Sito hackerato: cosa fare per bonificarlo e metterlo in sicurezza

Un sito può essere considerato compromesso quando presenta modifiche o comportamenti non autorizzati, come:

• reindirizzamenti verso siti sconosciuti;
• pagine o contenuti spam;
• nuovi amministratori non riconosciuti;
• file PHP sospetti;
• avvisi di malware nel browser;
• invio anomalo di email;
• modifiche alla homepage;
• accesso amministrativo non più disponibile;
• segnalazioni di Google Search Console;
• file che ricompaiono dopo essere stati eliminati.

La semplice eliminazione del codice visibile non garantisce che il sito sia stato bonificato. Possono essere presenti backdoor, utenti nascosti, attività pianificate o codice malevolo nel database.

1. Documenta immediatamente il problema

Prima di modificare o eliminare file, annota:

• dominio coinvolto;
• data e ora della scoperta;
• comportamento osservato;
• URL interessati;
• messaggi di errore;
• eventuali avvisi del browser;
• modifiche recenti;
• plugin o temi installati recentemente;
• utenti amministratori sconosciuti;
• email anomale ricevute;
• eventuali segnalazioni di Google.

Crea schermate delle pagine compromesse e conserva le notifiche ricevute.

WordPress raccomanda di documentare sintomi, orari e modifiche recenti perché queste informazioni costituiscono la base dell’analisi dell’incidente.

2. Limita i danni

Se il sito:

• distribuisce malware;
• reindirizza i visitatori;
• mostra contenuti fraudolenti;
• invia spam;
• raccoglie credenziali;
• modifica continuamente i file;

apri immediatamente un ticket all’assistenza Xlogic.

Potrebbe essere necessario limitare temporaneamente l’accesso pubblico al sito per evitare ulteriori danni ai visitatori e alla reputazione del dominio.

Non eliminare l’intero account e non sovrascrivere tutti i file prima di aver raccolto le informazioni necessarie.

3. Utilizza un computer sicuro

Prima di cambiare le password, controlla il dispositivo dal quale amministri il sito.

Esegui:

• scansione antivirus completa;
• scansione antimalware;
• aggiornamento del sistema operativo;
• aggiornamento del browser;
• controllo delle estensioni installate;
• rimozione di software sospetto.

Un computer infetto può intercettare le credenziali di WordPress, FTP o cPanel e compromettere nuovamente il sito anche dopo la bonifica. WordPress e Google raccomandano di verificare anche l’ambiente locale utilizzato per l’amministrazione.

4. Cambia provvisoriamente tutte le credenziali

Da un dispositivo considerato sicuro, modifica:

• password dell’Area Clienti Xlogic;
• password di cPanel;
• password degli account FTP;
• credenziali SSH, quando presenti;
• password degli amministratori WordPress;
• password del database;
• password delle caselle email collegate al sito;
• chiavi API;
• credenziali SMTP;
• password di eventuali servizi esterni.

Utilizza password:

• lunghe;
• uniche;
• generate casualmente;
• diverse per ogni servizio.

La modifica deve riguardare tutti gli utenti autorizzati, non soltanto l’amministratore principale. cPanel raccomanda di ruotare tutte le password e gli altri metodi di autenticazione di un account compromesso.

Queste password dovranno essere cambiate nuovamente dopo la bonifica completa.

5. Disconnetti le sessioni WordPress

In WordPress puoi forzare la disconnessione degli utenti modificando le chiavi di sicurezza presenti nel file:

wp-config.php

Devono essere rigenerate le costanti relative a:

AUTH_KEY
SECURE_AUTH_KEY
LOGGED_IN_KEY
NONCE_KEY
AUTH_SALT
SECURE_AUTH_SALT
LOGGED_IN_SALT
NONCE_SALT

La sostituzione delle chiavi invalida le sessioni già attive e disconnette anche eventuali utenti non autorizzati.

Non pubblicare il contenuto del file wp-config.php e non inviarlo integralmente tramite ticket.

6. Crea una copia dell’ambiente compromesso

Prima della pulizia, conserva una copia di:

• file del sito;
• database;
• file .htaccess;
• registri disponibili;
• risultati delle scansioni;
• elenco degli utenti;
• attività pianificate;
• configurazioni principali.

Questa copia è destinata esclusivamente all’analisi e non deve essere considerata un backup pulito.

Conservala:

• fuori dalla cartella pubblica;
• su un dispositivo sicuro;
• con un nome che indichi chiaramente che è compromessa;
• separata dai normali backup di ripristino.

WordPress consiglia di creare un’istantanea dell’ambiente prima della bonifica, anche quando contiene l’infezione, perché può essere utile per analisi o ripristini selettivi.

7. Individua un backup sicuramente pulito

Controlla se esiste un backup creato prima della compromissione.

Non scegliere automaticamente l’ultimo backup disponibile: il sito potrebbe essere stato infetto da giorni o settimane prima che il problema diventasse visibile.

Verifica:

• data del primo sintomo;
• data dei file sospetti;
• data di creazione degli utenti sconosciuti;
• eventuali avvisi precedenti;
• modifiche a plugin o temi;
• attività anomale nei log.

Il metodo più affidabile per ripristinare i file di un account compromesso è utilizzare una copia precedente alla compromissione. Il ripristino, però, deve essere seguito dalla correzione della vulnerabilità che ha permesso l’accesso.

8. Non ripristinare senza correggere la causa

Un backup pulito può eliminare il codice malevolo presente in quel momento, ma non corregge automaticamente:

• plugin vulnerabili;
• temi obsoleti;
• password compromesse;
• software pirata;
• computer infetti;
• account amministrativi non protetti;
• moduli vulnerabili;
• permessi errati;
• credenziali FTP sottratte.

Dopo il ripristino devi immediatamente:

1. aggiornare WordPress;
2. aggiornare plugin e temi;
3. eliminare componenti inutilizzati;
4. sostituire le password;
5. controllare tutti gli utenti;
6. verificare il database;
7. eseguire una nuova scansione.

cPanel avverte espressamente che il solo ripristino non risolve la vulnerabilità originaria.

9. Esegui una scansione dell’account

Utilizza gli strumenti di sicurezza disponibili nel tuo cPanel, come:

• Imunify, quando presente;
• scanner antivirus;
• strumenti di controllo WordPress;
• eventuali rapporti forniti dall’assistenza.

Quando disponibile, lo scanner di cPanel può controllare:

• directory principale dell’account;
• spazio web pubblico;
• cartelle FTP;
• posta elettronica.

Lo scanner mostra i file nei quali vengono rilevate possibili minacce, ma il rilevamento automatico non sostituisce un’analisi completa.

Non eliminare automaticamente ogni file segnalato: alcuni rilevamenti possono richiedere una verifica tecnica.

10. Controlla tutte le installazioni dell’account

Se nello stesso account sono presenti più siti, controllali tutti.

Verifica anche:

• sottodomini;
• domini aggiuntivi;
• vecchie installazioni;
• siti di prova;
• cartelle old;
• cartelle backup;
• ambienti staging;
• applicazioni non più utilizzate.

Una vecchia installazione vulnerabile può permettere di modificare anche altri file accessibili dallo stesso account.

Non limitarti alla sola cartella del dominio che mostra il problema.

11. Bonifica WordPress

Quando non è disponibile un backup sicuramente pulito, la bonifica manuale deve essere eseguita con particolare attenzione.

Sostituisci i file principali

Scarica WordPress esclusivamente dalla fonte ufficiale.

Sostituisci con copie pulite:

wp-admin
wp-includes

Controlla anche i file principali presenti nella cartella iniziale.

Non sovrascrivere indiscriminatamente:

wp-content
wp-config.php

perché contengono configurazioni, plugin, temi e file caricati dall’utente.

WordPress raccomanda di sostituire i componenti principali con copie pulite e di controllare con particolare attenzione .htaccess, temi, plugin e contenuti personalizzati.

Reinstalla plugin e temi

Per ogni plugin e tema:

1. verifica che sia ancora necessario;
2. controlla che provenga da una fonte affidabile;
3. elimina completamente la vecchia cartella;
4. scarica una nuova copia dal produttore ufficiale;
5. installa la versione aggiornata.

Non limitarti a sovrascrivere i file: una backdoor potrebbe essere stata aggiunta con un nome non presente nel pacchetto originale e quindi restare nell’account.

Elimina definitivamente:

• plugin non utilizzati;
• temi non utilizzati;
• plugin abbandonati;
• versioni pirata o “nulled”;
• componenti scaricati da siti non affidabili.

WordPress raccomanda di utilizzare temi e plugin provenienti dal repository ufficiale o da produttori conosciuti.

12. Controlla le cartelle più frequentemente coinvolte

Verifica con attenzione:

wp-content/uploads
wp-content/plugins
wp-content/themes
wp-content/mu-plugins
wp-content/cache

Nella cartella uploads controlla soprattutto:

• file .php;
• file con doppia estensione;
• nomi casuali;
• file modificati recentemente;
• sottocartelle insolite;
• copie di file di sistema.

La presenza di un file PHP in uploads non dimostra sempre che sia malevolo, ma richiede una verifica.

Controlla inoltre:

.htaccess
index.php
wp-config.php

e gli eventuali file .htaccess presenti nelle sottocartelle.

13. Controlla gli utenti WordPress

Da:

WordPress → Utenti

verifica:

• amministratori;
• indirizzi email;
• data di registrazione;
• nomi sconosciuti;
• account con privilegi elevati;
• modifiche agli utenti legittimi.

Elimina gli utenti non autorizzati soltanto dopo averne documentato i dati.

Controlla anche il database, perché un attaccante potrebbe creare account non immediatamente evidenti nell’interfaccia.

Dopo la bonifica:

• modifica le password di tutti gli amministratori;
• riduci il numero di account con ruolo Amministratore;
• assegna a ogni utente soltanto i permessi necessari;
• abilita l’autenticazione a due fattori dove disponibile.

14. Controlla il database

Il codice malevolo può essere presente anche nel database.

Controlla:

• contenuti di pagine e articoli;
• widget;
• opzioni del sito;
• codice JavaScript inatteso;
• iframe;
• collegamenti spam;
• URL sostituiti;
• amministratori;
• attività pianificate;
• impostazioni dei plugin;
• redirect;
• contenuti SEO modificati.

Non eseguire sostituzioni massive nel database senza un backup.

Un codice apparentemente innocuo potrebbe essere utilizzato da un plugin legittimo, mentre il malware può essere offuscato o suddiviso tra più record.

15. Controlla attività pianificate e processi automatici

Verifica:

• attività Cron di cPanel;
• WP-Cron;
• plugin di automazione;
• script pianificati;
• backup automatici;
• importazioni;
• attività SMTP;
• processi che ricreano file.

Se un file malevolo ricompare dopo essere stato eliminato, può esistere:

• una seconda backdoor;
• un’attività pianificata;
• un plugin compromesso;
• un processo remoto;
• un altro sito infetto nello stesso account.

Non considerare conclusa la bonifica finché i file sospetti continuano a ricomparire.

16. Controlla la posta elettronica

Un sito compromesso può essere utilizzato per inviare spam.

Controlla:

• cPanel → Email → Traccia consegna;
• limite orario raggiunto;
• messaggi non riconosciuti;
• script PHP che inviano posta;
• plugin SMTP;
• caselle compromesse;
• inoltri sconosciuti;
• errori di blacklist.

Se trovi invii anomali:

1. interrompi lo script responsabile;
2. cambia le credenziali SMTP;
3. controlla le caselle coinvolte;
4. verifica la reputazione del dominio;
5. informa l’assistenza.

17. Aggiorna tutto il software

Dopo la bonifica aggiorna:

• WordPress;
• plugin;
• temi;
• applicazioni aggiuntive;
• versione PHP, scegliendone una supportata;
• librerie e componenti esterni.

Rimuovi ciò che non viene più mantenuto.

WordPress indica l’aggiornamento costante del core, dei temi e dei plugin come una delle misure principali per ridurre il rischio di nuove compromissioni.

18. Controlla permessi e proprietari

Verifica che file e cartelle non dispongano di permessi eccessivamente permissivi.

Come riferimento generale per WordPress vengono normalmente utilizzati:

File: 644
Cartelle: 755

La configurazione effettiva può dipendere dall’ambiente del server.

Non utilizzare:

777

come soluzione generica.

Controlla anche che file e directory appartengano all’utente corretto. WordPress raccomanda di limitare i permessi di scrittura e indica normalmente 644 per i file e 755 per le directory.

19. Cambia nuovamente tutte le password

Quando il sito è stato bonificato:

• cambia nuovamente la password di cPanel;
• cambia le password FTP;
• cambia le password WordPress;
• cambia la password del database;
• aggiorna wp-config.php;
• cambia le password email interessate;
• rigenera chiavi API e token;
• revoca le credenziali non più utilizzate;
• sostituisci eventuali chiavi SSH compromesse.

La prima modifica limita l’accesso durante l’emergenza. La seconda assicura che le credenziali definitive vengano impostate dopo la rimozione del codice malevolo. WordPress raccomanda espressamente una nuova rotazione delle password al termine della pulizia.

20. Controlla Google Search Console

Apri Google Search Console e verifica:

Sicurezza e azioni manuali → Problemi di sicurezza

Controlla la presenza di:

• malware;
• pagine compromesse;
• contenuti inseriti dagli hacker;
• phishing;
• download dannosi;
• social engineering.

Google mostra nel rapporto Problemi di sicurezza le pagine sospette individuate sul sito. Dopo aver rimosso tutte le cause è possibile richiedere una revisione.

Non richiedere la revisione finché:

• esistono ancora file sospetti;
• compaiono redirect;
• il database contiene spam;
• le vulnerabilità non sono state corrette;
• il sito continua a generare nuovi file.

21. Controlla i risultati di ricerca

Cerca periodicamente:

site:tuodominio.it

Controlla se Google mostra:

• pagine in lingue sconosciute;
• contenuti farmaceutici;
• casinò;
• prodotti non presenti;
• titoli modificati;
• URL mai creati;
• sottodomini sconosciuti.

Google consiglia di utilizzare anche l’operatore site: per individuare pagine o contenuti inattesi presenti nell’indice.

Le pagine spam possono rimanere visibili nei risultati per un certo periodo anche dopo la bonifica. Devono restituire un codice corretto, normalmente 404 o 410, quando non esistono più.

22. Monitora il sito dopo la riapertura

Nei giorni successivi controlla:

• nuovi file;
• date di modifica;
• nuovi amministratori;
• attività Cron;
• invii email;
• log degli errori;
• redirect;
• scansioni malware;
• Search Console;
• consumo anomalo di CPU o spazio;
• accessi sospetti;
• file che ricompaiono.

Una singola scansione pulita non dimostra da sola che ogni accesso persistente sia stato eliminato.

Mantieni backup regolari e conserva più copie relative a date differenti.

23. Se sono coinvolti dati personali

Quando la compromissione potrebbe aver interessato:

• dati dei clienti;
• ordini;
• credenziali;
• pagamenti;
• documenti;
• informazioni personali;
• database riservati;

non limitarti alla sola bonifica tecnica.

Conserva le informazioni sull’incidente e rivolgiti a un professionista competente per valutare gli eventuali obblighi applicabili.

24. Contatta l’assistenza Xlogic

Apri un ticket indicando:

• dominio coinvolto;
• data e ora della scoperta;
• sintomi osservati;
• URL compromessi;
• data del backup che vorresti ripristinare;
• scansioni effettuate;
• file segnalati;
• utenti sconosciuti;
• invii email anomali;
• modifiche recenti;
• eventuali avvisi di Google;
• operazioni già eseguite.

Non inviare:

• password;
• contenuto completo di wp-config.php;
• chiavi API;
• credenziali del database;
• dati personali dei clienti;
• copia pubblicamente accessibile del sito infetto.

La bonifica può richiedere un’analisi specialistica quando non è possibile determinare con certezza il punto di ingresso o quando l’infezione continua a ricomparire. cPanel raccomanda il coinvolgimento di un professionista della sicurezza per l’analisi approfondita di un account compromesso.