Sito WordPress hackerato: cosa fare nelle prime 24 ore

Scoprire di avere un sito WordPress hackerato è un momento di panico: il sito rimanda a pagine di scommesse, Google mostra un avviso rosso, l’hosting ti scrive che l’account è sospeso. La reazione istintiva è cancellare i file sospetti o ripristinare il primo backup disponibile. Quasi sempre è l’errore peggiore, perché elimina le tracce che servono a capire da dove è entrato l’attacco, e chi è entrato una volta rientra. Nelle prime 24 ore conviene seguire un ordine preciso. La stessa logica vale per qualsiasi sito hackerato; qui trovi i passaggi tecnici specifici per WordPress. Una parte del lavoro puoi farla da solo senza rischi, per il resto serve un tecnico.

Qual è la prima cosa da fare quando un sito WordPress è hackerato?

La prima cosa è fermarsi e non cancellare nulla. File modificati, utenti sconosciuti e log del server sono le prove che mostrano come è avvenuto l’attacco; se li elimini, puoi rimuovere i sintomi ma non la causa.

Prima di agire, conferma che si tratti davvero di una compromissione. Un sito lento o un errore critico possono avere cause banali, mentre redirect verso altri siti, pagine in lingue straniere nei risultati di Google o amministratori che non conosci sono segnali quasi certi. Se hai dubbi, confronta quello che vedi con i 9 segnali che un sito WordPress è stato hackerato.

Poi apri un file di testo e inizia un diario dell’incidente: data e ora in cui te ne sei accorto, cosa hai visto, screenshot, email ricevute da hosting o Google. Sembra burocrazia, ma ti servirà per la richiesta di revisione a Google, per il tecnico e, se servono, per gli adempimenti privacy.

Come organizzare le prime 24 ore?

Conviene dividere la giornata in fasi: contenere il danno nelle prime ore, mettere al sicuro prove e accessi, poi pulire e chiudere la falla, infine avviare le procedure con Google e, se necessario, con il Garante.

I tempi sono indicativi: un sito piccolo con un backup recente e pulito si sistema in poche ore, mentre un negozio con migliaia di file infetti può richiedere più tempo. L’ordine delle fasi, però, non cambia.

Come isolare il sito senza distruggere le prove?

Isolare significa impedire che i visitatori subiscano il malware, senza toccare i file infetti. Il modo più semplice è mettere il sito in manutenzione dal pannello dell’hosting o bloccare l’accesso a tutti tranne che al tuo indirizzo IP.

Evita di cancellare l’account di hosting o il sito intero: perderesti tutto, prove comprese. Scrivi invece all’assistenza del provider: spesso ha già rilevato qualcosa, può fornirti i log di accesso e ti dirà se altri siti sullo stesso account sono coinvolti. Se hai più siti WordPress nello stesso spazio hosting, considerali tutti sospetti: un’infezione passa facilmente da una cartella all’altra.

Se sai usare il file .htaccess (su server Apache o LiteSpeed), puoi limitare l’accesso con poche righe, sostituendo l’indirizzo con il tuo IP pubblico:

<RequireAll>
  Require ip 203.0.113.10
</RequireAll>

Prima di modificarlo, salva una copia del file originale: potrebbe contenere proprio il codice iniettato che serve analizzare.

Perché fare una copia completa prima di pulire?

Perché è l’unico modo per capire, anche dopo, cosa è stato modificato e quando. Una copia di file, database e log fatta prima della pulizia permette di ricostruire l’attacco e di recuperare contenuti se la pulizia va storta.

La chiamiamo “forense” perché va fatta senza alterare nulla, anche se non serve nessun laboratorio. In pratica:

1. Scarica tutti i file del sito via SFTP o con l’archivio del pannello hosting, conservando le date di modifica.
2. Esporta il database completo da phpMyAdmin o dagli strumenti dell’hosting.
3. Scarica i log di accesso e di errore del server degli ultimi giorni o settimane, se disponibili.
4. Salva tutto fuori dall’hosting, in una cartella con data e nome del sito, e non aprire i file PHP con un doppio clic.

Non usare un plugin di backup installato sul sito infetto per questa copia: se il sito è compromesso, anche il plugin potrebbe esserlo. E ricorda che un backup fatto adesso contiene il malware: serve come prova, non come punto di ripristino. Per capire come impostare backup affidabili per il futuro, leggi la guida ai backup di WordPress.

Quali password cambiare, e in che ordine?

Vanno cambiate tutte, partendo da quelle che danno più potere: prima l’email collegata all’hosting, poi il pannello hosting, FTP e SFTP, database, utenti amministratori di WordPress e infine le chiavi di sicurezza nel file wp-config.php.

Fai i cambi da un computer che ritieni pulito: se la password è stata rubata da un malware sul tuo PC, cambiarla da quel PC non serve a nulla.

Le chiavi e i “salt” sono stringhe casuali che WordPress usa per proteggere i cookie di accesso. Sostituirle costringe chiunque, attaccante compreso, a rifare il login. Puoi generarne di nuove con il generatore ufficiale di WordPress.org e incollarle al posto delle righe esistenti nel file wp-config.php.

Se non riesci più ad accedere alla bacheca, trovi le procedure di recupero nella guida su cosa fare quando non riesci ad accedere a wp-admin.

Come pulire un sito WordPress infetto?

Ci sono due strade: ripristinare un backup precedente all’infezione oppure sostituire tutti i file con copie originali e ripulire il database. In entrambi i casi non basta eliminare i file che sembrano sospetti, perché gli attaccanti lasciano quasi sempre una porta di servizio (backdoor) nascosta.

Ripristino da backup pulito

È la via più rapida se hai un backup sicuramente precedente all’attacco. Il problema è la parola “sicuramente”: molte infezioni restano silenziose per settimane prima di manifestarsi. Anche dopo il ripristino devi cambiare le password e chiudere la falla, altrimenti l’attaccante rientra dalla stessa porta.

Pulizia manuale: come recuperare il sito senza backup

Se non hai un backup affidabile, la procedura è questa:

1. Sostituisci il core di WordPress (le cartelle wp-admin e wp-includes e i file nella radice) con una copia scaricata da wordpress.org della stessa versione, mantenendo wp-config.php dopo averlo controllato riga per riga.
2. Reinstalla plugin e temi da fonti ufficiali, eliminando le cartelle esistenti. Elimina del tutto quelli che non usi.
3. Controlla la cartella wp-content/uploads: non deve contenere file PHP.
4. Controlla la cartella wp-content/mu-plugins: i plugin “must use” si caricano da soli e non si possono disattivare dalla bacheca, per questo sono un nascondiglio frequente.
5. Nel database verifica utenti, le opzioni siteurl e home, script inseriti nei contenuti e nei widget.

Se hai accesso a WP-CLI, il comando wp core verify-checksums confronta i file del core con quelli originali e ti mostra quali sono stati modificati. Per i redirect verso siti di scommesse o spam, che si nascondono in punti molto specifici, abbiamo una guida dedicata su come ripulire WordPress dai redirect.

La FAQ ufficiale di WordPress sui siti hackerati è un buon riferimento per verificare di non aver saltato passaggi.

Se non hai tempo per farlo, o il sito si infetta di nuovo dopo la pulizia, puoi affidare la rimozione malware WordPress a un tecnico: la bonifica d’emergenza parte da 350 € + IVA e la puoi chiedere anche se non hai un piano di manutenzione con noi.

Come trovare e chiudere la falla?

La falla è il punto da cui l’attaccante è entrato, e va chiusa prima di rimettere online il sito. Nella maggior parte dei casi si tratta di un plugin o tema non aggiornato con una vulnerabilità nota, di una password debole o riutilizzata, oppure di software scaricato da fonti non ufficiali.

Le cause più comuni da verificare:

• Plugin e temi vulnerabili: confronta le versioni installate con gli avvisi di sicurezza pubblicati; un plugin abbandonato va sostituito, non solo aggiornato.
• Temi e plugin nulled: le versioni “craccate” di prodotti a pagamento contengono spesso codice malevolo già all’origine. Ne parliamo in temi e plugin nulled: i rischi reali.
• Credenziali rubate: password riutilizzate su altri servizi, account FTP condivisi con troppe persone, amministratori senza autenticazione a due fattori.
• Altri siti sullo stesso hosting: un vecchio sito dimenticato nella stessa cartella può essere la porta d’ingresso.

I log di accesso aiutano molto: richieste POST ripetute verso un file specifico, o accessi a wp-login.php riusciti da indirizzi sconosciuti, indicano la strada. Una volta chiusa la falla, aggiorna tutto seguendo la guida su come aggiornare WordPress senza rompere il sito e valuta un plugin di sicurezza adatto al tuo caso, confrontando le opzioni nel nostro confronto tra Wordfence, Solid Security e alternative.

Come togliere gli avvisi di Google?

Gli avvisi si tolgono solo dopo aver pulito il sito, chiedendo una revisione dal rapporto “Problemi di sicurezza” di Google Search Console. Se la revisione ha esito positivo, gli avvisi spariscono da browser e risultati di ricerca.

Se non hai ancora verificato il sito in Search Console, fallo ora: senza la proprietà verificata non puoi chiedere la revisione. Nel rapporto trovi il tipo di problema rilevato (malware, contenuti iniettati, pagine ingannevoli) e alcuni URL di esempio: controllali uno per uno prima di inviare la richiesta.

Secondo la guida di Google su come richiedere una revisione, le revisioni per phishing richiedono circa un giorno, quelle per malware alcuni giorni e quelle per siti hackerati con spam possono richiedere diverse settimane. La procedura completa, con gli errori da evitare, è nella guida su come rimuovere l’avviso “sito ingannevole”.

Ci sono obblighi GDPR se il sito è stato violato?

Sì, se l’attacco ha coinvolto dati personali: moduli di contatto, account utenti, ordini, newsletter. In questo caso si parla di violazione dei dati personali (data breach) e il titolare deve notificarla al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando ne è venuto a conoscenza, a meno che sia improbabile che presenti un rischio per le persone.

È quanto prevede l’articolo 33 del Regolamento (UE) 2016/679. In Italia la notifica si invia online tramite la procedura telematica del Garante, che include anche uno strumento di autovalutazione; le indicazioni generali sono nella pagina del Garante sul data breach.

Alcuni punti pratici:

• Ogni violazione va comunque annotata in un registro interno, anche quando non va notificata.
• Se il rischio per le persone è elevato (per esempio password o dati di pagamento esposti), l’articolo 34 prevede di informare anche gli interessati.
• Un negozio WooCommerce compromesso gestisce quasi sempre dati personali di clienti: indirizzi, email, telefoni.

La valutazione del rischio spetta al titolare del trattamento, cioè all’azienda proprietaria del sito, eventualmente con il supporto del proprio consulente privacy o DPO. Il diario dell’incidente che hai iniziato nella prima ora ti sarà molto utile qui.

Quando conviene chiamare un tecnico?

Conviene chiamare un tecnico se il sito gestisce pagamenti o dati di clienti, se non hai un backup pulito, se l’infezione si ripresenta dopo la pulizia o se non riesci a capire da dove è entrato l’attacco. In questi casi il costo di un errore supera di molto quello dell’intervento.

Anche se decidi di procedere da solo, i primi passaggi di questa guida (diario, isolamento, copia completa, cambio password) restano utili: un tecnico che arriva dopo lavorerà meglio e più in fretta. Attenzione anche alle infezioni subdole, in cui il sito sembra normale al proprietario ma mostra ai visitatori un finto controllo anti-bot. Per riconoscerle leggi come capire se il sito è stato hackerato.

Dopo l’emergenza pensa alla prevenzione: aggiornamenti regolari, backup verificati e monitoraggio costano molto meno di una bonifica. Se vuoi capire cosa comprende una manutenzione seria, guarda la checklist di manutenzione WordPress. Per sapere da dove partire sul tuo sito, il check-up gratuito del sito ti mostra in un minuto, senza password, lo stato degli aggiornamenti.

Quali guide leggere per ogni problema specifico?

Per ogni tipo di attacco c’è una guida di approfondimento nella sezione sicurezza:

• Come capire se un sito WordPress è stato hackerato: 9 segnali
• Il sito rimanda a siti di scommesse o spam: come ripulire WordPress
• Avviso “sito ingannevole” di Google: come toglierlo
• Plugin di sicurezza per WordPress a confronto
• Temi e plugin nulled: perché sono un rischio

Domande frequenti

Come recuperare un sito hackerato senza backup?

Si può, con una pulizia manuale: sostituisci core, plugin e temi con copie scaricate da fonti ufficiali, controlla le cartelle uploads e mu-plugins e il database, poi cambia tutte le password e chiudi la falla. Articoli, pagine e ordini stanno nel database e di solito si recuperano. È il lavoro più lungo e delicato, per questo spesso conviene affidarlo a un tecnico.

Posso semplicemente ripristinare un backup e basta?

Solo se il backup è sicuramente precedente all’infezione, e anche in quel caso non basta. Devi cambiare tutte le password e chiudere la falla, altrimenti l’attaccante rientra dallo stesso punto nel giro di giorni.

Devo cancellare il sito e rifarlo da zero?

Quasi mai. Un sito compromesso si può pulire reinstallando core, plugin e temi da fonti ufficiali e verificando il database; rifarlo da zero è necessario solo in casi rari, quando non esiste alcuna copia affidabile dei contenuti.

Entro quanto tempo va notificato un data breach al Garante?

Senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando se ne viene a conoscenza, se la violazione presenta un rischio per le persone. La notifica si fa online sul portale del Garante e la valutazione spetta al titolare del trattamento.

Quanto ci mette Google a togliere l’avviso dopo la pulizia?

Dipende dal tipo di problema: secondo Google circa un giorno per il phishing, alcuni giorni per il malware e fino a diverse settimane per i siti hackerati con spam. Il conteggio parte dalla richiesta di revisione in Search Console.