Scoprire di avere un sito hackerato è un’esperienza che nessun imprenditore dimentica: un cliente telefona perché aprendo la pagina finisce su un casinò online, Google mostra un avviso rosso al posto del risultato, oppure l’hosting sospende l’account senza preavviso. In quel momento la tentazione è cancellare tutto o ripristinare al volo l’ultima copia disponibile. Sono le due mosse che più spesso peggiorano la situazione. In questa guida vediamo come riconoscere un sito compromesso, cosa fare nelle prime ore, come ripulirlo davvero e come evitare che succeda di nuovo.
Perché si attacca il sito di una piccola azienda
Molti titolari pensano che il proprio sito sia troppo piccolo per interessare a qualcuno. È un equivoco comprensibile, ma la maggior parte degli attacchi ai siti web non è mirata: sono campagne automatiche che scandagliano internet alla ricerca di plugin vulnerabili, password deboli o installazioni non aggiornate. Il sito non viene scelto per chi è, ma per come è configurato.
Gli obiettivi sono diversi. Google li elenca nelle sue domande frequenti sui siti compromessi: guadagno attraverso lo spam, con link o reindirizzamenti verso altri siti; furto di informazioni sensibili come dati dei clienti e credenziali; diffusione di malware ai visitatori; messaggi di protesta; semplice vandalismo. Nella nostra esperienza, sui siti aziendali il caso più frequente è lo spam: pagine nascoste che vendono prodotti contraffatti o reindirizzano verso siti di scommesse, sfruttando la reputazione del dominio.
Per questo un sito hackerato non è solo un problema d’immagine. Un sito compromesso può finire in liste nere, perdere posizionamento su Google, far scattare avvisi nei browser, far finire le email aziendali nello spam e, se contiene moduli di contatto o un’area riservata, esporre dati personali.
I segnali di un sito hackerato
Alcuni sintomi sono evidenti, altri si notano solo cercandoli. Questi sono i segnali che, nella nostra pratica, ricorrono più spesso:
- reindirizzamenti verso siti sconosciuti, a volte solo da smartphone o solo per chi arriva da Google;
- pagine in lingue straniere o con prodotti mai venduti che compaiono cercando il nome del sito su Google;
- avvisi di sicurezza nel browser o etichette di pericolo nei risultati di ricerca;
- nuovi utenti amministratori nel pannello del sito che nessuno ha creato;
- picchi di traffico anomali o un rallentamento improvviso del sito;
- email dell’hosting che segnalano invio massivo di posta o file sospetti;
- file modificati di recente in cartelle che nessuno ha toccato.
Un controllo semplice e molto utile è cercare su Google “site:” seguito dal proprio dominio: se compaiono pagine con titoli che non riconoscete, il sito è quasi certamente compromesso. Lo strumento più affidabile resta Google Search Console. Il report Problemi di sicurezza di Search Console mostra i risultati quando Google rileva che un sito è stato compromesso o ha un comportamento dannoso, e spiega che le pagine interessate possono essere mostrate con un’etichetta di avviso nei risultati o con una pagina di avviso nel browser.
Cosa fare subito: le prime 24 ore
Davanti a un sito compromesso conta l’ordine delle azioni. Agire in fretta è giusto; agire a caso no. Questa è la sequenza che seguiamo.
- Non cancellare e non ripristinare subito. Prima si salva una copia completa del sito compromesso, file e database. Serve per capire da dove è entrato l’attacco: senza questa analisi, il ripristino riporta online la stessa vulnerabilità.
- Limitare i danni. Se il sito distribuisce malware o reindirizza i visitatori, si mette in manutenzione o si blocca temporaneamente l’accesso pubblico.
- Cambiare tutte le credenziali. Pannello del sito, FTP o SFTP, database, pannello dell’hosting, email collegate. Le nuove password vanno create da un computer pulito.
- Avvisare chi deve sapere. Fornitore di hosting, eventuale agenzia che gestisce il sito, responsabile interno della privacy.
- Verificare i dati personali. Se il sito raccoglie dati di clienti, ordini o candidature, bisogna valutare se c’è stata una violazione dei dati personali. In quel caso il GDPR prevede, nei casi di rischio, la notifica al Garante entro 72 ore dalla scoperta: è una valutazione da fare subito con il proprio consulente privacy.
È interessante notare che il momento più delicato è proprio il primo: un sito ripristinato in fretta da un backup infetto, o ripulito solo nei file visibili, torna compromesso nel giro di pochi giorni. Succede spesso, ed è il motivo per cui molti pensano di essere stati “attaccati di nuovo”.
Come si ripulisce un sito compromesso
La pulizia vera ha un obiettivo preciso: eliminare tutto il codice malevolo e chiudere la porta da cui è entrato. Il primo passo è trovare quella porta. Le cause più frequenti sono un plugin o un tema con una vulnerabilità nota e non aggiornato, una password debole o riutilizzata, un account amministratore dimenticato, un componente scaricato da fonti non ufficiali o un altro sito compromesso sullo stesso spazio di hosting.
Poi si interviene sui file e sul database. Nei siti WordPress, che rappresentano la gran parte dei siti aziendali, il metodo più affidabile è sostituire integralmente il nucleo del CMS, i temi e i plugin con copie originali scaricate dalle fonti ufficiali, invece di cercare di “correggere” i file infetti uno per uno. Restano da controllare a mano i caricamenti, la configurazione e il database, dove spesso si nascondono utenti fantasma, script iniettati negli articoli e reindirizzamenti.
Un punto da non sottovalutare sono le backdoor: piccoli file o righe di codice che permettono all’attaccante di rientrare anche dopo il cambio delle password. Sono progettate per passare inosservate, con nomi simili ai file di sistema. Abbiamo descritto il fenomeno in modo più ampio nell’articolo sulle backdoor informatiche. Se il sito ha un backup recente e sicuramente pulito, si può ripristinare quello, ma solo dopo aver individuato e corretto la causa dell’attacco.
Infine si chiede a Google di rivalutare il sito. Dalla Search Console, una volta completata la pulizia, si invia la richiesta di revisione per i problemi di sicurezza; anche l’eventuale segnalazione nelle liste nere della posta va gestita, così le email aziendali tornano a essere consegnate.
Le conseguenze su Google e sul business
Un sito hackerato perde fiducia su più fronti contemporaneamente. Gli avvisi nei risultati di ricerca e nel browser fanno crollare le visite, perché pochi utenti proseguono davanti a una pagina rossa. Le pagine di spam create dall’attaccante, se restano indicizzate a lungo, possono danneggiare il posizionamento delle pagine vere. Il fornitore di hosting, per proteggere gli altri clienti, può sospendere l’account e bloccare anche la posta.
C’è poi il danno meno visibile: un cliente che trova il sito compromesso si chiede quanto siano protetti i suoi dati. Per un’azienda che vende servizi informatici, consulenza o prestazioni professionali, la reputazione digitale è parte del prodotto. Ne abbiamo parlato raccontando perché il sito web aziendale è oggi il primo biglietto da visita di un’impresa.
Un caso reale, anonimo: il sito di un’azienda di servizi, realizzato anni prima da un fornitore non più attivo, mostrava da settimane centinaia di pagine di spam su Google senza che nessuno se ne accorgesse. Il titolare lo ha scoperto quando un cliente gli ha inoltrato uno screenshot. La causa era un plugin per moduli di contatto mai aggiornato. Dopo la pulizia, la sostituzione dei componenti e la richiesta di revisione, l’avviso è sparito in pochi giorni, ma servono settimane perché le pagine di spam escano del tutto dall’indice.
Chi è responsabile della sicurezza del sito
Una domanda che emerge quasi sempre dopo un attacco è: di chi era il compito di evitarlo? La risposta, spesso, è che nessuno lo sapeva con certezza. L’agenzia che ha realizzato il sito considerava chiuso il lavoro alla consegna, il fornitore di hosting garantiva il server ma non l’applicazione, e in azienda si pensava che “qualcuno” si occupasse degli aggiornamenti. Il risultato è un sito hackerato senza un responsabile.
Per evitarlo bastano poche cose scritte. Chi aggiorna il CMS, i temi e i plugin, e con quale frequenza. Chi custodisce le credenziali di amministrazione, dell’hosting e del dominio, e dove sono conservate. Dove si trovano i backup e chi ha verificato l’ultima volta che si possano ripristinare. Chi riceve le notifiche di Search Console e dell’hosting. Sono domande semplici, ma averle risolte prima di un incidente cambia completamente i tempi di reazione. Conviene raccoglierle in un documento breve, aggiornato a ogni cambio di fornitore.
Un’attenzione particolare va al dominio. In molte aziende è intestato a un ex collaboratore o a un fornitore non più attivo, e nel momento dell’emergenza nessuno riesce a modificare i record DNS o a recuperare l’accesso alla posta. Verificare oggi chi controlla il dominio è uno degli interventi più economici e più utili che si possano fare.
Sito compromesso e posta aziendale
Quando sito e posta condividono lo stesso hosting, un sito compromesso può trascinare con sé anche le email. Uno script malevolo che invia spam dal server fa finire l’indirizzo IP nelle liste nere, e da quel momento anche le email legittime dell’azienda rischiano di essere respinte o di finire nella cartella della posta indesiderata dei clienti. Spesso è proprio questo il primo sintomo: un fornitore che non riceve più le fatture o un cliente che non trova le offerte.
Separare la posta aziendale dall’hosting del sito, configurare correttamente i record di autenticazione del dominio e controllare periodicamente le liste nere riduce molto questo rischio. In caso di attacco, la pulizia deve includere anche la verifica della reputazione del dominio e degli indirizzi di invio.
Prevenire: le misure che fanno la differenza
La sicurezza di un sito non dipende da un singolo prodotto, ma da poche abitudini mantenute nel tempo. Queste sono le misure che consideriamo indispensabili su ogni sito aziendale:
- aggiornamenti regolari di CMS, temi e plugin, con la rimozione di tutto ciò che non si usa;
- componenti scaricati solo da fonti ufficiali, mai versioni “craccate” di temi o plugin a pagamento;
- password uniche e autenticazione a due fattori per tutti gli amministratori;
- un numero minimo di utenti amministratori, con gli altri accessi limitati al ruolo necessario;
- backup automatici giornalieri conservati fuori dal server del sito, con più versioni;
- un firewall applicativo e il monitoraggio di file e accessi;
- hosting di qualità, con siti isolati tra loro e aggiornamenti del server gestiti.
Vale la pena sottolineare il punto sui backup: un backup conservato sullo stesso spazio del sito viene spesso compromesso o cancellato insieme al sito. La copia di sicurezza deve vivere altrove e contenere più versioni, così da poter tornare a una data precedente all’attacco, che spesso è avvenuto settimane prima della scoperta.
Manutenzione continuativa o intervento d’urgenza
Molti siti aziendali vengono realizzati, pubblicati e poi lasciati a sé stessi per anni. È la situazione più rischiosa, perché le vulnerabilità di plugin e temi vengono scoperte continuamente e corrette solo con gli aggiornamenti. Un contratto di manutenzione con aggiornamenti periodici, backup verificati e monitoraggio costa molto meno di un intervento d’urgenza su un sito compromesso, senza contare il tempo perso e il danno d’immagine.
In pratica, la scelta è tra pianificare la sicurezza o subirla. Quando il sito viene progettato pensando fin dall’inizio a componenti affidabili, aggiornamenti e backup, la probabilità di un incidente si riduce drasticamente, e se qualcosa accade il ripristino è rapido e ordinato.
Riepilogo dei punti chiave
Un sito hackerato è quasi sempre vittima di attacchi automatici che sfruttano plugin non aggiornati, password deboli o componenti non ufficiali, non di attacchi mirati. Gli scopi più comuni sono spam, furto di dati, diffusione di malware e vandalismo. I segnali tipici sono reindirizzamenti anomali, pagine sconosciute su Google, avvisi nel browser, nuovi amministratori e messaggi dell’hosting; il report Problemi di sicurezza di Search Console è lo strumento più affidabile per verificarlo. Nelle prime 24 ore bisogna salvare una copia del sito compromesso, limitare i danni, cambiare tutte le credenziali, avvisare hosting e responsabili e valutare un’eventuale violazione dei dati personali. La pulizia richiede di trovare la causa, sostituire i componenti con copie originali, eliminare backdoor e utenti fantasma e chiedere la revisione a Google. La prevenzione si basa su aggiornamenti, autenticazione a due fattori, pochi amministratori, backup esterni con più versioni, firewall applicativo e manutenzione continuativa.
Domande frequenti sul sito hackerato
Come faccio a sapere se il mio sito è stato hackerato?
I segnali più comuni sono reindirizzamenti verso siti sconosciuti, pagine in lingue straniere che compaiono su Google, avvisi di sicurezza nel browser, nuovi utenti amministratori e messaggi dell’hosting. Il controllo più affidabile è il report Problemi di sicurezza in Google Search Console, insieme alla ricerca site: seguita dal proprio dominio.
Cosa fare se il sito è stato hackerato?
Prima si salva una copia del sito compromesso per l’analisi, poi si limitano i danni mettendo il sito in manutenzione, si cambiano tutte le credenziali da un computer pulito, si avvisano hosting e responsabili e si valuta se sono stati esposti dati personali. Solo dopo aver trovato la causa si procede con la pulizia o con il ripristino da un backup sicuramente pulito.
Basta ripristinare un backup per risolvere?
No, se prima non si individua e corregge la vulnerabilità sfruttata. Un backup ripristinato senza aggiornare i componenti e senza cambiare le credenziali riporta online lo stesso punto debole, e il sito viene spesso compromesso di nuovo nel giro di pochi giorni.
Un sito hackerato perde posizionamento su Google?
Può succedere. Le etichette di avviso nei risultati riducono drasticamente i clic e le pagine di spam create dall’attaccante possono danneggiare la reputazione del dominio. Dopo la pulizia e la richiesta di revisione in Search Console, gli avvisi vengono rimossi, ma il recupero completo può richiedere alcune settimane.
Come proteggere il sito aziendale dagli hacker?
Le misure essenziali sono aggiornamenti regolari di CMS, temi e plugin, componenti solo da fonti ufficiali, password uniche con autenticazione a due fattori, pochi utenti amministratori, backup esterni con più versioni, un firewall applicativo e un hosting affidabile, all’interno di una manutenzione continuativa.
Un sito sicuro è un sito seguito
Un sito compromesso si recupera, ma il modo migliore per gestirlo è non arrivarci: componenti affidabili, aggiornamenti costanti, backup fuori dal server e qualcuno che controlla con regolarità. Se il sito è già stato attaccato, contano metodo e tempi: prima si capisce come è entrato l’attacco, poi si pulisce, poi si chiede a Google di rivalutare il dominio. Netec Italia progetta e gestisce da 27 anni siti e infrastrutture di aziende e studi professionali della provincia di Milano, con un unico interlocutore per il sito, l’hosting e la sicurezza.
Richiedi assistenza: facciamo subito il punto sul tuo sito, oppure scopri il servizio di creazione siti web aziendali.