Sito hackerato: cosa fare subito e come evitare che succeda di nuovo

Una pagina che vende farmaci al posto della tua home. Un cliente che, cliccando sul tuo risultato in Google, finisce su un sito di scommesse. Succede anche ai siti piccoli: molti attacchi sono automatici, programmi che provano migliaia di siti alla ricerca di un punto debole senza scegliere le vittime. Se pensi che il tuo sito sia stato hackerato, la cosa peggiore è agire a caso. Serve un ordine preciso.

I segnali che qualcosa non va

• Reindirizzamenti: aprendo il sito, o cliccando dal risultato di Google, finisci su un altro sito. A volte succede solo da smartphone o solo a chi arriva da Google, ed è per questo che il proprietario spesso se ne accorge per ultimo.
• Pagine che non hai mai creato: cercando su Google site:tuodominio.it compaiono pagine in altre lingue, con prodotti o testi che non c'entrano nulla con la tua attività.
• Avvisi di sicurezza: il browser mostra una pagina rossa che sconsiglia di proseguire, oppure sotto il tuo risultato in Google compare un avviso che il sito potrebbe essere stato compromesso.
• Cambiamenti nel sito: testi modificati, pulsanti che portano altrove, utenti amministratori che non conosci.
• Segnali dall'esterno: l'hosting ti avvisa di attività sospette, per esempio invii di email in massa, oppure sospende il sito.

Le prime ore: cosa fare, in quest'ordine

1. Fai qualche screenshot di quello che vedi, con data e ora. Non cancellare file a caso: rischi di eliminare anche le tracce che servono a capire da dove sono entrati.
2. Avvisa subito chi gestisce il sito e l'assistenza dell'hosting: possono controllare il server, mettere il sito offline se serve e capire da quando è iniziato il problema.
3. Cambia tutte le password: pannello del sito, hosting, email, pannello del dominio, accessi al server e al database. Se sospetti che il tuo computer sia infetto, cambiale da un altro dispositivo. Elimina gli utenti che non riconosci e attiva la verifica in due passaggi dove è disponibile.
4. Ripristina un backup pulito, cioè una copia del sito precedente all'attacco. Attenzione: una copia fatta dopo l'infezione riporta indietro anche il problema. Per questo servono più backup, di date diverse.
5. Aggiorna tutto: software del sito, tema, plugin ed estensioni. Il ripristino da solo non basta se resta aperta la porta da cui sono entrati.
6. Ricontrolla dopo qualche giorno: alcuni attacchi lasciano file nascosti che riattivano il problema più tardi.

Cosa fare con Google

Se Google ha rilevato il problema, lo trovi in Google Search Console, lo strumento gratuito con cui Google comunica con i proprietari dei siti, nella sezione dedicata ai problemi di sicurezza: lì vedi il tipo di problema e spesso alcuni esempi di pagine colpite. Se il sito non è ancora collegato, fallo ora: la guida su Google Search Console spiega come.

Quando il sito è davvero ripulito, dalla stessa sezione puoi chiedere a Google una revisione, descrivendo cosa è stato fatto: backup ripristinato, password cambiate, software aggiornato, falle chiuse. Non chiederla prima del tempo: se Google trova ancora il problema, la richiesta viene respinta e si ricomincia. I tempi della revisione li decide Google e non sono prevedibili con precisione.

Le pagine false create dall'attacco possono restare per un po' nei risultati. Chi gestisce il sito può farle risultare come pagine inesistenti, così Google le toglie con il tempo, e nei casi più urgenti chiederne la rimozione temporanea dalla stessa Search Console.

Devi avvisare i clienti?

Dipende da cosa c'era sul sito. Se è una vetrina senza dati dei clienti, basta ripulirlo e rispondere con trasparenza a chi ti chiede spiegazioni. Se invece dal sito passano dati personali, come richieste dal modulo con nomi e telefoni, account dei clienti o ordini online, e potrebbero essere finiti in mani sbagliate, la faccenda è più seria: possono esserci obblighi di comunicazione con scadenze strette. Fatti consigliare subito da un consulente privacy o da un avvocato, senza aspettare di aver finito la pulizia.

Se dagli indirizzi email della tua attività sono partiti messaggi truffa, avvisa tu i clienti con poche righe chiare: cosa è successo, cosa non devono fare (aprire allegati, pagare su coordinate bancarie nuove), come contattarti per verificare.

Dopo: le difese che contano davvero

• Aggiornamenti regolari del software del sito e dei suoi componenti, con una persona che ne ha la responsabilità.
• Backup automatici, conservati anche fuori dal server del sito e con più date a disposizione. Ogni tanto va provato anche il ripristino: la guida sul backup del sito spiega come organizzarlo.
• Password lunghe e diverse per ogni servizio, salvate in un gestore di password, con la verifica in due passaggi.
• Pochi accessi: un utente per persona, niente account condivisi, e via chi non lavora più con te.
• Meno componenti: ogni plugin in più è una porta in più. Quelli che non usi vanno eliminati, non solo disattivati.
• Search Console attiva, così Google ti avvisa per email se rileva un problema di sicurezza.

Un sito che nessuno segue rischia di essere violato di nuovo. Nell'abbonamento delegasito aggiornamenti e backup sono compresi; qualunque strada tu scelga, l'importante è che la manutenzione del sito abbia un responsabile con nome e cognome.