Sito hackerato: cosa fare subito e quali errori evitare
- Web developing
- 7 settembre 2026
Indice dei contenuti
Il sito manda i visitatori su pagine sconosciute, mostra contenuti che non hai pubblicato oppure è stato sospeso dall’hosting. Se sospetti che il tuo sito sia stato hackerato, la priorità è limitare il danno: avvisa il provider, fai isolare il sito quando espone gli utenti a rischi e conserva le informazioni utili all’analisi prima di cancellare o ripristinare qualcosa.
Cambiare una password o far sparire il messaggio visibile può essere necessario, ma non dimostra che l’intrusione sia risolta. Occorre capire quali accessi e componenti sono coinvolti, rimuovere le modifiche abusive e correggere il punto d’ingresso.
Questa guida ti aiuta a organizzare il primo intervento su un sito aziendale, WordPress, Joomla o un ecommerce, anche se non gestisci personalmente il server.
Sito hackerato: cosa fare subito, in ordine di priorità
Usa questa sequenza come traccia operativa, adattandola con chi gestisce l’infrastruttura:
- Segnala l’incidente all’hosting e al tecnico del sito, indicando cosa hai osservato e quando.
- Contieni il problema: se vengono distribuiti malware, raccolti dati in modo abusivo o eseguiti redirect pericolosi, fai limitare l’accesso al servizio coinvolto.
- Conserva prove e copie dello stato attuale prima della bonifica, senza sovrascrivere i backup precedenti.
- Metti in sicurezza gli accessi da un dispositivo affidabile, revocando anche sessioni e credenziali compromesse.
- Valuta il coinvolgimento di dati personali, mentre procede l’intervento tecnico.
- Ripristina e riapri dopo i controlli, quindi verifica eventuali segnalazioni dei motori di ricerca.
Se il danno è in corso, non aspettare di completare una raccolta perfetta delle prove per contenerlo. Concorda con il provider come svolgere le due attività senza perdere informazioni evitabili. La distinzione tra contenimento, rimozione della minaccia e recupero è alla base dei playbook di risposta agli incidenti di CISA.
Come distinguere un attacco da un malfunzionamento
Un errore 500, una pagina bianca o un rallentamento, da soli, non provano un attacco. Possono dipendere da aggiornamenti, configurazioni o risorse insufficienti. Sono invece segnali da approfondire gli amministratori non autorizzati, le pagine alterate e le segnalazioni di contenuti pericolosi.
Annota l’indirizzo interessato, l’ora con il fuso orario e il comportamento osservato. Conserva gli avvisi ricevuti, verificandoli attraverso il pannello ufficiale del servizio: non usare link di accesso presenti in email sospette. Non chiedere ai clienti di aggirare gli avvisi del browser per mostrarti il problema.
La guida WordPress per i siti compromessi raccomanda di partire dai sintomi e documentare l’incidente. Una home apparentemente normale non basta a escluderlo: il problema potrebbe riguardare altre pagine o manifestarsi solo in determinate condizioni.
Quando mettere offline il sito e cosa chiedere all’hosting
Se il sito espone i visitatori a contenuti dannosi, chiedi un contenimento a livello di hosting o infrastruttura. Una pagina di manutenzione gestita dal CMS può nascondere la home senza impedire l’esecuzione di altri file compromessi.
Nel ticket chiedi esplicitamente:
- quali file, richieste o attività hanno generato l’allarme;
- se il problema coinvolge altri siti o servizi nello stesso account;
- quali log e backup sono disponibili e fino a quando verranno conservati;
- quali operazioni di isolamento e bonifica sono comprese nell’assistenza.
La documentazione Cloudflare sul recupero di un sito hackerato indica il provider come interlocutore per chiarire l’attacco e rimuovere i contenuti malevoli. Non dare però per scontato che il tuo contratto includa una bonifica completa del CMS.
Per un negozio online, coordina anche la sospensione dei flussi coinvolti e un canale affidabile per i clienti. Evita cambi casuali ai DNS: potresti interrompere email e altri servizi senza eliminare la compromissione.
Quali prove e backup conservare prima della bonifica
Chiedi una copia di file, database, configurazioni e log disponibili. Conserva anche una cronologia degli interventi: chi ha cambiato cosa, a quale ora e con quale risultato. La raccolta tecnica va affidata a chi può accedere all’ambiente senza eseguire accidentalmente materiale sospetto.
Una copia del sito infetto serve all’analisi; non è un backup pulito da ripubblicare. Etichettala chiaramente, proteggila e tienila separata dalle copie precedenti. Gli archivi non devono essere scaricabili da una cartella pubblica del sito.
Prima di scegliere un punto di ripristino, chiarisci tre aspetti: quando sono comparsi i primi segnali, quanto indietro arrivano i backup e quali dati cambierebbero tornando a quella data. L’intrusione potrebbe precedere il sintomo visibile.
Un esempio: ripristinare il database di un ecommerce alla settimana precedente può eliminare ordini legittimi successivi. Occorre pianificare come conservarli e verificarli, senza reimportare indiscriminatamente tutti i dati dell’ambiente compromesso.
Quali password cambiare e perché revocare le sessioni
Proteggi gli account usando un dispositivo affidabile. Il perimetro comprende l’email di recupero, il pannello hosting, gli amministratori del CMS e gli accessi tecnici effettivamente presenti. Controlla anche dominio, DNS e servizi collegati se ci sono indizi di accesso abusivo.
Chi interviene deve verificare utenti, privilegi, sessioni attive, chiavi SSH e token API. Cambiare la password non garantisce che ogni sessione o token venga invalidato. Se una credenziale è stata esposta, va revocata o sostituita con la procedura del servizio interessato.
Attiva l’autenticazione a più fattori dove disponibile e riduci gli accessi non necessari. Per WordPress, il manuale ufficiale di sicurezza tratta protezione delle credenziali, permessi e chiavi di autenticazione.
Le credenziali applicative richiedono coordinamento: cambiare la password del database senza aggiornare la configurazione interrompe la connessione del sito. Dopo la bonifica, sostituisci nuovamente i segreti che potrebbero essere stati letti durante l’intrusione.
Ripristinare un backup o ripulire WordPress e Joomla?
Il backup è una possibilità, non una garanzia. Va verificato in un ambiente isolato; prima della riapertura bisogna correggere la vulnerabilità o l’accesso che ha consentito l’intrusione. In assenza di una copia affidabile, può servire ricostruire l’ambiente con pacchetti originali e recuperare selettivamente dati e contenuti.
La decisione dipende dall’estensione del problema, dalle personalizzazioni e dalla possibilità di confrontare il codice con versioni attendibili. Sovrascrivere alcuni file non rimuove necessariamente quelli aggiunti dall’attaccante. Anche database, attività pianificate e configurazioni possono richiedere controlli.
Per Joomla, la checklist ufficiale di recupero dopo una compromissione richiama il rischio di lasciare accessi nascosti e la necessità di usare versioni compatibili. Una migrazione di versione principale va pianificata: non è una sostituzione da eseguire alla cieca durante l’emergenza.
Su WordPress, distingui i file distribuiti dal progetto dalle personalizzazioni e dai contenuti caricati. Non cancellare una cartella soltanto perché il nome non ti è familiare. Se serve una valutazione dell’installazione, nella pagina di assistenza WordPress trovi gli ambiti di intervento.
Quali errori evitare durante il recupero
Prima di autorizzare un’operazione, chiedi quale problema risolve e come sarà verificata. In particolare, evita di:
- cancellare file o svuotare tabelle sulla base di una ricerca generica;
- considerare l’esito negativo di una sola scansione una prova definitiva;
- ripristinare un backup senza verificare data, integrità e causa dell’attacco;
- cambiare contemporaneamente hosting, CMS e DNS senza un piano;
- inviare password, copie del database o dati dei clienti nel primo messaggio di assistenza.
Uno scanner può aiutare a individuare anomalie. La valutazione tecnica deve però collegare gli indizi: cosa è stato modificato, quali accessi erano disponibili e quali controlli dimostrano che il servizio può ripartire.
Se sono coinvolti dati personali, avvia una valutazione dedicata
Un sito hackerato non implica automaticamente che tutti i dati siano stati sottratti. Occorre valutare accessi non autorizzati, divulgazione, alterazione e perdita di disponibilità dei dati personali, coinvolgendo il referente privacy o il DPO, se presente.
Per i trattamenti soggetti al GDPR, il Garante indica gli obblighi di gestione del data breach: notifica senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza, salvo che sia improbabile un rischio per i diritti e le libertà delle persone. In caso di rischio elevato può essere necessaria anche la comunicazione agli interessati. La valutazione va documentata, senza attendere la riapertura del sito.
Quando riaprire il sito e come gestire gli avvisi Google
Concorda una lista di accettazione: causa corretta o misure di contenimento motivate, componenti verificati, accessi rivisti e controlli sulle funzioni principali. Prova moduli, invio email, login e, per un ecommerce, il percorso d’acquisto in modalità di test. Verifica le pagine anche senza autenticazione.
Se Google segnala una compromissione, consulta il rapporto Problemi di sicurezza in Search Console. Dopo aver risolto l’intero problema, richiedi la revisione e descrivi gli interventi. La documentazione Google chiarisce questa procedura: chiedere soltanto una nuova indicizzazione non sostituisce la revisione di sicurezza.
La rimozione dell’avviso e il recupero della visibilità non hanno tempi garantiti. Dopo la riapertura, prevedi monitoraggio dei log, verifiche sui backup e manutenzione dei componenti: consegnare una home funzionante non chiude da solo l’incidente.
Come richiedere assistenza per un sito hackerato
Per iniziare bastano il dominio, il CMS se lo conosci, i sintomi, quando li hai notati e l’eventuale comunicazione dell’hosting. Indica anche se disponi di backup e se il sito raccoglie ordini o altri dati degli utenti. Gli accessi tecnici si possono concordare successivamente con modalità appropriate.
Se il tuo sito è stato hackerato, posso analizzare la situazione e valutare gli interventi necessari per la bonifica e il ripristino, coordinandomi con il provider quando serve.
Richiedi assistenza per il sito hackerato
