Il mio sito è stato hackerato - cosa faccio?

Hai scoperto che il tuo sito è stato hackerato. Forse Google ha mostrato l'avviso "Questo sito potrebbe danneggiare il tuo computer", forse i visitatori vengono reindirizzati a una pagina strana, oppure hai notato file sconosciuti sul server. In qualunque modo tu l'abbia scoperto, il panico è comprensibile, ma è importante reagire in modo rapido e metodico. Questa guida ti accompagna in ogni passaggio, dal rilevamento al ripristino completo fino alla prevenzione di attacchi futuri.

Come capire che un sito è stato hackerato?

Ci sono diversi segnali di un attacco. Un avviso di Google nei risultati di ricerca ("Questo sito potrebbe essere pericoloso") è il segnale più evidente. I visitatori reindirizzati ad altri siti (di solito siti di gioco d'azzardo o farmaceutici) sono una conseguenza frequente di un attacco. Contenuti sconosciuti sul sito: pagine di spam, link a siti sospetti o aspetto modificato. Un caricamento del sito notevolmente più lento può indicare il mining di criptovalute (cryptojacking). Utenti sconosciuti nel pannello di amministrazione di WordPress. File sospetti sul server con nomi strani. Un'email dal tuo provider di hosting che segnala attività sospette. Un calo del posizionamento su Google senza un motivo evidente.

Passo 1: non farti prendere dal panico, ma agisci subito

Per prima cosa, e soprattutto: non cancellare nulla e non cambiare le password sul sito hackerato prima di averlo isolato. L'hacker potrebbe avere ancora accesso e vedere ogni azione che compi. Annota invece tutto ciò che noti: quali pagine sono colpite, quando hai notato il problema per la prima volta, se hai ricevuto qualche notifica. Queste informazioni saranno utili per l'analisi e la pulizia.

Passo 2: metti il sito in modalità manutenzione

Metti il sito offline per proteggere i visitatori dal malware e prevenire ulteriori danni. In cPanel puoi rinominare la cartella public_html oppure impostare una pagina di manutenzione. Se utilizzi WordPress, puoi creare un file .maintenance nella cartella principale. Su BeoHosting, contatta il supporto e ti aiuteremo a isolare rapidamente il sito senza perdita di dati. È importante che il sito resti inaccessibile finché non è ripulito: Google continuerà a segnalarlo come pericoloso finché il malware esisterà.

Passo 3: cambia tutte le password da un altro dispositivo

Da UN ALTRO dispositivo (non dal computer che hai usato per accedere al sito, poiché potrebbe essere compromesso), cambia le seguenti password: accesso a cPanel, account FTP, chiavi SSH, database (utente MySQL), account amministratore di WordPress, account email sul dominio e account di hosting. Usa password robuste e univoche per ogni account: almeno 16 caratteri con un mix di lettere, numeri e caratteri speciali. Usa un password manager per conservare le password.

Passo 4: esegui un backup del sito hackerato

Prima di qualsiasi pulizia, crea un backup completo del sito hackerato: file E database. Sembra controintuitivo, ma questo backup serve per l'analisi forense. Puoi usarlo per identificare come è entrato l'hacker, quali file ha modificato e se ha lasciato una backdoor. BeoHosting conserva automaticamente backup giornalieri fino a 120 giorni indietro, il che significa che quasi certamente hai una versione pulita del sito antecedente all'attacco.

Passo 5: scansiona il sito alla ricerca di malware

Usa strumenti specializzati per la scansione del malware. Per WordPress, Wordfence (plugin gratuito) è un'ottima scelta: installalo su un'installazione WordPress pulita e scansiona tutti i file. Sucuri SiteCheck (strumento online) può scansionare il sito dall'esterno senza alcuna installazione. ImunifyAV sul server (disponibile su BeoHosting) scansiona tutti i file dell'account di hosting. Anche una revisione manuale è importante: cerca file con nomi strani, codice PHP codificato in base64 e file modificati al momento dell'attacco.

Passo 6: rimuovi il malware

Ci sono due approcci alla pulizia: la rimozione manuale e il ripristino da backup. Il ripristino da backup è l'approccio più veloce e affidabile. Trova l'ultimo backup precedente all'attacco (controlla le date di modifica dei file sospetti per stabilire quando è iniziato l'attacco). Su BeoHosting puoi ripristinare qualsiasi backup degli ultimi 120 giorni tramite cPanel o contattando il supporto.

Per la pulizia manuale: elimina tutti i file sconosciuti, in particolare i file PHP nelle cartelle di upload, i file con le funzioni base64_decode, eval o gzinflate, e i file con nomi come "wp-config-sample.php.bak" o "about.php" in posizioni inattese. Controlla il file .htaccess alla ricerca di regole di reindirizzamento sconosciute. Controlla wp-config.php per individuare codice sconosciuto all'inizio o alla fine del file. Controlla il database alla ricerca di utenti amministratori sconosciuti e contenuti sospetti nei post.

Passo 7: aggiorna tutto

Dopo la pulizia, aggiorna assolutamente tutto: il core di WordPress all'ultima versione, tutti i plugin (elimina quelli che non usi), il tema (elimina i temi inattivi) e la versione di PHP all'ultima stabile (8.3 o 8.4). Il software obsoleto è la causa numero uno degli attacchi ai siti WordPress. Oltre il 50% dei siti hackerati utilizzava plugin obsoleti con vulnerabilità note.

Passo 8: rafforza la sicurezza

Implementa le seguenti misure per prevenire attacchi futuri. Installa un plugin di sicurezza (Wordfence o Sucuri). Abilita l'autenticazione a due fattori (2FA) per tutti gli account amministratore. Cambia il prefisso del database di WordPress se viene usato quello predefinito "wp_". Disabilita l'esecuzione di PHP nella cartella wp-content/uploads. Limita i tentativi di accesso. Nascondi la pagina di login wp-admin. Imposta i permessi corretti dei file (644 per i file, 755 per le cartelle, 600 per wp-config.php). Abilita un certificato SSL se non è già attivo.

Passo 9: richiedi una revisione a Google

Se Google ha segnalato il tuo sito come pericoloso, dopo la pulizia devi richiedere una revisione. Accedi a Google Search Console, vai alla sezione "Problemi di sicurezza" e clicca su "Richiedi una revisione". Descrivi cosa hai fatto per ripulire il sito e quali misure hai adottato per prevenire attacchi futuri. Google di solito esamina la richiesta entro 72 ore. Mentre la revisione è in corso, il tuo sito risulterà ancora segnalato come pericoloso nei risultati di ricerca.

Passo 10: monitoraggio e prevenzione

Dopo il ripristino, configura un sistema di monitoraggio. Imposta avvisi per le modifiche ai file sul server (file integrity monitoring). Scansiona regolarmente il sito alla ricerca di malware (settimanalmente). Monitora i log di accesso per individuare attività sospette. Imposta backup automatici (BeoHosting esegue backup giornalieri). Controlla Google Search Console per gli avvisi di sicurezza. Aggiorna regolarmente tutti i componenti del sito. Valuta l'uso di un WAF (Web Application Firewall) per una protezione aggiuntiva.

I modi più comuni in cui i siti vengono hackerati

Capire come entrano gli hacker aiuta nella prevenzione. I plugin obsoleti con vulnerabilità note sono la causa in oltre il 50% dei casi. Le password deboli (attacchi brute force) sono la seconda causa più comune. I temi obsoleti con vulnerabilità nel codice. Gli accessi FTP non sicuri senza crittografia. Il cross-site scripting (XSS) tramite form e commenti. La SQL injection tramite plugin non sicuri. Gli attacchi di phishing agli amministratori del sito che rivelano le proprie password. Le vulnerabilità di file inclusion in codice PHP scritto male.

Prevenzione: checklist di sicurezza

Usa questa lista come controllo mensile della sicurezza del tuo sito. Tutti i plugin sono aggiornati alle ultime versioni? Il core di WordPress è aggiornato? Tutte le password sono robuste e univoche? La 2FA è abilitata per gli account amministratore? Il plugin di sicurezza funziona ed esegue scansioni regolari? I backup sono funzionanti (prova a ripristinarli almeno una volta a trimestre)? I plugin e i temi inutilizzati sono stati eliminati? La versione di PHP è aggiornata? I permessi dei file sono corretti? Il certificato SSL è valido?

Quando chiamare un professionista?

Se l'attacco è grave (ransomware, database compromesso, più siti sullo stesso account coinvolti), consigliamo di rivolgersi a un professionista della sicurezza. BeoHosting offre assistenza gratuita per la pulizia ai clienti con piani business, inclusa l'analisi forense, la rimozione manuale del malware e l'implementazione delle misure di sicurezza. Per i piani più piccoli, il nostro team di supporto può aiutarti con i passaggi di ripristino di base.

Conclusione

L'attacco a un sito è un'esperienza stressante, ma con l'approccio giusto può essere risolto in poche ore. La chiave è agire rapidamente, seguire i passaggi in modo metodico e, dopo il ripristino, implementare misure di prevenzione affinché non si ripeta. Su BeoHosting, la combinazione di backup giornalieri (120 giorni), scansione ImunifyAV, WAF ModSecurity e il nostro team di supporto offre una protezione multilivello per il tuo sito. Leggi la nostra guida completa alla sicurezza del sito. Se sospetti che il tuo sito sia stato hackerato, contatta immediatamente il nostro supporto: una risposta rapida è fondamentale.