Il tuo sito WordPress è hackerato: cosa fare adesso

I segnali che il sito è stato compromesso

Google, che si occupa di questo ogni giorno su milioni di siti, divide i casi in quattro famiglie. Riconoscerle aiuta a capire cosa è successo e cosa cercare quando pulisci.

Il sito reindirizza altrove. Un codice inserito manda alcuni visitatori su un altro sito, spesso solo da certi apparecchi o solo se arrivano da Google — per questo tu, aprendo il sito dal tuo computer con cui ci lavori sempre, puoi non vederlo per giorni.

Compaiono pagine che non hai scritto tu. Pagine nuove di spam o finte farmacie, finti negozi, link a tutt’altro: servono a chi attacca per guadagnare posizioni su Google, non a te.

Dentro le tue pagine vere c’è qualcosa che non si vede a occhio. Testo o collegamenti nascosti con un trucco di stile (colore uguale allo sfondo, dimensione zero): li legge solo il motore di ricerca.

Il codice di una pagina esistente è stato modificato. Qualcuno ha aggiunto una riga dentro un file che già esisteva, invece di crearne uno nuovo — più difficile da notare scorrendo l’elenco dei file.

I primi passi, nei prossimi minuti

In questo ordine, prima di metterti a cercare il file incriminato: fermare il danno viene prima di capire cos’è successo.

1. Cambia tutte le password collegate al sito, non solo quella di WordPress: amministratore WordPress, pannello dell’hosting, FTP/SSH e, se sai dove si trova, anche quella del database. Chi è entrato una volta spesso ha lasciato più di un modo per rientrare.
2. Metti il sito offline, ma da fuori: molti hosting hanno un bottone apposito nel pannello, oppure si può far puntare il dominio a una pagina statica su un altro server. Un plugin di manutenzione non basta: gira dentro lo stesso WordPress infetto, e un reindirizzamento nascosto nei file continua a funzionare lo stesso. Non serve spegnerlo per sempre: serve smettere di mostrare ai visitatori le pagine compromesse mentre lavori.
3. Controlla gli utenti amministratori: vai in Utenti su WordPress e guarda se c’è un account che non hai creato tu. Chi attacca spesso si crea un suo amministratore per rientrare anche dopo che hai cambiato le password — se ne trovi uno sconosciuto, cancellalo.
4. Scrivi subito quello che ricordi: ultimo plugin installato, ultima modifica al tema, se hai notato qualcosa di strano nei giorni prima. Serve dopo, per capire da dove è entrato chi ha attaccato.
5. Contatta l’assistenza del tuo hosting: molti hanno già visto il tuo stesso attacco su altri siti e sanno dirti se il problema è nel sito o in qualcosa condiviso con altri clienti dello stesso server.
6. Scansiona anche il tuo computer, non solo il sito. Chi amministra WordPress spesso ha le credenziali salvate nel browser: un virus sul computer può averle rubate da lì, e se non lo trovi ti rientra nel sito appena l’hai pulito.

Capire se è un plugin o un tema vulnerabile

La maggior parte degli attacchi a WordPress non passa da una password indovinata: passa da un plugin o un tema con una falla nota, non aggiornato. Capire quale è il primo passo per chiuderla, non solo per pulire il sintomo.

Non serve essere uno sviluppatore per usare questi strumenti: si inserisce l’indirizzo del sito e si legge il rapporto.

1. Scansiona il sito da fuori con SiteCheck (sitecheck.sucuri.net): ti dice se è in una lista nera o ha malware visibile, ma non vede i file infetti sul server.
2. Per trovare i file infetti serve uno scanner che gira dentro il sito, installato come plugin: Wordfence, Sucuri Security, Quttera o GOTMLS (quelli indicati dalla FAQ ufficiale di WordPress.org).
3. Nel rapporto guarda se viene nominato un plugin o un tema specifico con una vulnerabilità nota: è quasi sempre la porta da cui è entrato chi ha attaccato. Disattivalo appena lo trovi, anche prima di pulire il resto.
4. Se hai accesso a FTP o al gestore file dell’hosting, guarda quali file sono stati modificati nei giorni vicini alla scoperta del problema: è l’indizio più diretto, anche senza saperli leggere riga per riga.

Il ripristino da un backup pulito

Se hai un backup di prima dell’attacco, è il modo più rapido per tornare a un sito pulito — con un’attenzione.

Controlla la data del backup rispetto a quando pensi sia iniziato il problema. Se non lo sai con certezza, meglio un backup più vecchio ma sicuramente pulito che uno recente che potrebbe contenere già la falla sfruttata.

1. Prima di ripristinare, fai una copia del sito infetto così com’è (file e database): anche se è compromesso, ti serve come riferimento se qualcosa nel ripristino non torna, o se vuoi capire dopo cosa era stato modificato.
2. Scegli un backup fatto prima della data in cui pensi sia iniziato l’attacco (vedi la sezione sopra: cosa ricordi di aver installato o cambiato).
3. Ripristinalo seguendo la procedura del tuo hosting o del tuo plugin di backup — molti hanno un bottone «ripristina» dedicato.
4. Dopo il ripristino, aggiorna subito WordPress, i plugin e il tema al loro ultimo numero di versione: un backup pulito riporta anche le versioni vecchie, comprese le falle che avevano.
5. Rifai la scansione gratuita (sezione sopra) sul sito appena ripristinato, prima di considerarlo chiuso.
6. Cambia di nuovo tutte le password, anche se le avevi già cambiate a inizio pulizia: è il passo che si dimentica più spesso, e serve a escludere chiunque fosse rimasto collegato. Rigenera anche le chiavi segrete nel file wp-config.php (si generano gratis su api.wordpress.org/secret-key/1.1/salt/ e si incollano al posto di quelle vecchie): forzano la disconnessione di chiunque avesse ancora una sessione aperta.

Se Google ha segnalato il sito come pericoloso

Se chi visita il tuo sito vede un avviso rosso («Questo sito potrebbe danneggiare il tuo computer» o simili) o il sito è sparito dai risultati di ricerca, il problema compare nel rapporto Problemi di sicurezza di Google Search Console, insieme al tipo esatto (contenuto hackerato, malware, pagine ingannevoli).

Prima di chiedere la revisione a Google, devi aver già fatto tutto il resto: sito pulito, falla chiusa (il plugin o tema vulnerabile aggiornato), e le pagine di nuovo raggiungibili normalmente — non bloccate per sbaglio da un noindex o dal file robots.txt messo durante la pulizia.

1. Apri Google Search Console e vai al rapporto Problemi di sicurezza del tuo sito.
2. Leggi quale tipo di problema è segnalato: cambia la richiesta da fare e anche quanto tempo ci vorrà per la risposta.
3. Premi il bottone Richiedi esame, e descrivi davvero cosa hai fatto per risolvere — non basta scrivere «ho sistemato», Google vuole sapere cosa hai tolto o cambiato.

Prevenzione minima per il futuro

Quattro cose, nessuna delle quali richiede di saper programmare, che chiudono la maggior parte delle porte da cui si entra in un sito WordPress.

1. Accendi gli aggiornamenti automatici di WordPress, dei plugin e del tema, dove l’opzione esiste: quasi ogni attacco sfrutta una falla già nota e già corretta da chi ha scritto il plugin, non una scoperta nuova.
2. Togli i plugin che non usi più e scarica quelli nuovi solo dal repository ufficiale di WordPress.org o da fonti verificate: un plugin da un sito qualsiasi è un rischio diretto, aggiornato o no.
3. Fai un backup regolare — una copia a settimana di file e database, conservata in un posto diverso dal server del sito — così, se succede di nuovo, torni a una versione pulita invece di dover pulire a mano.
4. Password robuste e diverse per WordPress, hosting e FTP, con la verifica in due passaggi dove è disponibile: una password rubata su un servizio non deve bastare per entrare anche negli altri.