Come recuperare un sito WordPress hackerato: guida passo passo

Scoprire che il tuo sito WordPress è stato hackerato è stressante, ma un piano chiaro lo rende gestibile. L'obiettivo è contenere il danno, rimuovere il codice dannoso, chiudere la falla che ha fatto entrare l'attaccante e poi verificare che il sito sia pulito. Saltare il terzo passaggio è il motivo più comune per cui i siti vengono hackerati di nuovo nel giro di pochi giorni.

Segnali che il sito potrebbe essere compromesso

• I visitatori vengono reindirizzati verso siti non correlati o sospetti, soprattutto da mobile o dai risultati di ricerca.
• I risultati di ricerca mostrano pagine spam in giapponese o farmaceutiche sotto il tuo dominio.
• Il tuo browser o Google segnala che il sito è pericoloso.
• Nuovi account amministratore che non hai creato.
• Il tuo hosting sospende l'account o segnala spam in uscita.
• File con nomi casuali, o file modificati di recente che non hai toccato.

Alcuni di questi segnali hanno spiegazioni innocue, quindi verifica prima di pensare al peggio, ma agisci in fretta se trovi prove concrete.

Passi immediati: copia e contenimento

Prima di cambiare qualsiasi cosa, fai una copia completa di file e database, anche se sono infetti. Preserva le prove per capire come è entrato l'attaccante e ti offre una soluzione di ripiego se un passaggio di pulizia va male. Conservala offline e non ripristinarla per sbaglio in seguito.

Contieni il problema

Se il sito sta diffondendo malware o spam, metti online una semplice pagina di manutenzione o limita l'accesso mentre lavori. Contatta il tuo provider di hosting: spesso può vedere cosa succede sul server e può aiutare a isolare l'account. Nel frattempo, cambia le password che contano: pannello di controllo dell'hosting, account FTP o SFTP, utente del database e account amministratore di WordPress. Fallo da un computer pulito.

Ripristinare o pulire

Hai due grandi opzioni.

• Ripristinare da un backup pulito. Se hai un backup precedente alla compromissione, di solito è la via più rapida. Ripristina, poi aggiorna subito tutto e correggi il punto di ingresso, altrimenti l'attaccante tornerà.
• Pulire manualmente. Se non esiste un backup pulito, dovrai rimuovere file e voci del database dannosi a mano o con strumenti di scansione.

Fai attenzione a quanto indietro andare. A volte gli attaccanti restano in silenzio per settimane prima di agire.

Checklist di pulizia manuale

1. Sostituisci i file del core di WordPress con un download nuovo della stessa versione o di una più recente. Per ora lascia stare wp-config.php e wp-content.
2. Elimina ogni plugin e tema, poi reinstallali da zero da fonti affidabili. Scarta quelli che non ti servono.
3. Ispeziona la cartella wp-content/uploads. Dovrebbe contenere file multimediali, non file PHP.
4. Controlla wp-config.php e .htaccess alla ricerca di codice che non riconosci.
5. Rivedi gli utenti e rimuovi gli amministratori sconosciuti.
6. Cerca nel database script iniettati in articoli, opzioni e widget.
7. Genera nuove chiavi segrete e salt in wp-config.php, il che disconnette tutti.
8. Controlla le attività pianificate alla ricerca di voci sconosciute, perché gli attaccanti le usano spesso per reinfettare.

Trova il punto di ingresso e verifica

I punti di ingresso più comuni sono un plugin o un tema obsoleto, un'estensione piratata, una password debole o riutilizzata, oppure un altro sito compromesso sullo stesso account. Controlla i log di accesso alla ricerca di richieste sospette attorno al momento della prima modifica. Aggiorna tutto, rimuovi ciò che è abbandonato e abilita l'autenticazione a due fattori. Se ospiti più siti in un solo account, controllali tutti, perché il malware può diffondersi lateralmente.

Verifica e richiedi i riesami

Riesegui la scansione del sito con uno scanner di malware, navigalo da dispositivi diversi e controlla che reindirizzamenti e pagine spam siano spariti. Se Google o un browser hanno segnalato il sito, usa Google Search Console per richiedere un riesame quando sei sicuro che sia pulito. Controlla anche che il tuo dominio di posta non sia stato usato per inviare spam.

Rafforza la sicurezza perché non succeda di nuovo

Percorri un elenco di hardening: mantieni il software aggiornato, usa ruoli con privilegi minimi, limita i tentativi di accesso, disattiva la modifica dei file dalla dashboard e conserva backup testati fuori dal server. La nostra checklist di hardening per la sicurezza di WordPress copre ciascuno di questi punti. Valuta anche un web application firewall, perché può bloccare molti tentativi di exploit prima che raggiungano WordPress.

Errori da evitare e quando chiedere aiuto

• Non limitarti a eliminare il sintomo visibile sperando che basti. Le backdoor di solito sono nascoste altrove.
• Non reinstallare sopra i file infetti senza rimuovere prima i vecchi.
• Non pagare chi ti contatta all'improvviso offrendosi di sistemare il tuo sito.
• Non ignorare gli altri siti presenti nello stesso account di hosting.

Quando chiedere l'aiuto di un professionista

Se il sito è fondamentale per la tua attività, se tratti dati dei clienti o se la pulizia continua a fallire, rivolgiti a un professionista. Valuta anche se siano stati esposti dati personali; a seconda di dove operi, potrebbero esserci obblighi di notifica. Verifica le norme che ti riguardano o chiedi a un consulente qualificato.

Dopo il ripristino, tieni d'occhio il sito per diverse settimane. Controlla la comparsa di nuovi file, utenti inattesi e traffico anomalo, e conserva i tuoi log. Le reinfezioni di solito compaiono nel giro di pochi giorni se è sfuggita una backdoor, quindi il monitoraggio precoce ripaga.

Come possiamo aiutarti

Un hosting con Plesk, CDN Cloudflare e SSL gratuito ti offre un punto di partenza più solido, e il nostro team può rispondere alle domande su come ripristinare e mettere in sicurezza un sito. Se ti serve ripartire da zero con un sito pulito, il nostro servizio di migrazione WordPress può spostare gratuitamente il tuo sito ripulito sull'hosting WordPress.