Sito WordPress hackerato: cosa fare adesso

I segnali

Un sito attaccato di solito si nota da qualcosa di strano: Google mostra pagine in giapponese o di farmaci con il vostro dominio, il browser avvisa che il sito è pericoloso, l'hosting sospende l'account, le vostre email finiscono nello spam. A volte compare un amministratore che nessuno ha creato.

Cosa fare subito

1. Non cancellate niente e non reinstallate WordPress sopra: servono i file così come sono per capire cosa è successo.
2. Da un computer pulito cambiate la password del pannello dell'hosting e della vostra email. Quelle di WordPress, FTP e database le cambio io durante la pulizia, perché vanno cambiate tutte insieme.
3. Fate uno screenshot degli avvisi che vedete e tenete le email dell'hosting.
4. Chiamatemi, o scrivetemi con il modulo qui sotto.

Se il sito manda spam o infetta i visitatori, lo metto offline per il tempo della pulizia.

Come ripulisco il sito

Siti attaccati ne ho già ripuliti, e il lavoro va così:

1. Salvo una copia completa del sito com'è.
2. Confronto i file con quelli originali di WordPress, del tema e dei plugin, e tolgo quelli aggiunti.
3. Cerco nel database amministratori e codice che non dovrebbero esserci.
4. Trovo da dove sono entrati: di solito un plugin vecchio o una password rubata.
5. Cambio password e chiavi, aggiorno tutto e chiedo a Google di togliere l'avviso, se c'è.

Lo stesso lavoro vale per Joomla.

Perché non succeda di nuovo

Su WordPress quasi tutte le falle pubblicate stanno nei plugin, e l'aggiornamento arriva prima dell'attacco. Con la manutenzione aggiorno io WordPress, il tema e i plugin ogni settimana, e SitePing, il servizio di monitoraggio che ho scritto io, segnala i file cambiati, gli accessi degli amministratori e le versioni che non ricevono più correzioni di sicurezza.

Se il sito usa un plugin abbandonato da anni, ve lo dico e vi propongo con cosa sostituirlo.

Domande frequenti

Basta ripristinare un backup?

Di solito no. Il backup riporta il sito com'era, compresa la falla da cui sono entrati, e spesso anche il codice nascosto, se l'attacco è più vecchio del backup. Prima si trova da dove sono entrati.

Ho perso i miei contenuti?

Quasi sempre no. Chi attacca un sito di solito aggiunge pagine o codice e lascia i vostri testi dove sono, perché gli serve il vostro dominio.

Quanto ci vuole a togliere l'avviso di Google?

Dopo la pulizia chiedo a Google un nuovo controllo dalla Search Console. I tempi li decide Google: di solito qualche giorno.

Si può intervenire anche di notte o la domenica?

I clienti con la reperibilità 24/7 possono chiamarmi a qualunque ora. Per gli altri rispondo dal lunedì al sabato, dalle 9 alle 19.

Per approfondire

• Il servizio: Siti attaccati e sicurezza
• Un lavoro di questo tipo: SitePing
• Altre pagine come questa: Siti con un problema