Sito WordPress hackerato: cosa fare subito, passo per passo

Quando un sito viene violato, il panico spinge a fare la cosa sbagliata: cancellare tutto, reinstallare in fretta, cambiare una password a caso. Il risultato è spesso che il problema torna dopo una settimana, perché la porta da cui sono entrati è ancora aperta. Ecco come procedere con ordine.

Come capire se il sito è stato violato

• Chi arriva da Google o dal telefono viene mandato su siti di scommesse, farmaci o truffe, mentre tu dal computer vedi il sito normale.
• Cercando site:tuodominio.it su Google compaiono pagine che non hai mai creato, spesso in giapponese o con prodotti di marca.
• Google mostra l'avviso “Questo sito potrebbe essere stato compromesso” o Chrome blocca la pagina.
• L'hosting ti ha sospeso il sito o ti segnala invio di spam dal server.
• In WordPress ci sono utenti amministratori che non conosci.

Le prime ore

• Non cancellare niente. Fai prima una copia completa di file e database così come sono: serve per capire da dove sono entrati.
• Metti il sito in manutenzione, se puoi, per non mandare i visitatori su pagine pericolose.
• Cambia tutte le password, da un computer pulito: hosting, FTP o SFTP, database, tutti gli amministratori WordPress, e l'email collegata al dominio.
• Controlla gli utenti in WordPress ed elimina quelli che non riconosci.
• Avvisa l'hosting. Molti fornitori hanno strumenti di scansione e possono dirti quali file sono stati modificati.

La pulizia

Se hai un backup di prima dell'attacco, e sai quando è avvenuto, il ripristino è la strada più rapida. Dopo però vanno chiusi i varchi, altrimenti si ricomincia. Se il backup non c'è, o non sai da quanto il sito è compromesso, la pulizia va fatta a mano:

• reinstallare WordPress scaricandolo dal sito ufficiale, senza fidarsi dei file presenti;
• reinstallare tema e plugin dalle fonti originali, eliminando quelli non usati o abbandonati dagli sviluppatori;
• cercare file PHP nella cartella uploads, dove non dovrebbero essercene;
• controllare wp-config.php e .htaccess, i due file più presi di mira;
• cercare nel database script e link inseriti dentro articoli, pagine e opzioni;
• cambiare le chiavi di sicurezza in wp-config.php, così tutte le sessioni aperte vengono chiuse.

Dopo la pulizia: Google e i dati personali

Se Google ha segnalato il sito, in Search Console trovi il rapporto Problemi di sicurezza: una volta pulito, da lì chiedi una revisione. Le pagine spam create dall'attacco vanno lasciate rispondere con un errore 404 o 410, così escono dai risultati.

Se dal sito sono passati dati di persone (moduli di contatto, account clienti, ordini), valuta con il tuo consulente privacy se va notificata la violazione al Garante: il GDPR prevede 72 ore da quando te ne accorgi, quando c'è un rischio per le persone coinvolte.

Perché non succeda di nuovo

Backup automatici fuori dal server, aggiornamenti regolari, pochi plugin e tutti mantenuti, verifica in due passaggi per gli amministratori, una versione di PHP supportata. È quello che dovrebbe comprendere una manutenzione WordPress fatta bene. Se il tuo sito è compromesso adesso, scrivici o mandaci un WhatsApp: ti diciamo subito cosa vediamo e quanto costa sistemarlo.