Un sito violato raramente si presenta con un messaggio minaccioso in home. Più spesso funziona quasi normalmente, mentre di nascosto manda i visitatori altrove, pubblica pagine di spam o invia email a tuo nome. Ecco i segnali da riconoscere prima che se ne accorga Google.
WordPress è la piattaforma più usata al mondo, e proprio per questo è la più attaccata. Quasi mai l’obiettivo è il tuo sito in particolare: programmi automatici cercano di continuo siti con un punto debole noto, entrano e li usano per i propri scopi.
Quegli scopi sono quasi sempre economici: pubblicare pagine di spam che sfruttano la tua reputazione su Google, mandare i tuoi visitatori su siti truffa, inviare email dal tuo server o rubare dati dei clienti.
Il danno non è solo tecnico. Google può mostrare l’avviso «Questo sito potrebbe essere stato compromesso» accanto al tuo risultato, i browser possono bloccare la visita, l’hosting può sospendere il sito e le tue email possono finire in spam. E se ci sono dati personali di clienti, entrano in gioco anche gli obblighi del GDPR.
Ne basta uno per giustificare un controllo approfondito. Due o più rendono l’intrusione molto probabile.
Tu, digitando l’indirizzo, vedi il sito normale. Un cliente, cliccando sul risultato di Google o aprendo il sito da telefono, viene portato su una pagina di scommesse, farmaci o finti premi.
Cosa c’è dietroÈ un reindirizzamento condizionale: il codice inserito controlla da dove arriva il visitatore e colpisce solo chi non è il titolare. Per questo spesso passa inosservato per settimane.
Tipo di attacco: redirectCercando site:tuosito.it trovi centinaia di pagine con caratteri giapponesi, titoli di borse firmate, farmaci o casinò. Sul sito, dal menu, quelle pagine non esistono.
Cosa c’è dietroGli attaccanti creano pagine di spam che sfruttano l’autorità del tuo dominio su Google. Sono visibili ai motori di ricerca, non ai visitatori normali, e possono essere migliaia.
Dove guardare: site:tuosito.itTra gli utenti di WordPress compare un amministratore con un nome generico, oppure il numero di amministratori è aumentato. A volte non riesci più ad accedere con la tua password.
Cosa c’è dietroCreare un utente amministratore è il modo più semplice per tornare nel sito anche dopo una pulizia superficiale. È uno dei primi controlli da fare.
Dove guardare: UtentiChrome mostra una pagina rossa di avviso, Google scrive «Questo sito potrebbe essere stato compromesso» sotto il tuo risultato, oppure l’hosting ti scrive che il sito invia spam o contiene file dannosi.
Cosa c’è dietroSono segnali esterni e molto affidabili: significa che qualcuno ha già rilevato il problema. Più a lungo resta, più danni fa alla fiducia di visitatori e motori di ricerca.
Segnale esternoSenza motivo apparente il sito rallenta, l’hosting segnala un uso eccessivo di risorse, oppure i clienti ti dicono che le tue email arrivano nella cartella spam.
Cosa c’è dietroUn sito compromesso viene spesso usato per inviare email di massa, ospitare file o attaccare altri siti. Questo consuma risorse e rovina la reputazione del server e del dominio.
Effetto collateraleFai le prove da un telefono, in incognito, arrivando sul sito da Google e non digitando l’indirizzo. Il test resta sul tuo dispositivo: non viene inviato niente.
Questi controlli rivelano la maggior parte delle intrusioni. Se trovi qualcosa, evita di modificare il sito prima di aver salvato una copia: servirà a capire da dove sono entrati.
Nella grande maggioranza dei casi la porta d’ingresso è una di queste. Spesso ce n’è più di una.
| Causa | Come la riconosci | Perché non è banale |
|---|---|---|
| Plugin o tema non aggiornati | Aggiornamenti in sospeso da mesi | Aggiornare tutto in blocco può rompere il sito: serve un ordine e una prova |
| Plugin abbandonati o temi «craccati» | Plugin non aggiornati da anni, temi a pagamento scaricati gratis | Spesso contengono già codice dannoso e vanno sostituiti, non aggiornati |
| Password deboli o riutilizzate | Utenti con password semplici, accesso senza secondo fattore | Va cambiato tutto: WordPress, hosting, database e FTP |
| Hosting condiviso poco isolato | Più siti sullo stesso spazio, uno dei quali vecchio | Un sito infetto può contagiare gli altri dello stesso account |
| File e permessi sbagliati | Cartelle scrivibili da chiunque | Sono impostazioni del server, invisibili dal pannello di WordPress |
Il codice che le crea resta nel sito e le ricrea, a volte in poche ore.
Si ostacolano a vicenda e rallentano il sito, senza trovare ciò che è nascosto nei file.
Se nel sito ci sono dati di clienti, la violazione può richiedere una notifica al Garante entro 72 ore.
Se Google trova ancora tracce dell’attacco, la richiesta viene respinta e i tempi si allungano.
Troviamo la porta d’ingresso, ripuliamo file e database, chiudiamo le falle e chiediamo a Google di rimuovere gli avvisi. Poi ti lasciamo un sito aggiornato e protetto, senza rifarlo da zero.
I segnali più comuni sono reindirizzamenti verso altri siti, pagine sconosciute nei risultati di Google, utenti amministratori nuovi, avvisi del browser o di Search Console e un uso anomalo delle risorse del server.
Molti attacchi si mostrano solo a Google, solo a chi arriva dalla ricerca o solo da telefono, proprio per non farsi notare dal titolare.
Di solito no. Il backup può contenere già il codice dannoso e, anche se è pulito, la falla che ha permesso l’accesso resta aperta.
Google può segnalare il sito come compromesso e ridurne la visibilità. Una volta ripulito, si chiede un riesame e gli avvisi vengono rimossi.
Con aggiornamenti regolari e verificati, plugin ridotti al necessario, password forti con secondo fattore, backup esterni e un controllo periodico dei file.
PARLA CON UN RESPONSABILE