Sito WordPress hackerato: cosa fare subito e come evitare che succeda

Scoprire che il proprio sito è stato hackerato è una brutta sensazione: pagine che non hai scritto, un avviso rosso nel browser, i clienti che ti chiamano per dirti che qualcosa non va. La prima reazione è il panico, ma la cosa più utile è procedere con ordine. Nella maggior parte dei casi un sito WordPress compromesso si può ripulire e rimettere in sicurezza.

In questa guida ti spiego come riconoscere un attacco, cosa fare nelle prime ore e come ridurre il rischio che si ripeta.

Come capire se il sito è stato compromesso

Alcuni segnali sono evidenti, altri si notano solo guardando con attenzione.

• Pagine, articoli o link che non hai creato, spesso su argomenti estranei al tuo sito.
• Reindirizzamenti: il sito, aprendolo da telefono o da Google, ti manda altrove.
• Avvisi del browser o di Google sul "sito pericoloso" o sui contenuti ingannevoli.
• Utenti amministratori sconosciuti nel pannello.
• Rallentamenti improvvisi o picchi di traffico inspiegabili.
• Email di spam inviate a nome del tuo dominio.
• File strani nelle cartelle del sito, con nomi casuali.

Un solo segnale non basta per essere sicuri, ma è un buon motivo per controllare subito.

Cosa fare nelle prime ore

Procedi con calma e in quest'ordine.

1. Non cancellare tutto di fretta. Potresti perdere le tracce utili per capire cosa è successo.
2. Cambia le password: pannello di WordPress, hosting, database, FTP, email collegate. Usa password lunghe e diverse, e fallo da un dispositivo che sai pulito.
3. Metti il sito in manutenzione o offline, se può danneggiare chi lo visita (reindirizzamenti, download sospetti).
4. Avvisa il tuo fornitore di hosting: spesso ha strumenti e log che aiutano, e può isolare il problema.
5. Fai una copia del sito così com'è, anche compromesso, da conservare per l'analisi.
6. Cerca l'ultimo backup pulito, precedente all'attacco, e verifica che sia integro.

Come si ripulisce un sito WordPress

La pulizia non è solo "rimuovere il file cattivo". Un buon intervento comprende:

• ripristino da un backup pulito, oppure reinstallazione di core, tema e plugin da fonti ufficiali;
• controllo dei file e del database per cercare codice estraneo e porte di servizio lasciate dall'attaccante;
• verifica di utenti e permessi, con eliminazione degli account sconosciuti;
• chiusura della falla che ha permesso l'accesso: spesso un plugin o tema non aggiornato, o una password debole;
• controllo finale su un'altra rete e dispositivo, e nuova richiesta di revisione a Google se il sito era segnalato.

Se non si individua e si chiude la causa, il sito viene colpito di nuovo dopo poco. È l'errore più frequente.

Cosa dire a clienti e visitatori

Se il sito ha raccolto dati di persone (contatti, ordini, account), il tema diventa anche di privacy. Possono esserci obblighi di comunicazione previsti dal GDPR: in quel caso conviene sentire un consulente competente. Per gli altri, un messaggio semplice e onesto sui tempi di ripristino è meglio del silenzio.

Come ridurre il rischio che accada

La sicurezza assoluta non esiste, ma alcune abitudini riducono molto la probabilità.

• Aggiorna WordPress, tema e plugin con regolarità, provando prima gli aggiornamenti su una copia. È il punto più importante.
• Elimina plugin e temi che non usi, non basta disattivarli.
• Usa password robuste e uniche, e l'autenticazione a due fattori per gli amministratori.
• Limita gli utenti: ciascuno con i permessi che gli servono, non di più.
• Fai backup frequenti, conservati fuori dal server del sito (ne parlo in Backup del sito web).
• Scegli plugin mantenuti e con una storia di aggiornamenti, evitando software "craccato" o di provenienza dubbia.
• Attiva un monitoraggio che ti avvisi se il sito cambia o va giù.
• Scegli un hosting serio, con isolamento tra siti e assistenza reale.

Gran parte di questo lavoro è il cuore di una manutenzione periodica.

Errori che rendono il problema peggiore

• Ripristinare un backup senza capire la causa. L'attaccante rientra dalla stessa porta.
• Fidarsi di un solo plugin "di sicurezza". Aiuta, ma non sostituisce aggiornamenti e buone pratiche.
• Usare la stessa password ovunque. Se si rompe un servizio, cadono tutti.
• Ignorare gli avvisi del browser o dell'hosting.
• Non avere un backup recente. È ciò che trasforma un'emergenza in un disagio.

Un piano di emergenza da preparare prima

Il momento peggiore per decidere cosa fare è quando il sito è già compromesso. Conviene avere in anticipo un piccolo piano scritto:

• chi chiamare: lo sviluppatore o chi si occupa della manutenzione, e il supporto dell'hosting;
• dove sono i backup e come si ripristinano;
• chi ha gli accessi a pannello, hosting, dominio e database, e dove sono conservati in modo sicuro;
• come avvisare clienti e visitatori, se serve;
• chi decide di mettere il sito offline.

Un'ora spesa a scrivere queste righe fa risparmiare ore di confusione nel momento sbagliato.

Dopo la pulizia: cosa controllare nelle settimane successive

La pulizia non chiude la questione. Nelle settimane seguenti conviene:

• controllare che non compaiano nuovi file o utenti sospetti;
• guardare i log e il monitoraggio per eventuali tentativi di rientro;
• verificare in Search Console che non ci siano segnalazioni di sicurezza;
• tenere gli aggiornamenti e i backup a cadenza ravvicinata.

Perché affidarlo a me

Programmo dal 1999 e ho consegnato più di 300 progetti. Mi occupo di manutenzione e sicurezza di siti WordPress, anche non realizzati da me: aggiornamenti provati prima su una copia, backup prima di ogni intervento, controlli di sicurezza e monitoraggio. Lavoro da Roma e da remoto.

Se il tuo sito mostra segnali strani, o vuoi prevenire invece di rincorrere, scrivimi: una chiacchierata di circa 20 minuti, senza impegno, e poi una proposta scritta e gratuita. Il servizio è descritto in Manutenzione WordPress.