Sito WordPress hackerato: cosa fare

Prima cosa: non toccare niente

Sembra ovvio ma non lo è. La prima reazione è aprire file, modificare configurazioni, cancellare plugin sospetti. Fermati. Fai uno screenshot della home page, un backup dei file e del database come stanno adesso. Anche se sono infetti. Ti servirà per capire cosa hanno cambiato e, se serve, per fare un ripristino pulito. Se non sai come fare un backup, usa un plugin come UpdraftPlus o fai il download del database da phpMyAdmin. Poi chiudi l'accesso al sito con .htaccess o mettilo in modalità manutenzione finché non hai chiaro cosa fare.

Come capire se WordPress è davvero hackerato

Se vedi uno di questi segnali, il sito è compromesso. Non c'è 'forse'. C'è da intervenire. I segnali chiari:

• La home page mostra contenuti in cinese o russo.
• Appaiono link a siti di phishing.
• WordPress ha amministratori che non hai creato tu.
• Il sito reindirizza a domini esterni.
• Sono installati plugin che non riconosci.

Segnali meno evidenti, ma da non sottovalutare

Più facili da liquidare come 'problemi tecnici', ma vanno presi sul serio quanto i primi:

• Lentezza improvvisa del sito.
• Pagine che caricano contenuti strani dal database.
• Email di spam che partono dal tuo dominio.
• Google che ti segnala come sito compromesso.

Le prime 24 ore: cosa fare

In ordine, tre cose da fare — e una da sapere quando fermarsi.

• Cambia tutte le password: WordPress admin, database, FTP, email dell'account amministratore, pannello hosting. Password lunghe e diverse per ogni account.
• Controlla gli utenti WordPress: elimina quelli che non hai creato tu, soprattutto quelli con ruolo administrator.
• Controlla i file del tema e dei plugin: cerca codice base64_decode, eval, file_get_contents da URL esterni, file .php strani in wp-content/uploads.
• Se non sai cosa guardare, fermati qui e chiama qualcuno che lo fa per lavoro: un errore in questa fase può peggiorare la situazione.

Pulire il sito: due strade

In entrambi i casi, verifica che il sito sia pulito prima di riaprirlo: Google lo controlla, e se torna online infetto ti penalizza.

• Ripristino da backup pulito: se hai un backup di prima dell'hack, ripristini quello, aggiorni WordPress e i plugin all'ultima versione, cambi tutte le credenziali e metti sicurezza in più. Più veloce e più sicuro.
• Pulizia manuale: vai file per file, confronti con versioni originali dei plugin, rimuovi file infetti, pulisci il database da record sospetti e redirect nascosti. Serve quando il backup non c'è o è vecchio.

Come evitare che succeda di nuovo

WordPress è il CMS più attaccato al mondo. Non perché è insicuro di suo, ma perché è il più diffuso e ci sono più bot che provano a sfruttarlo. Le cose che funzionano davvero:

• Non usare mai 'admin' come utente.
• Disabilita l'accesso XML-RPC se non lo usi.
• Metti un rate limit sul wp-login.php.
• Usa HTTPS con redirect forzato.
• Aggiorna WordPress e plugin entro una settimana dalla release.
• Non installare plugin da fonti sconosciute.

Cosa non serve davvero

La sicurezza WordPress è manutenzione costante, non un prodotto da comprare — e queste tre cose, da sole, non bastano:

• Un plugin di sicurezza 'tutto in uno' non configurato bene.
• Un CDN, se non hai altro problema oltre al DDoS.
• Un firewall applicativo, se i plugin sono già vulnerabili.

Quanto costa recuperare un WordPress hackerato

Dipende da quanto è grave e da quanto tempo è passato prima di accorgersene. In termini economici: da 70€ a 420€ se il lavoro lo fa un freelance a tariffa oraria, da 300€ a 3.000€ se lo fa un'agenzia che vende un 'pacchetto di emergency recovery'. La differenza reale è quanto è pulito il lavoro, non il prezzo.

• Pochi file infetti, ripristino da backup recente: 2-4 ore di lavoro.
• Backdoor sparse in tutto il codice, database compromesso, redirect nascosti: 6-12 ore.
• Nessun backup, hacker che hanno modificato mesi di contenuti: può servire ricostruire.