se è compromessa

È l’istinto opposto a quello che hai, ma è il primo passo: prima di pulire qualsiasi cosa, scarica tutti i file e l’esportazione del database così come sono. Quella copia ti serve per capire cosa hanno fatto e da dove sono entrati, e se nel sito ci sono dati personali è anche la documentazione dell’incidente. Se pulisci subito, perdi le prove e con loro la possibilità di chiudere davvero la falla.

2. Contieni il danno

Metti il sito in manutenzione o, se l’hosting lo permette, limita l’accesso al tuo IP. Serve a fermare i redirect verso i tuoi visitatori e a non diffondere malware. Se sullo stesso spazio hosting ci sono altri siti, controlla subito anche quelli: un’infezione passa da un sito all’altro molto più spesso di quanto si pensi.

3. Cambia tutte le credenziali

Cambia le password di hosting, FTP o SSH, database, amministratori di WordPress e della casella email collegata al sito. Rigenera anche le chiavi di sicurezza (i salt) nel file wp-config.php, così le sessioni già aperte dall’attaccante smettono di funzionare. Fallo da un computer che sai pulito. E ripeti il giro alla fine della pulizia, perché se una backdoor sopravvive, quella password è già nelle sue mani.

Come capire cosa hanno toccato

Una pulizia che parte dal sintomo, cioè dalla pagina di spam che vedi, ripulisce solo una parte del problema. Gli attaccanti lasciano quasi sempre più punti di ingresso, e il lavoro serio è trovarli tutti. Questi sono i controlli minimi:

• File del core e dei plugin. Con WP-CLI puoi confrontare i file con quelli ufficiali: wp core verify-checksums e wp plugin verify-checksums --all. Ogni file segnalato come diverso o aggiunto va guardato.
• Cartella uploads. Qui non dovrebbero esserci file PHP. Se ne trovi, sono quasi sempre malware.
• File di configurazione. Controlla .htaccess, wp-config.php e la cartella mu-plugins, dove il codice malevolo si nasconde perché non compare nell’elenco dei plugin.
• Utenti e cron job. Cerca amministratori sconosciuti e attività pianificate che non riconosci: servono a ricreare l’infezione dopo la pulizia.
• Database. Gli URL del sito nelle opzioni, gli script iniettati nei contenuti, i plugin attivi che non hai installato.
• Log del server. Dicono da quale richiesta è partito tutto, ed è l’unico modo per sapere quale porta è stata aperta.

Pulizia del sito WordPress hackerato: file e database

Quando sai cosa è compromesso, la regola è sostituire, non rattoppare:

1. Reinstalla il core di WordPress da una fonte ufficiale, lasciando intatti wp-content e wp-config.php.
2. Elimina e reinstalla ogni plugin e tema da fonti ufficiali o dal fornitore. Se qualcosa era “nulled”, cioè una versione pirata di un plugin premium, non va reinstallato: va sostituito con la licenza originale.
3. Rimuovi i file estranei dalla cartella uploads e da mu-plugins, e ripristina un .htaccess pulito.
4. Elimina utenti, cron job e opzioni sospette dal database, e cerca gli script iniettati nei contenuti.
5. Cambia di nuovo tutte le credenziali.

Se ti stai chiedendo se basti ripristinare un backup: dipende da quando è stato fatto. Se l’infezione è precedente al backup, ripristinarlo significa reinstallare il malware. Lo usi come base solo dopo aver stabilito la data dell’intrusione.

Chiudere la falla, altrimenti il malware torna

Qui si decide se l’intervento regge. Un sito ripulito ma ancora vulnerabile viene reinfettato, spesso nel giro di giorni, perché i bot che scansionano il web ripassano. Le cause più frequenti che trovo:

• core, tema o plugin non aggiornati, con vulnerabilità note e pubbliche
• plugin e temi nulled
• credenziali deboli o riutilizzate, soprattutto di FTP e amministratori
• versione PHP obsoleta e permessi di file e cartelle troppo larghi
• hosting condiviso con altri siti infetti

Aggiorna tutto, elimina quello che non usi (un plugin disattivato ma presente può comunque essere sfruttato) e chiedi all’hosting i log del periodo dell’intrusione. Se il problema nasce dal server, nessuna pulizia lato WordPress basta: in quel caso la migrazione verso un hosting più serio è parte della soluzione.

Cosa fare con Google dopo che il sito è stato ripulito

Se il sito era segnalato come pericoloso, o se Google ha indicizzato pagine di spam, la pulizia non basta: devi dirlo a Google.

1. Apri Search Console e controlla i report Problemi di sicurezza e Azioni manuali.
2. Quando il sito è davvero pulito, usa Richiedi una revisione nel report interessato, descrivendo cosa hai trovato e cosa hai fatto. Una richiesta generica, o inviata con il sito ancora infetto, viene respinta e allunga i tempi.
3. Le pagine di spam già indicizzate devono restituire errore 404 o 410. Se vuoi nasconderle subito dai risultati, lo strumento Rimozioni di Search Console lo fa in modo temporaneo.
4. Controlla la sitemap e rimuovi eventuali URL spam.

Il posizionamento di solito torna, ma non in un giorno, e più a lungo il sito è rimasto infetto più il recupero è lento. È uno dei motivi per cui l’intervento non va rimandato.

Gli errori che fanno tornare il malware

Sono sempre gli stessi:

• ripristinare un backup senza aver capito quando è entrato l’attaccante
• cancellare la pagina di spam e fermarsi lì
• affidarsi a un solo plugin di sicurezza. Uno scanner trova i pattern noti, non una backdoor scritta apposta per non essere riconosciuta
• dimenticare le credenziali di FTP e database, e non cambiare di nuovo tutto a pulizia finita
• lasciare un amministratore o un cron job sconosciuto
• non controllare gli altri siti sullo stesso hosting
• non toccare la causa e tenere tutto com’era

Dati personali e GDPR: quando c’è un obbligo di notifica

Se il sito raccoglie dati tramite form, account o ordini e c’è il sospetto che siano stati esposti, sei il titolare del trattamento e devi valutare se si tratta di una violazione dei dati personali. In quel caso la notifica al Garante va fatta entro 72 ore da quando ne vieni a conoscenza, salvo sia improbabile che la violazione comporti rischi per le persone coinvolte. In ogni caso l’evento va documentato. Non sono un avvocato: per la valutazione del caso concreto senti il tuo consulente privacy, ma tieni conto che quel termine parte dalla scoperta, non dalla fine della pulizia.

Fai da te o intervento professionale?

Un sito con un solo sintomo semplice, un backup recente e pulito e nessun dato sensibile si può affrontare da soli, con calma e seguendo la sequenza. Il fai da te però è un percorso a rischio, non un’alternativa equivalente: i problemi tipici arrivano quando manca l’esperienza per riconoscere una backdoor, o quando il sito è fermo e ogni ora costa contatti o ordini.

Conviene farsi aiutare quando:

• compare un redirect, o Google ha segnalato il sito
• ci sono utenti amministratori sconosciuti o file modificati che non sai spiegare
• il sito raccoglie dati di clienti o vende online
• hai già ripulito una volta e il problema è tornato
• non hai accesso ai log del server o non sai leggerli

Con il servizio di assistenza WordPress di mdw creative il lavoro parte sempre dallo stesso punto: copia completa del sito com’è, diagnosi di server e installazione, spiegazione di cosa è stato trovato prima di intervenire, pulizia, messa in sicurezza e report finale. Il sito resta tuo, in ogni momento.

Come evitare che succeda di nuovo

La prevenzione è meno spettacolare della pulizia, ma costa molto meno:

• aggiornamenti di core, temi e plugin fatti prima in un ambiente di staging e poi in produzione, non a occhi chiusi
• pochi plugin, tutti da fonti ufficiali e con licenza regolare
• password lunghe e uniche, accessi amministratori ridotti al minimo e protezione dai tentativi di login ripetuti
• backup automatici conservati fuori dal server e verificati con ripristini reali, perché un backup mai provato è solo una speranza
• monitoraggio di uptime e integrità dei file, con alert immediati

Molto dipende da come il sito è stato costruito all’origine. Un sito con codice pulito e plugin ridotti all’essenziale ha una superficie d’attacco molto più piccola di uno costruito con un tema multiuso e quaranta plugin. Se ti stai chiedendo quanto vale un lavoro fatto bene, ne parlo nella guida su quanto costa creare un sito WordPress professionale, e se il tuo sito va rifatto e non solo riparato, trovi come lavoriamo alla pagina di realizzazione siti web.

Sito WordPress hackerato: da dove ripartire

Un sito WordPress hackerato si recupera quasi sempre, e senza perdere i contenuti. L’ordine è sempre lo stesso: copia dello stato compromesso, contenimento, credenziali, diagnosi, pulizia, chiusura della falla, Google. Il passaggio che fa la differenza è quello che molti saltano, cioè capire come sono entrati.

Se il tuo sito è in questa situazione adesso, raccontaci cosa sta succedendo: ti rispondiamo con una diagnosi, non con un preventivo a scatola chiusa.

Domande frequenti sul sito WordPress hackerato