Come capire se un sito WordPress è stato hackerato: 9 segnali

Come capire se un sito WordPress è stato hackerato quando, a prima vista, sembra tutto normale? È la domanda che si pone chi riceve una segnalazione vaga da un cliente (“mi si apre un’altra pagina”) o nota qualcosa di strano nelle statistiche. Il problema è che molti attacchi sono pensati per non farsi vedere dal proprietario: mostrano il contenuto malevolo solo a chi arriva da Google, solo da smartphone o solo a chi non ha mai visitato il sito. Ci sono però 9 segnali affidabili, e per ognuno c’è un punto preciso dove guardare.

Quali sono i 9 segnali che un sito WordPress è stato hackerato?

I segnali più affidabili sono quelli che non hanno spiegazioni innocenti: avvisi di sicurezza di Google, redirect verso siti estranei, utenti amministratori sconosciuti e file PHP dove non dovrebbero esserci. Altri, come un rallentamento improvviso, vanno letti insieme al resto.

1. Google o il browser mostrano un avviso di sicurezza

Una pagina rossa con scritto “Sito ingannevole” o un’etichetta “Questo sito potrebbe essere stato violato” nei risultati di ricerca significano che Google ha rilevato un problema. Puoi verificare lo stato del dominio nel rapporto sulla trasparenza di Google Safe Browsing e, se hai verificato il sito, nel rapporto “Problemi di sicurezza” di Search Console. Come far togliere l’avviso è spiegato nella guida sul messaggio “sito ingannevole”.

2. Il sito rimanda ad altri siti

Casinò, scommesse, farmaci, finti premi: se qualcuno ti dice di essere finito su un altro sito dopo aver cliccato il tuo, prendilo sul serio anche se a te non succede. Questi redirect spesso scattano solo da smartphone, solo arrivando da Google o solo alla prima visita.

3. Nei risultati di Google compaiono pagine che non hai creato

Cerca su Google site:tuodominio.it. Se trovi pagine in giapponese, cinese, o con titoli su farmaci, repliche di marchi o gioco d’azzardo, il sito sta ospitando contenuti iniettati. L’attaccante sfrutta la reputazione del tuo dominio per posizionare pagine di spam.

4. Ci sono utenti amministratori sconosciuti

In Utenti, filtra per ruolo Amministratore. Un account che nessuno ricorda di aver creato, magari con un nome generico come “admin2” o “wpsupport”, è un segnale quasi certo. Alcuni malware nascondono anche l’utente dall’elenco della bacheca: se il numero accanto a “Amministratore” non corrisponde agli utenti mostrati, c’è qualcosa che non va.

5. Trovi file o plugin che non hai installato

File PHP nella cartella wp-content/uploads (che dovrebbe contenere solo immagini e documenti), plugin con nomi generici o in wp-content/mu-plugins, file con nomi casuali nella radice del sito. I plugin “must use” si caricano automaticamente e non compaiono nell’elenco normale dei plugin, per questo sono tra i nascondigli preferiti.

6. Compaiono popup o finti controlli anti-bot

Popup pubblicitari che non hai inserito, oppure una finta verifica “Non sono un robot” che chiede di premere combinazioni di tasti o incollare un comando: sono segnali di codice iniettato. Il secondo caso è particolarmente pericoloso per i visitatori, perché li spinge a eseguire comandi che installano malware sul loro computer.

7. L’hosting ti avvisa o sospende l’account

Molti provider scansionano gli spazi dei clienti e mandano avvisi di malware, di invio anomalo di email o di consumo eccessivo di risorse. Se le email del tuo dominio iniziano a finire nello spam dei destinatari, il server potrebbe essere stato usato per inviare spam ed essere finito in una lista nera.

8. Il sito diventa lento o consuma troppe risorse

Un picco di utilizzo della CPU o del traffico senza un motivo commerciale può dipendere da script che inviano spam, attaccano altri siti o generano migliaia di pagine. Da solo non è una prova, perché anche un plugin difettoso rallenta il sito, ma insieme ad altri segnali pesa.

9. Trovi modifiche che nessuno ha fatto

L’email dell’amministratore è cambiata, la homepage ha un contenuto diverso, un file del core è stato modificato di recente, la password non funziona più. Anche le date di modifica dei file sono un indizio: se wp-config.php o index.php risultano modificati ieri e nessuno ci ha lavorato, vanno controllati.

Dove controllare ogni segnale?

Una parte dei controlli si fa dall’esterno, come un normale visitatore, e una parte dall’interno, con accesso alla bacheca o all’hosting. Servono entrambe, perché molte infezioni si nascondono a chi è loggato.

Come fare un controllo rapido da solo?

In mezz’ora puoi fare un primo controllo senza toccare nulla del sito: basta navigarlo come un visitatore sconosciuto e confrontare i file con gli originali. Prima di modificare qualsiasi cosa, fai un backup completo.

1. Apri il sito in una finestra in incognito, cercandolo su Google e cliccando il risultato, invece di digitare l’indirizzo.
2. Ripeti da uno smartphone con la connessione dati, non con il Wi-Fi dell’ufficio.
3. Cerca site:tuodominio.it su Google e scorri le pagine di risultati.
4. Controlla lo stato del dominio su Safe Browsing e il rapporto “Problemi di sicurezza” in Search Console.
5. In bacheca, verifica utenti amministratori, plugin installati e impostazioni generali (indirizzo del sito ed email).
6. Se l’hosting offre WP-CLI, lancia i controlli di integrità dei file.

I comandi di WP-CLI (lo strumento a riga di comando di WordPress) confrontano i file installati con quelli ufficiali e segnalano quelli modificati o aggiunti:

wp core verify-checksums
wp plugin verify-checksums --all

Il secondo funziona solo per i plugin presenti nella directory ufficiale di WordPress.org; per quelli premium non ci sono checksum pubblici con cui confrontare.

Cosa fare se trovi uno o più segnali?

Se trovi anche un solo segnale certo, tratta il sito come compromesso: non cancellare file a caso, fai una copia completa di file, database e log e cambia le password partendo dall’hosting. La sequenza completa è nella guida su cosa fare quando un sito WordPress è hackerato.

Se il sito è quello della tua attività e non puoi permetterti giorni di fermo, puoi chiedere un intervento urgente sul sito WordPress hackerato: la rimozione del malware parte da 350 € + IVA, anche se non sei nostro cliente.

Se il problema principale sono i redirect, la guida su come ripulire WordPress dai redirect spam elenca tutti i punti in cui si nascondono. E dopo la pulizia, per ridurre il rischio che si ripeta, valuta le protezioni descritte nel confronto tra plugin di sicurezza, senza dimenticare che aggiornamenti regolari e backup restano la difesa principale.

Domande frequenti

Perché io vedo il sito normale e i clienti no?

Molti malware mostrano il contenuto malevolo solo a chi non è loggato, a chi arriva da Google o a chi usa uno smartphone. Così il proprietario, che visita il sito da amministratore, non si accorge di nulla.

Un antivirus sul computer basta a capire se il sito è infetto?

No. L’antivirus controlla il tuo computer e al massimo blocca pagine già note come pericolose. Un’infezione recente o nascosta sul server può non essere rilevata; servono i controlli su Search Console, file e database.

Uno scanner online gratuito è affidabile?

È utile come primo controllo, ma vede solo quello che il sito mostra a lui in quel momento. Se non trova nulla non significa che il sito sia pulito, soprattutto in presenza di redirect condizionali o backdoor nei file.

Ogni quanto conviene controllare il sito?

Un controllo automatico andrebbe fatto ogni giorno, con monitoraggio e scansioni programmate. I controlli manuali descritti qui sono utili ogni volta che ricevi una segnalazione strana o dopo un periodo senza aggiornamenti.