Chiama un cliente: “il sito reindirizza a qualche sito di pillole” oppure “Google mostra un avviso che il sito è pericoloso”. Quasi sempre segue la stessa domanda: “perché proprio noi?” La risposta non è piacevole: nessuno ti ha scelto. I bot scandagliano Internet giorno e notte e provano falle note. Ecco come prevenirlo e cosa fare se è già successo.
Come entrano davvero
La violazione di un normale sito aziendale raramente è frutto di un attacco mirato. Nella stragrande maggioranza dei casi, il punto d'ingresso è uno di questi tre:
Un componente non aggiornato. Un plugin o un tema con una vulnerabilità nota, corretta da tempo - ma il sito non viene aggiornato da un anno. È proprio questo che i bot cercano. Una password debole o trapelata. Un account amministratore con una password semplice, oppure una password trapelata con la violazione di tutt'altro sito, dove avevi usato la stessa. Un account abbandonato. Un ex dipendente, un vecchio fornitore, un utente di test con permessi di amministratore di cui tutti si sono dimenticati.
Tutti e tre hanno una cosa in comune: si prevengono con la routine, non con strumenti costosi.
La prevenzione: sei cose che funzionano
Aggiornamenti regolari
Core, tema e plugin - con un backup prima di ogni modifica. È la misura più noiosa e più efficace di tutta la lista.
Password robuste e 2FA
Una password unica per ogni account, più l'autenticazione a due fattori per gli amministratori. Blocca tutti gli attacchi con password già note.
Utenti in ordine
Amministratori solo quelli che servono davvero. Un editor non ha bisogno dei pieni permessi e chi se n'è andato non ne ha bisogno affatto.
Meno plugin
Ogni plugin inutilizzato è una porta in più. Anche quelli disattivati - eliminali, non lasciarli lì “per sicurezza”.
Backup esterni
Giornalieri e conservati fuori dal server del sito. In caso di violazione seria, un backup sullo stesso server è inutile.
Firewall e limite ai tentativi
Limitare gli accessi falliti e un WAF di base fermano gli attacchi automatizzati già alla porta.
Tutto questo fa parte della manutenzione del sito in abbonamento - non perché suona bene in un preventivo, ma perché è il lavoro che evita la telefonata della domenica.
Come capire se il sito è stato compromesso
Non tutte le violazioni sono evidenti. A volte il sito ti sembra normale, ma mostra altro ai visitatori che arrivano da Google. I sintomi che dovrebbero allarmarti:
Reindirizzamenti verso siti estranei (spesso solo quando si arriva da un motore di ricerca o solo da mobile). Strane pagine nuove che non hai creato - di solito in un'altra lingua, su argomenti estranei. Un avviso nel browser o un'email di Search Console per “contenuti sospetti”. Un account amministratore sconosciuto. Un calo brusco del traffico senza altre spiegazioni. Un sito diventato all'improvviso molto lento. Spam in uscita dal tuo dominio.
Se è già successo: i primi passi
L'ordine conta: il panico di solito peggiora le cose.
1. Non cancellare nulla subito. Fai una copia completa del sito e del database nel loro stato attuale. Serve per ricostruire come è entrato l'attaccante - altrimenti rischi di ripulire l'effetto e lasciare la causa.
2. Isola il sito. Mettilo in modalità manutenzione o portalo temporaneamente offline. Ogni ora online con contenuti compromessi accumula danni alla reputazione su Google.
3. Cambia tutti gli accessi. Password di hosting, FTP/SSH, database, tutti gli account amministratore. Con WordPress si cambiano anche le chiavi di sicurezza nella configurazione - così tutte le sessioni aperte vengono chiuse, comprese quelle dell'attaccante.
4. Trova il punto d'ingresso. I log del server e le date dei file modificati dicono molto. Senza questa fase la pulizia è solo temporanea - torneranno dalla stessa porta.
5. Ripulisci e aggiorna. Core e plugin si reinstallano da fonti pulite, non si “rattoppano”. Si controllano anche i punti in cui si nasconde il codice malevolo: file caricati, temi, attività pianificate, utenti.
6. Chiedi a Google di riesaminare il sito. Se il sito è stato segnalato, dopo la pulizia richiedi una revisione tramite Search Console. Recuperare la fiducia richiede giorni, a volte settimane.
Il ripristino dopo una violazione costa diverse volte più della manutenzione annuale che l'avrebbe evitata. E questo è solo il conto in denaro - la reputazione presso i clienti si recupera più lentamente.
Quando il ripristino da backup è la soluzione e quando no
Ripristinare un backup pulito è la strada più veloce - a patto di sapere fino a quando il sito era pulito. Se la violazione risale a un mese fa e i tuoi backup coprono solo l'ultima settimana, ripristini una versione infetta. Per questo contano sia i punti di ripristino più vecchi sia i log che mostrano quando è iniziato tutto.
L'altra avvertenza: il ripristino rimette in piedi il sito, ma non chiude la falla. Senza aggiornare il componente vulnerabile e cambiare gli accessi, tra pochi giorni sarai di nuovo al punto di partenza.
Il ruolo dell'hosting
Un buon hosting non rende il sito invulnerabile, ma cambia molto: isolamento tra gli account (con un hosting condiviso, un vicino violato non deve toccarti), backup giornalieri con storico, accesso ai log, scansione a livello di server e un'assistenza che risponde. Se ne stai scegliendo uno nuovo, guarda a cosa fare attenzione - la sicurezza è tra i punti che si trascurano per il prezzo.
Conclusione
Quasi tutte le violazioni nelle piccole imprese passano da un componente non aggiornato, una password debole o un account dimenticato. Aggiornamenti regolari con backup, 2FA, utenti in ordine e copie esterne: questo è il 90% della protezione. E se è già successo: copia, isolamento, cambio degli accessi, ricerca del punto d'ingresso, reinstallazione pulita, richiesta di revisione a Google.
Sospetti che qualcosa non vada? Chiedici un controllo rapido dello stato tecnico del sito e, se vuoi che una persona lo esamini sul serio, scrivici. Abbiamo gestito abbastanza casi del genere da sapere dove cercare.
