Sito hackerato: cosa fare subito, passo per passo

Scoprire di avere un sito hackerato è uno di quei momenti in cui il cuore accelera: redirect che portano a pagine sospette, un avviso rosso di Google che spaventa i visitatori, email di clienti preoccupati. La buona notizia è che quasi sempre si recupera tutto, se agisci con metodo e nell'ordine giusto. Questa è una guida d'emergenza operativa: niente panico, solo passi concreti.

In questo articolo vediamo come capire se il sito è davvero compromesso, i primi interventi immediati per limitare i danni, come identificare e rimuovere il problema, il ripristino da un backup pulito, il recupero della reputazione su Google e — se sono coinvolti dati personali — cosa prevede il GDPR. Chiudiamo con la parte più importante: come non ricadere nella stessa situazione.

Prenditi due minuti per leggere fino in fondo prima di toccare qualsiasi cosa. Muoversi con un piano fa la differenza tra un'ora di lavoro e un weekend perso.

Come capire se il sito è davvero hackerato

Prima di allarmarti, verifica. Un rallentamento o un errore non significano automaticamente un attacco. Ma se noti uno o più di questi segnali, è molto probabile che tu abbia un sito web hackerato.

I segnali più comuni di un sito compromesso

• Redirect strani: chi apre il tuo dominio finisce su siti di scommesse, farmacie online, contenuti per adulti o pagine di truffa. Spesso il redirect scatta solo da mobile o solo arrivando da Google, per sfuggire ai tuoi controlli.
• Warning di Google: la classica schermata rossa "Il sito web più avanti contiene malware" o l'etichetta "Questo sito potrebbe essere stato compromesso" nei risultati di ricerca.
• Spam nei contenuti: pagine nuove che non hai creato, link in giapponese o cinese (il cosiddetto "Japanese SEO spam"), banner pubblicitari improvvisi.
• Email in uscita non autorizzate: il tuo dominio inizia a inviare spam e finisci in blacklist. Te ne accorgi quando le tue email legittime smettono di arrivare.
• Picchi di traffico anomali: impennate improvvise verso URL che non esistono, spesso segno di scansioni o di bot che sfruttano una falla.
• File modificati di recente: date di modifica su file di sistema che non hai toccato, oppure file dai nomi casuali (x7f2a.php, wp-conflg.php) nelle cartelle del sito.
• Nuovi utenti amministratori che non hai creato, o accessi da paesi in cui non operi.
• Il sito è lento o va giù senza motivo, perché le risorse del server sono dirottate su attività dell'attaccante.

Verifiche rapide che puoi fare subito

1. Apri il sito in navigazione anonima e da uno smartphone con rete dati (non il tuo Wi-Fi): molti attacchi si mostrano solo a chi non è "riconosciuto" come proprietario.
2. Cerca su Google site:iltuodominio.it e controlla se compaiono pagine spazzatura tra i risultati.
3. Controlla lo stato di sicurezza su Google Search Console, nella sezione "Problemi di sicurezza".
4. Guarda la data di ultima modifica dei file via FTP o dal file manager dell'hosting: ordina per data e cerca ciò che è cambiato senza il tuo intervento.

Se anche uno solo di questi controlli conferma il sospetto, passa subito all'azione. Da qui in poi trovi la sequenza di cosa fare con un sito hackerato, senza saltare passaggi.

I primi passi immediati per limitare i danni

L'obiettivo dei primi minuti non è "sistemare tutto", ma fermare l'emorragia: impedire che l'attaccante continui ad agire e che il danno si estenda ai visitatori o alla tua reputazione.

1. Metti il sito in manutenzione (o offline)

Attivare una pagina di manutenzione protegge i visitatori dal malware e ti dà spazio per lavorare con calma. Non serve cancellare nulla: basta reindirizzare il traffico a una pagina statica "Torniamo presto". Se non sai come fare, l'hosting quasi sempre offre una modalità manutenzione con un clic.

Evita di lasciare il sito compromesso online e visibile: ogni ora in più aumenta il rischio di finire nelle blacklist e peggiora il recupero SEO.

2. Cambia tutte le password e le chiavi

Parti dal presupposto che ogni credenziale sia compromessa. In ordine di priorità:

1. Password del pannello di hosting e dell'account FTP/SFTP.
2. Password del database.
3. Credenziali di amministrazione del sito (CMS, backend, area admin).
4. Chiavi API e token (pagamenti, email transazionali, servizi esterni): se erano scritte in chiaro nel codice o in un file di configurazione, considerale bruciate e rigenerale.
5. Password di posta collegate al dominio.

Usa password lunghe e uniche e, dove possibile, attiva l'autenticazione a due fattori. Se avevi le stesse credenziali su più servizi, cambiale ovunque.

3. Isola e fai una copia dello stato attuale

Prima di cancellare qualsiasi cosa, fai un backup "sporco" del sito così com'è ora (file + database). Sembra controintuitivo, ma questa copia serve a due cose: capire come sei stato attaccato e avere una via di ritorno se durante la pulizia rompi qualcosa. Etichettala chiaramente come "compromessa – non ripristinare".

Se hai altri siti sullo stesso account di hosting, verificali: le infezioni si propagano spesso tra siti che condividono lo stesso spazio.

Identificare e rimuovere il problema

Ora che l'emorragia è fermata, si passa alla parte investigativa: capire cosa è stato modificato e rimuovere il malware dal sito.

Scansione malware e ricerca dei file infetti

Comincia con una scansione automatica. La maggior parte degli hosting offre uno scanner integrato (spesso basato su ImunifyAV o simili); in alternativa esistono scanner dedicati per il tuo CMS. La scansione ti restituisce l'elenco dei file sospetti o modificati.

Cosa cercare manualmente, se vuoi confermare:

• File con funzioni offuscate come eval(base64_decode(...)), gzinflate, str_rot13.
• File .php in cartelle dove non dovrebbero esserci (per esempio nella cartella degli upload o delle immagini).
• Righe di codice iniettate in testa o in coda ai file legittimi.
• Task pianificati (cron job) che non hai creato e che ripristinano l'infezione.

Controllo di utenti, permessi e accessi

Apri l'elenco degli utenti amministratori ed elimina quelli sconosciuti. Controlla i log di accesso dell'hosting per individuare da quali IP e in quale momento è avvenuta l'intrusione: spesso rivelano il punto d'ingresso (un endpoint vulnerabile, un plugin datato, un form senza protezione).

Verifica anche i permessi dei file: cartelle a 777 o file di configurazione scrivibili da chiunque sono un invito aperto. I valori tipici sicuri sono 644 per i file e 755 per le cartelle.

Il caso specifico di un sito WordPress hackerato

Se hai un sito WordPress hackerato, la logica è la stessa ma con qualche attenzione in più, perché WordPress è il bersaglio più colpito al mondo proprio per la sua diffusione:

• Sostituisci i file del core con una copia pulita scaricata dal sito ufficiale: il core non va mai modificato, quindi qualsiasi differenza è sospetta.
• Aggiorna, o meglio reinstalla, temi e plugin da fonti ufficiali. I plugin abbandonati o "nulled" (versioni piratate a pagamento) sono la causa numero uno delle infezioni.
• Controlla i file wp-config.php, .htaccess e index.php: sono i preferiti dagli attaccanti per iniettare redirect e backdoor.
• Rigenera le chiavi di sicurezza (salt keys) in wp-config.php per invalidare tutte le sessioni attive.

Vuoi un metodo sistematico per controllare lo stato del tuo sito? Nella guida su come verificare la sicurezza di un sito web trovi una checklist ordinata da seguire anche a incidente concluso.

Ripristinare il sito da un backup pulito

Spesso la strada più rapida e sicura per recuperare un sito hackerato non è rincorrere ogni singolo file infetto, ma ripartire da un backup precedente all'attacco.

Come scegliere il backup giusto

Non prendere semplicemente l'ultimo backup disponibile: potrebbe già contenere il malware. Devi individuare l'ultima copia antecedente ai segnali di compromissione. Se hai notato i primi redirect il 10 del mese, cerca un backup del 5 o prima, e verificalo.

Dopo il ripristino, non riattivare subito tutto: aggiorna CMS, temi e plugin, ricontrolla che non restino backdoor e solo allora rimetti il sito online.

E se non hai un backup?

Capita, soprattutto con i progetti nati in fretta. In questo caso la pulizia è manuale: partendo dalla scansione, rimuovi i file iniettati, ripristina i file di sistema da copie ufficiali e ricostruisci la parte danneggiata. È più lungo, ma fattibile. Ed è anche il momento per configurare finalmente backup automatici giornalieri conservati fuori dal server: la prossima volta ti salveranno.

Ripulire la reputazione: Google e blacklist

Rimuovere il malware non basta: se Google o gli antivirus hanno già segnalato il tuo dominio, il sito continuerà a mostrare avvisi finché non chiedi una nuova verifica.

1. Google Search Console – Nella sezione "Problemi di sicurezza", dopo aver pulito tutto, invia una richiesta di revisione. Google riscansiona il sito e, se è pulito, rimuove l'avviso di solito entro pochi giorni.
2. Rimozione dalle blacklist – Controlla se il dominio o l'IP sono finiti in blacklist antispam. Se il tuo dominio inviava spam, chiedi la rimozione ai principali servizi di reputazione una volta risolta la causa.
3. Google Safe Browsing – È il database che alimenta gli avvisi rossi in Chrome e Firefox. Si aggiorna in automatico dopo la revisione di Search Console.
4. Reindicizzazione – Chiedi a Google di ricontrollare le pagine ripulite e monitora che le pagine spam scompaiano dai risultati.

Nei giorni successivi tieni d'occhio i log e il traffico: un rientro di attività sospetta indica che una backdoor è sopravvissuta alla pulizia.

Dati personali coinvolti? Gli obblighi GDPR

Qui si aggiunge un livello che molti dimenticano. Se il sito compromesso trattava dati personali — anche solo email di iscritti alla newsletter, nominativi di clienti, dati di ordini — l'attacco può configurarsi come violazione di dati personali (data breach), e il GDPR prevede obblighi precisi.

• Valutazione del rischio: devi stabilire se la violazione comporta un rischio per i diritti e le libertà delle persone coinvolte.
• Notifica al Garante: se il rischio esiste, la violazione va notificata all'autorità di controllo (in Italia il Garante Privacy) di norma entro 72 ore da quando ne vieni a conoscenza.
• Comunicazione agli interessati: se il rischio è elevato (per esempio sono trapelate password o dati di pagamento), devi informare anche le persone coinvolte, con un linguaggio chiaro.
• Registro delle violazioni: ogni breach va documentato internamente, anche quando decidi di non notificarlo, motivando la scelta.

Non è burocrazia fine a se stessa: gestire bene la comunicazione protegge la fiducia dei tuoi utenti e ti mette al riparo da sanzioni. Se non sai da dove partire con la documentazione, tienilo presente per la fase di prevenzione qui sotto.

Prevenzione: come non ricadere in un sito hackerato

Superata l'emergenza, arriva il lavoro che conta davvero: fare in modo che non succeda più. La maggior parte degli attacchi non è mirata — sono bot che scansionano il web in cerca di falle note. Chiudere quelle falle ti toglie dal mirino.

Le buone abitudini di base

• Aggiornamenti costanti: CMS, temi, plugin e librerie sempre all'ultima versione. La stragrande maggioranza delle compromissioni sfrutta vulnerabilità già corrette da tempo.
• Password uniche e 2FA su tutti gli accessi critici.
• Backup automatici giornalieri, conservati fuori dal server e testati (un backup che non hai mai provato a ripristinare non è un backup).
• Meno superficie d'attacco: disinstalla plugin e temi che non usi, elimina utenti inutili.
• Permessi file corretti e file di configurazione non accessibili pubblicamente.

Per una panoramica completa delle misure da mettere in campo, la guida su come rendere un sito web sicuro raccoglie tutto in un percorso ordinato.

Il punto cieco di chi ha costruito il sito "con l'AI"

Sempre più siti e app nascono con il vibe coding: si descrive a un assistente AI cosa si vuole e il codice appare, spesso senza che chi lo pubblica abbia un background tecnico. È potentissimo, ma introduce classi di vulnerabilità che passano inosservate: chiavi API scritte in chiaro nel codice, endpoint senza autenticazione, assenza di rate limiting, ID manipolabili nell'URL che espongono i dati di altri utenti, header di sicurezza mancanti, cookie e informative privacy non a norma.

Il problema è che questi difetti non danno errori: il sito "funziona". Restano lì, silenziosi, finché un bot non li trova. Se il tuo progetto è nato così, approfondisci i rischi tipici nella guida dedicata al vibe coding: riconoscerli è il primo passo per chiuderli.

Verificare le vulnerabilità a monte

La lezione più importante di ogni incidente è questa: è molto più economico trovare una falla prima dell'attaccante che ripulire dopo. Una verifica periodica delle vulnerabilità dovrebbe entrare nella tua routine come i backup.

È qui che uno strumento come Appurai diventa utile nella fase post-incidente e di prevenzione: esegue una scansione automatica di sicurezza e conformità GDPR e ti dice, in linguaggio comprensibile, dove sono i buchi — chiavi esposte, endpoint aperti, header mancanti, ID manipolabili, aspetti privacy fuori norma. Passare in rassegna il sito appena ripulito ti dà la conferma che la porta da cui sei entrato l'attaccante sia effettivamente chiusa.

Vuoi impostare un controllo ricorrente? Nella guida su come fare un test di sicurezza del sito web trovi il metodo per rendere la verifica un'abitudine, non un intervento d'emergenza.

Domande frequenti

Come faccio a sapere con certezza se il mio sito è hackerato?

Incrocia più segnali: redirect verso pagine sospette, avvisi di Google, pagine spam nei risultati di ricerca (site:tuodominio.it), file modificati senza il tuo intervento, invii di email non autorizzati. Apri sempre il sito in incognito e da mobile con rete dati, perché molte infezioni si mostrano solo ai visitatori "non riconosciuti". Se anche una sola di queste verifiche è positiva, tratta il sito come compromesso.

Quanto tempo ci vuole per recuperare un sito hackerato?

Dipende dalla situazione. Con un backup pulito recente si può tornare online in poche ore. Senza backup, con pulizia manuale, servono da mezza giornata a qualche giorno. La rimozione degli avvisi di Google, dopo la richiesta di revisione, richiede in genere da uno a pochi giorni.

Ho un sito WordPress hackerato: da dove parto?

Metti il sito in manutenzione, cambia tutte le password e le salt keys, poi sostituisci i file del core con una copia ufficiale pulita. Reinstalla temi e plugin da fonti ufficiali eliminando quelli abbandonati o piratati, controlla wp-config.php e .htaccess, rimuovi gli utenti admin sconosciuti. Infine, ripristina da un backup precedente all'attacco se disponibile.

Devo avvisare qualcuno se sono stati esposti dati personali?

Sì. Se il sito trattava dati personali e c'è un rischio per le persone coinvolte, il GDPR richiede di notificare la violazione al Garante di norma entro 72 ore, e di informare gli interessati quando il rischio è elevato. Documenta comunque l'accaduto nel registro delle violazioni, anche se decidi di non notificare.

Rimuovere il malware dal sito basta per essere di nuovo sicuro?

No. La pulizia elimina l'effetto, non la causa. Se non chiudi la falla che ha permesso l'ingresso — un plugin vulnerabile, un endpoint aperto, una chiave API esposta — verrai reinfettato. Dopo la pulizia aggiorna tutto, cambia le credenziali e fai una verifica delle vulnerabilità per confermare che il punto d'ingresso sia chiuso.

Come evito che il mio sito venga hackerato di nuovo?

Aggiorna sempre CMS, temi e plugin, usa password uniche con autenticazione a due fattori, imposta backup automatici testati, riduci plugin e utenti inutili e verifica periodicamente le vulnerabilità. La prevenzione costa una frazione del tempo rispetto al recupero di un sito compromesso.

Conclusione

Un sito hackerato è uno spavento, ma raramente una catastrofe se agisci nell'ordine giusto: verifica i segnali, ferma l'emorragia, rimuovi il problema, ripristina da un backup pulito, recupera la reputazione e, se ci sono dati personali, gestisci gli obblighi GDPR. Poi — la parte che fa la vera differenza — chiudi la porta da cui sono entrati.

Perché la sicurezza non è un intervento una tantum: è una verifica che si ripete. Controllare le vulnerabilità a monte, con regolarità, è ciò che trasforma un'emergenza in un episodio isolato invece che in un problema ricorrente.