Scoprire di avere un sito WordPress hackerato richiede un intervento rapido, ma agire senza una procedura può peggiorare la situazione. Eliminare subito file sospetti, ripristinare un backup a caso o installare più plugin di sicurezza può far sparire alcuni sintomi senza rimuovere realmente la causa della compromissione.
La priorità è capire cosa è successo, proteggere i visitatori, mettere in sicurezza gli accessi e solo successivamente procedere con la bonifica.
In pratica, l’ordine corretto è questo:
- conserva una copia dello stato attuale del sito;
- limita l’accesso se il sito rappresenta un rischio per gli utenti;
- metti in sicurezza hosting e account;
- controlla utenti, file, database, plugin e temi;
- individua il possibile punto di ingresso;
- rimuovi malware, codice malevolo e sistemi di persistenza;
- cambia nuovamente le credenziali dopo la bonifica;
- verifica Google Search Console e gli eventuali problemi di sicurezza.
Come capire se un sito WordPress è stato hackerato
Un sito compromesso non mostra necessariamente una homepage modificata o un messaggio evidente dell’attaccante. Molte infezioni cercano di rimanere nascoste e diventano visibili soltanto in determinate condizioni.
Tra i segnali più comuni ci sono:
- reindirizzamenti verso siti sconosciuti;
- popup, annunci o contenuti mai inseriti;
- pagine in lingue straniere o dedicate a prodotti inesistenti;
- nuovi utenti WordPress con ruolo amministratore;
- plugin o file che non riconosci;
- impossibilità improvvisa di entrare in
wp-admin; - email indesiderate inviate dal dominio;
- avvisi di malware o phishing nel browser;
- notifiche dell’hosting relative ad attività sospette;
- URL sconosciuti presenti nei risultati di Google;
- modifiche anomale a file come
.htaccessowp-config.php.
Un singolo sintomo, però, non dimostra automaticamente che il sito sia stato hackerato. Rallentamenti, errori 500 o problemi di accesso possono dipendere anche da plugin, aggiornamenti, database, configurazioni PHP o problemi dell’hosting.
La documentazione ufficiale di WordPress sui siti hackerati raccomanda innanzitutto di identificare e documentare i sintomi osservati.
Può essere utile anche effettuare una ricerca su Google utilizzando:
site:tuodominio.it
Se compaiono pagine che non riconosci, titoli in lingue straniere o contenuti completamente estranei al sito, potrebbe essere presente una forma di SEO spam.
Cosa non fare quando scopri un sito WordPress hackerato
La fretta può rendere più difficile capire come sia avvenuta la compromissione.
Prima di iniziare la bonifica evita di:
- cancellare file sospetti senza conservarne una copia;
- ripristinare immediatamente il primo backup disponibile;
- installare contemporaneamente diversi plugin di sicurezza;
- limitarti a cambiare la password di WordPress;
- considerare risolto il problema appena scompare un redirect;
- rimettere completamente online il sito senza aver individuato la causa.
Un errore frequente è giudicare conclusa la bonifica quando scompare il sintomo più evidente. Un redirect può essere stato eliminato mentre rimangono ancora una backdoor, un account amministrativo sconosciuto o una vulnerabilità sfruttabile.
Cosa fare subito se WordPress è stato hackerato
Nelle prime fasi l’ordine delle operazioni è importante.
L’obiettivo non è soltanto rimettere online il sito, ma evitare di cancellare informazioni che possono aiutare a capire come sia avvenuta la compromissione.
1. Conserva una copia dello stato attuale
Prima di effettuare modifiche importanti, conserva una copia di file e database.
Una copia compromessa non deve essere utilizzata automaticamente per ripristinare il sito, ma può essere utile per confrontare file, verificare modifiche e ricostruire quanto accaduto.
Annota anche:
- quando hai notato il problema;
- quali pagine sono coinvolte;
- quali anomalie hai rilevato;
- eventuali plugin o temi installati recentemente;
- modifiche agli utenti;
- aggiornamenti effettuati nei giorni precedenti.
2. Proteggi temporaneamente i visitatori
Se il sito effettua redirect verso pagine pericolose, distribuisce malware, mostra phishing o presenta contenuti chiaramente compromessi, può essere necessario limitarne temporaneamente l’accesso.
Quando possibile è preferibile intervenire a livello di hosting, server o CDN, eventualmente con il supporto del provider, invece di affidarsi esclusivamente a un normale plugin di manutenzione installato sul WordPress compromesso.
Continuare a lasciare accessibile un sito che rappresenta un rischio per gli utenti può aggravare il problema.
3. Metti in sicurezza tutti gli accessi
Cambiare soltanto la password dell’account WordPress non è sufficiente.
Devono essere controllate le credenziali relative a:
- amministratori WordPress;
- pannello dell’hosting;
- FTP, SFTP o SSH;
- database;
- account email collegati al dominio;
- eventuali servizi esterni che permettono di amministrare il sito.
Utilizza password nuove, lunghe e uniche e svolgi queste operazioni da un dispositivo considerato sicuro.
WordPress consiglia inoltre di invalidare le sessioni esistenti modificando le security keys presenti nel file wp-config.php.
Se viene cambiata anche la password dell’utente del database, è necessario aggiornare la relativa configurazione all’interno di wp-config.php: in caso contrario WordPress non riuscirà più a collegarsi al database.
4. Contatta il provider di hosting
L’hosting può disporre di informazioni che il pannello WordPress non mostra, come:
- log degli accessi;
- file modificati recentemente;
- scansioni malware;
- processi anomali;
- tentativi di accesso;
- problemi che coinvolgono altre installazioni presenti sullo stesso account.
La stessa documentazione WordPress suggerisce di coinvolgere il provider, soprattutto quando il sito si trova su un ambiente condiviso.
5. Controlla Google Search Console
Apri il report Problemi di sicurezza in Google Search Console.
Google può segnalare situazioni come:
- contenuti compromessi;
- malware;
- software indesiderato;
- phishing;
- pagine ingannevoli.
La documentazione ufficiale di Google sul report Problemi di sicurezza spiega anche come richiedere una revisione dopo aver corretto completamente il problema.
Come viene hackerato un sito WordPress?
Non esiste una sola causa.
La compromissione può avvenire sfruttando una vulnerabilità tecnica oppure credenziali che sono state sottratte o riutilizzate.
Tra i possibili punti di ingresso rientrano:
- WordPress, plugin o temi non aggiornati;
- componenti provenienti da fonti non affidabili;
- password deboli o riutilizzate;
- account amministrativi non più necessari;
- dispositivi utilizzati per amministrare il sito compromessi;
- vulnerabilità presenti in plugin o temi;
- codice personalizzato vulnerabile;
- configurazioni del server poco sicure;
- permessi errati sui file;
- altre installazioni compromesse presenti sullo stesso hosting.
Non bisogna quindi concludere automaticamente che il problema sia “WordPress”.
La sicurezza dipende dall’intero ambiente: CMS, estensioni, server, account, dispositivi e procedure di manutenzione.
La guida ufficiale Hardening WordPress raccomanda, tra le altre misure, aggiornamenti regolari, software proveniente da fonti affidabili, password robuste, backup e monitoraggio.
Come recuperare un sito WordPress hackerato
La bonifica deve eliminare sia il codice malevolo sia il meccanismo attraverso il quale l’attaccante può rientrare.
Limitarsi a cancellare il file che genera un redirect raramente rappresenta una strategia sufficiente.
Analizzare i file
Bisogna controllare:
- core di WordPress;
- plugin;
- temi;
- cartelle di upload;
- file di configurazione.
Quando possibile, i file dovrebbero essere confrontati con versioni originali e affidabili.
Particolare attenzione va riservata a:
- file modificati recentemente;
- file PHP in cartelle insolite;
- codice offuscato;
- modifiche anomale a
.htaccess; - modifiche a
wp-config.php; - file che non appartengono alle versioni originali di plugin o temi.
Controllare gli utenti
Ogni account amministrativo deve essere riconosciuto.
Gli utenti sconosciuti o non più necessari devono essere verificati ed eventualmente rimossi, controllando contemporaneamente che non esistano altri sistemi con cui l’attaccante possa recuperare l’accesso.
Analizzare il database
Il malware non si trova necessariamente soltanto nei file.
Il database può contenere:
- script malevoli;
- iframe;
- link spam;
- contenuti modificati;
- configurazioni alterate;
- URL inseriti all’interno delle pagine.
Per questo una scansione del solo filesystem non garantisce automaticamente che il sito sia pulito.
Verificare plugin e temi
Plugin e temi compromessi non dovrebbero essere semplicemente modificati alla cieca.
Quando possibile, è preferibile sostituirli con copie pulite provenienti dal repository ufficiale o dal produttore originale.
I componenti:
- inutilizzati;
- abbandonati;
- non più aggiornati;
- provenienti da fonti non affidabili;
dovrebbero essere rimossi.
Individuare il punto di ingresso
La pulizia non è completa finché non si prova a capire perché il sito è stato compromesso.
Se il problema deriva da un plugin vulnerabile e quel plugin rimane installato nella stessa versione, il sito può essere infettato nuovamente anche dopo una bonifica apparentemente perfetta.
Cambiare nuovamente le credenziali
Una volta completata la bonifica è prudente effettuare una seconda rotazione delle credenziali.
Questo riduce il rischio che password modificate durante la fase iniziale siano state intercettate mentre l’ambiente era ancora compromesso.
Basta ripristinare un backup?
No, non necessariamente.
Un backup risolve il problema soltanto se la copia è precedente alla compromissione e viene eliminata anche la vulnerabilità che ha consentito l’accesso.
Se l’attaccante era già presente quando il backup è stato creato, il ripristino può reinstallare anche malware o backdoor.
Allo stesso modo, ripristinare una copia pulita lasciando attivo il componente vulnerabile che ha causato l’incidente può riportare rapidamente il sito nella stessa situazione.
Il backup deve quindi essere considerato uno strumento di recupero, non una garanzia automatica di bonifica.
Una strategia corretta prevede backup:
- regolari;
- conservati anche fuori dall’hosting principale;
- risalenti a più momenti differenti;
- periodicamente verificati.
Se vuoi approfondire questo aspetto, trovi una guida dedicata alla manutenzione di un sito WordPress.
Un sito WordPress hackerato può danneggiare la SEO?
Sì.
Una compromissione può influire sulla visibilità organica soprattutto quando genera pagine spam, redirect, malware o contenuti che Google considera pericolosi.
Google definisce come hacked content i contenuti inseriti su un sito senza autorizzazione sfruttandone vulnerabilità e include questa pratica nelle proprie Spam Policies.
Gli effetti possono comprendere:
- URL spam indicizzati;
- nuove pagine create senza autorizzazione;
- contenuti modificati;
- redirect verso altri domini;
- avvisi di sicurezza prima dell’accesso;
- riduzione dei clic organici;
- perdita di visibilità di alcune pagine.
In alcuni casi di SEO spam l’attaccante può generare nuove pagine o modificare quelle esistenti per mostrare ai motori di ricerca contenuti differenti rispetto a quelli visibili normalmente agli utenti.
Google cita esplicitamente tra le possibili forme di contenuto compromesso code injection, page injection, content injection, redirect e cloaking.
Dopo la bonifica bisogna quindi:
- controllare nuovamente Search Console;
- verificare che gli URL spam non vengano più generati;
- controllare ciò che Google ha indicizzato;
- verificare sitemap e pagine principali;
- richiedere una revisione quando Google ha segnalato un problema di sicurezza e la procedura lo consente.
La richiesta di revisione deve essere inviata solo dopo aver realmente eliminato la compromissione.
Come evitare che WordPress venga hackerato di nuovo
La prevenzione non consiste nell’installare un singolo plugin di sicurezza.
Serve ridurre complessivamente la superficie di attacco.
Le misure principali sono:
- aggiornare WordPress, plugin e temi;
- eliminare componenti inutilizzati;
- utilizzare soltanto software proveniente da fonti affidabili;
- utilizzare password uniche e robuste;
- attivare l’autenticazione a due fattori sugli account più importanti;
- mantenere soltanto gli amministratori realmente necessari;
- assegnare agli utenti i permessi minimi indispensabili;
- utilizzare SFTP o SSH invece di protocolli non sicuri;
- mantenere backup esterni;
- verificare periodicamente che i backup siano ripristinabili;
- monitorare modifiche e accessi;
- controllare periodicamente utenti e plugin;
- utilizzare un hosting adeguatamente mantenuto;
- verificare le notifiche di Google Search Console.
La sicurezza di WordPress è quindi un processo continuo, non un intervento da effettuare soltanto dopo un attacco.
Se il sito è importante per acquisire clienti, generare contatti o vendere online, queste attività dovrebbero rientrare in una vera procedura di gestione del sito WordPress.
Quando conviene chiedere assistenza
Alcuni controlli iniziali possono essere effettuati autonomamente se si conoscono WordPress, hosting, database e struttura dei file.
È invece consigliabile evitare interventi casuali quando:
- non riesci più ad accedere a WordPress;
- il sito continua a reinfettarsi;
- sono presenti redirect verso domini sconosciuti;
- Google o il browser mostrano avvisi di sicurezza;
- il sito utilizza WooCommerce o gestisce dati importanti;
- più siti sullo stesso hosting presentano anomalie;
- non sai distinguere un file originale da uno modificato;
- non esiste un backup sicuramente pulito;
- non riesci a individuare il punto di ingresso.
In questi casi il problema non consiste semplicemente nel “trovare il file infetto”.
Bisogna ricostruire cosa è successo, rimuovere eventuali sistemi di persistenza, correggere il punto debole sfruttato e verificare che l’ambiente sia nuovamente sicuro.
Se hai un sito compromesso e vuoi capire quali interventi siano realmente necessari, puoi partire da una consulenza WordPress oppure contattarmi direttamente per valutare il problema.
Domande frequenti
Un sito WordPress hackerato si può recuperare?
Nella maggior parte dei casi sì. Il recupero dipende dalla gravità della compromissione, dalla disponibilità degli accessi, dalla presenza di backup affidabili e dalla possibilità di individuare e correggere il punto di ingresso.
Cosa posso fare se non riesco più ad accedere a wp-admin?
L’assenza di accesso al pannello non significa necessariamente che il sito sia irrecuperabile. È possibile intervenire attraverso hosting, database o accesso SFTP/SSH. Se non conosci questi strumenti, è preferibile evitare modifiche casuali e richiedere assistenza.
Un plugin di sicurezza può pulire completamente WordPress?
Uno scanner può individuare molti file o comportamenti sospetti, ma non garantisce da solo una bonifica completa. Devono essere controllati anche utenti, database, configurazioni, credenziali e causa della compromissione.
Come faccio a sapere se un backup è precedente all’attacco?
La sola data del backup non sempre è sufficiente. Bisogna confrontarla con il momento in cui sono comparsi i primi segnali e, quando disponibili, verificare log, file modificati e contenuto del database prima del ripristino.
Conviene ripristinare subito un backup?
Solo se il backup è considerato pulito e viene contemporaneamente corretta la vulnerabilità che ha consentito l’accesso. In caso contrario si rischia di ripristinare anche malware o di subire rapidamente una nuova compromissione.
