Sito hackerato, cosa fare? È una domanda che mi arriva sempre con urgenza. Sono Martina Tempesta, web designer a Roma con MarTe Graphics, e negli ultimi mesi ho seguito più di un sito violato: quello di uno studio professionale, quello di un circolo sportivo e il secondo sito di uno stesso proprietario. Erano casi diversi fra loro, ma gli errori che rischiavano di aggravarli si somigliavano tutti.
In breve: un sito violato si riconosce da segnali come visitatori dirottati, pagine in lingue che non hai scritto, avvisi di Google o la sospensione da parte dell’hosting, ma spesso sembra del tutto normale. Nelle prime ore conta non cancellare nulla, non ripristinare copie a caso e cambiare tutti gli accessi, a partire da quelli dell’hosting. Se dal sito potevano uscire dati dei clienti, va valutato subito se avvisare il Garante: quando serve, la notifica va fatta entro 72 ore da quando te ne accorgi.
Quali sono i segnali che il sito è stato violato?
I segnali più comuni di un sito violato sono cinque: visitatori dirottati verso siti di scommesse, farmaci o truffe; pagine in lingue che non hai mai scritto fra i risultati di Google; un avviso rosso del browser; un’email dell’hosting che parla di malware o di sospensione; utenti amministratori che non conosci. Ne basta uno per far controllare il sito.
I segnali che trovo più spesso
- Chi arriva da Google, o da telefono, finisce su un altro sito, mentre se scrivi tu l’indirizzo vedi la pagina giusta.
- Cercando il nome del sito su Google compaiono pagine che non hai mai creato, spesso in russo, cinese o giapponese.
- Un finto controllo «Non sono un robot» ti chiede di premere alcuni tasti e incollare qualcosa sul computer: non farlo mai.
- L’hosting ti scrive di contenuti malevoli, oppure il sito risulta sospeso.
- Nel pannello del sito ci sono utenti che nessuno ricorda di aver creato.
Sul secondo sito di un proprietario che già seguivo per un’altra violazione, le pagine spam erano in giapponese: cercando il sito su Google comparivano schede di negozi inesistenti, e l’hosting ha confermato la compromissione proprio da quei risultati.
Se l’allarme arriva dal browser, con la scritta «Non sicuro» o una pagina rossa, la causa può essere un’altra: la spiego nell’articolo su cosa vuol dire quando il browser dice che il sito non è sicuro.
Perché a volte il sito sembra normale e invece è infetto?
Un sito può sembrare normale ed essere infetto perché molti attacchi mostrano la parte malevola solo a qualcuno: ai visitatori ma non agli amministratori collegati, a Google ma non alle persone, a chi arriva dal telefono ma non dal computer. Si chiama cloaking, cioè travestimento, e serve a restare nascosti il più a lungo possibile.
Sul sito di uno studio professionale ogni pagina si copriva con un finto controllo «Non sono un robot», identico nell’aspetto a quelli veri. Chiedeva al visitatore di premere alcuni tasti e incollare un comando sul proprio computer: chi lo faceva installava da sé un programma malevolo. Il titolare, entrando da amministratore, vedeva tutto in ordine, perché il componente che generava il finto controllo si nascondeva proprio agli amministratori collegati e perfino dall’elenco dei componenti installati.
Quello che ho imparatoSu quel caso, un normale controllo fatto da programma restituiva una pagina pulita. Il finto controllo compariva solo aprendo il sito con un browser vero, come fa un visitatore qualsiasi. Per questo, quando sospetto una violazione, non mi fido mai di un solo tipo di verifica.
Sul sito di un circolo sportivo il travestimento era rovesciato: le persone vedevano le pagine di sempre, mentre a Google venivano mostrate pagine pubblicitarie false. Se n’è accorto l’hosting, che ha sospeso il sito.
Cosa fare nelle prime ore, e cosa non fare?
Nelle prime ore la cosa più utile è fermare il danno senza cancellare le tracce: annotare quando hai notato il problema, conservare le email dell’hosting e le segnalazioni ricevute, avvisare chi gestisce il sito e, se il sito raccoglie dati o vende online, valutare di sospenderlo in modo ordinato. Le mosse d’istinto, come cancellare file o ripristinare una copia, spesso peggiorano.
Cosa fare
- Annota giorno e ora del primo segnale, con una foto dello schermo.
- Conserva le email dell’hosting, di Google e dei clienti che ti hanno avvisato.
- Avvisa chi ha fatto o gestisce il sito, e chiedi chi ha gli accessi.
- Se dal sito passano pagamenti o dati, valuta con chi ti segue una pagina di manutenzione.
Cosa non fare
- Non seguire istruzioni che ti chiedono di premere tasti o incollare comandi.
- Non cancellare a mano file o pagine strane: spariscono le prove e la porta resta aperta.
- Non ripristinare la prima copia di sicurezza che trovi senza sapere da quando il sito è infetto.
- Non installare di corsa programmi di pulizia trovati online.
Prima di pulire bisogna capire da dove sono entrati e da quando, e quelle informazioni stanno nei file e nelle loro date, che una pulizia frettolosa cancella. Trovare la porta e chiuderla è un lavoro tecnico che faccio io: a te serve solo non renderlo più difficile.
Perché cambiare la password non basta?
Cambiare la password del pannello del sito non basta perché quasi mai sono entrati da lì. Se l’ingresso è stato un componente difettoso o un file lasciato sul server, chi attacca rientra senza bisogno di password. E spesso, una volta dentro, si è creato un accesso proprio: un amministratore in più, oppure un file nascosto che riapre la porta ogni volta che la chiudi.
Nel caso dello studio professionale il problema era proprio questo: un componente falso, con un nome credibile, si presentava come uno strumento di WordPress e serviva solo a rimettere il codice malevolo nelle pagine. Finché restava lì, qualunque pulizia sarebbe durata poco. Sul sito del circolo sportivo i file degli intrusi erano sparsi in più punti, in cartelle dai nomi anonimi.
Gli accessi da cambiare sono tutti, e tutti diversi fra loro: pannello dell’hosting, trasferimento dei file, database, caselle email, oltre al sito. E vanno cambiati prima di mettere mano ai file, altrimenti si pulisce un sito in cui l’intruso può ancora entrare.
Un sito violato si chiude dalla porta da cui sono entrati. La password del pannello, quasi sempre, è solo una finestra.
Come entrano nei siti, quasi sempre?
Nei siti WordPress si entra quasi sempre da un componente aggiuntivo non aggiornato, molto più di rado indovinando una password. Secondo il rapporto di Patchstack sulla sicurezza di WordPress nel 2025, il 91% delle nuove vulnerabilità scoperte quell’anno riguardava i plugin, il 9% i temi, e solo sei, tutte di bassa gravità, il programma di base.
Lo stesso rapporto misura in cinque ore il tempo mediano fra la notizia di una falla e il primo tentativo di sfruttarla su larga scala. Non ce l’hanno con te: sono programmi automatici che girano su migliaia di siti in cerca di quelli con la versione sbagliata di un componente, e prendono quelli che rispondono.
Il circolo sportivo aveva il programma del sito fermo da anni e diversi componenti abbandonati dai loro autori. La porta era lo strumento per scrivere i testi e caricare le foto, che permetteva a chiunque di caricare file sul sito senza nemmeno una password. Perché un sito fermo diventa un bersaglio, e cosa cambia con una manutenzione fatta bene, lo spiego nell’articolo su cosa succede se non aggiorni WordPress e i plugin.
Sullo stesso sito anche la registrazione degli utenti era aperta a tutti, e si erano iscritti decine di account falsi: ne parlo a proposito dello spam dal modulo contatti.
Pulire il sito o ricostruirlo?
Si pulisce quando la violazione è recente, la porta d’ingresso è chiara e il sito si può aggiornare. Si ricostruisce quando il programma è troppo vecchio per essere messo in sicurezza, quando i file degli intrusi sono sparsi ovunque o quando non esiste una copia anteriore all’attacco. In entrambi i casi i contenuti si salvano e gli indirizzi delle pagine restano gli stessi.
| Aspetto | Pulizia mirata | Ricostruzione pulita |
|---|---|---|
| Quando ha senso | Violazione recente, ingresso individuato | Programma fermo da anni, infezione diffusa |
| Copie di sicurezza | Ne esiste una anteriore all’attacco | Le copie sono già infette |
| Cosa si salva | Il sito intero, dopo i controlli | Testi, foto e indirizzi delle pagine |
| Rischio che torni | Basso, se la porta è chiusa davvero | Il più basso: la base è nuova |
Per lo studio professionale il primo intervento è stato togliere il componente nascosto e cambiare tutti gli accessi. In passato, però, quel sito aveva già ospitato articoli spam in russo: la falla era vecchia, e la strada più sicura era ricostruirlo. Per il circolo sportivo non c’era scelta, perché le copie di sicurezza dell’hosting erano state fatte dopo l’attacco ed erano infette anche loro. Ho consigliato di svuotare lo spazio e rifare il sito su una base nuova, con gli stessi testi e gli stessi indirizzi, che è anche quello che suggeriva l’hosting.
Dopo la bonifica resta da sistemare Google: sul sito del circolo erano registrati moltissimi indirizzi di pagine false, che vanno fatti uscire dai risultati. Ne parlo meglio nell’articolo su cosa fare quando il sito non compare su Google.
È il metodo che descrivo nella guida all’assistenza siti web: prima un controllo del sito, poi la scelta fra intervento mirato e ricostruzione, sempre con gli stessi indirizzi delle pagine.
Se dal sito sono usciti dati dei clienti, cosa devi fare?
Se dal sito potevano uscire dati personali dei clienti, per esempio le richieste arrivate dal modulo contatti, il titolare del trattamento, cioè di solito chi ha l’attività, deve valutare se avvisare il Garante della privacy. Il Regolamento europeo, all’articolo 33, chiede di notificare la violazione senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui se ne è venuti a conoscenza.
La notifica non è dovuta quando è improbabile che la violazione comporti un rischio per le persone. Quando invece il rischio è elevato, di regola vanno avvisati anche gli interessati: lo spiega il Garante nella sua pagina dedicata alle violazioni dei dati personali. Se le 72 ore passano, la notifica si fa comunque, indicando i motivi del ritardo. In ogni caso la violazione va annotata, con i fatti, le conseguenze e le misure prese, anche quando si decide di non notificarla.
Capita più spesso di quanto si pensi: molti moduli contatti salvano ogni richiesta dentro il sito, con nomi, indirizzi email e numeri di telefono, e chi entra nel sito può vederli.
Non sono un consulente legale e la decisione spetta al titolare, meglio se insieme a chi lo segue per la privacy. Quello che faccio io è fornire i fatti tecnici che servono per decidere: quali dati c’erano, da quando il sito era esposto, chi poteva vederli. Se il sito lo seguo io con la manutenzione, ti avviso appena mi accorgo che dei dati possono essere stati esposti, perché i tempi per decidere sono stretti. Se il tuo sito ha un problema del genere, raccontami cosa sta succedendo.
Domande frequenti
Le risposte più richieste
Può farlo, ma serve solo se la copia è anteriore all’attacco. Molti hosting conservano le copie per un periodo limitato, mentre una violazione può restare nascosta per mesi: in quel caso anche le copie sono infette, e il ripristino riporta online il problema. Prima di ripristinare bisogna sapere da quando il sito è compromesso, e quella data si ricava dai file, non a intuito.
Può penalizzarti in diversi modi: un avviso accanto al risultato, una pagina rossa che il browser mostra prima del sito, pagine false mescolate a quelle vere, un calo delle visite. Dopo la pulizia si chiede a Google di ricontrollare la sicurezza del sito tramite Search Console, lo strumento per i proprietari dei siti. Finché le pagine false restano nei risultati, però, il sito continua a risentirne.
Dipende da quanto è vecchia la violazione, da quanti punti del sito sono stati toccati e da cosa resta di sano. Una pulizia mirata su un sito aggiornato è un lavoro diverso da una ricostruzione su una base ferma da anni. Poi c’è una parte che non dipende da me, cioè i tempi con cui Google ricontrolla il sito e toglie gli avvisi. Un’indicazione precisa la do solo dopo aver visto il sito.
Sì. Gli attacchi non scelgono la vittima: programmi automatici provano le stesse falle su migliaia di siti e prendono quelli che rispondono. Un circolo sportivo che ho seguito non interessava a nessuno in particolare: aveva solo un programma vecchio e una porta aperta. A un sito piccolo chiedono spazio per pagine spam, visitatori da dirottare o un server da usare per altri attacchi.
No. Un programma di controllo aiuta ad accorgersi prima di un file cambiato, ma non chiude la porta da cui sono entrati e non vede tutto: i codici che si mostrano solo ai visitatori, o solo a Google, sfuggono facilmente ai controlli automatici. Ed è a sua volta un componente da aggiornare. Serve un sito tenuto in ordine, con aggiornamenti seguiti, accessi separati e copie conservate fuori dal server.
Con la manutenzione, fatta con continuità e non solo dopo un problema: aggiornamenti verificati, componenti inutili tolti, accessi diversi per ogni servizio, copie di sicurezza conservate lontano dal sito. Dopo una bonifica propongo sempre la manutenzione annuale, perché una porta chiusa oggi si può riaprire con il prossimo componente lasciato indietro.
Martina TempestaWeb designer a Roma, titolare di MarTe Graphics. Dal 2013 progetto siti per studi professionali, aziende e attività locali.
