Sito WordPress hackerato: come accorgertene in tempo e cosa fare subito

Se temi che il tuo sito WordPress sia stato hackerato, la home ti dirà poco. Chi entra in un sito di solito ha bisogno che resti acceso e in ordine, perché lo usa per i fatti suoi.

Così il problema lo scopre qualcun altro. Può essere un cliente, finito su una pagina che non è tua, oppure Google, che può segnalare il sito come pericoloso.

Qui trovi i controlli che puoi fare da solo in una ventina di minuti e cosa fare nella prima ora senza peggiorare le cose. Più avanti c’è il caso più difficile: il codice cattivo che torna anche dopo la pulizia.

Perché un sito hackerato si apre come sempre

A chi attacca un sito WordPress conviene che il sito funzioni.

Un sito rotto lo notano tutti e lo sistemano in fretta. Uno che si apre come sempre, invece, può restare infetto a lungo senza che nessuno se ne accorga.

Google descrive un attacco che crea sul sito pagine in giapponese, scritte in automatico, con i link a negozi di merce di marca falsa. Stanno in cartelle con nomi a caso: dal menu del sito non ci arrivi, da Google sì.

C’è poi un trucco che rende tutto più difficile da notare. Google lo chiama cloaking: la stessa pagina mostra contenuti diversi a seconda di chi la apre. Così chi attacca ti fa credere che sia sparita o già sistemata.

Ne parla nella sua guida su come capire se un sito è stato compromesso.

La home in ordine non prova che il sito sia pulito. Per saperlo devi guardare anche dove il visitatore non arriva.

Vediamo da dove partire.

Come capire se il sito WordPress è stato hackerato

Questi quattro controlli li puoi fare da solo, senza cambiare niente. Ti serve solo l’accesso al pannello di WordPress.

1. Cerca il tuo sito su Google con «site:»

Nella barra di Google scrivi site: seguito dal tuo indirizzo, tutto attaccato. Per esempio: «site:latuaattivita.it».

Google ti mostra le pagine del sito che conosce.

Scorri i titoli. Se trovi pagine che non hai mai scritto, magari in giapponese, qualcuno le ha aggiunte.

È così che Elisa, titolare di un autonoleggio ad Ancona, ha scoperto il problema. Un cliente le aveva scritto che, cercando il nome dell’autonoleggio, sotto il suo sito comparivano titoli in caratteri giapponesi.

Dal telefono il sito era quello di sempre. Con site: le pagine estranee erano qualche centinaio.

2. Apri il rapporto Problemi di sicurezza di Search Console

Search Console è il servizio gratuito con cui Google ti dice come vede il tuo sito.

Se non l’hai mai attivato, chiedi l’accesso a chi ti ha fatto il sito.

Dentro c’è il rapporto Problemi di sicurezza. Se Google ha trovato contenuti aggiunti da altri o programmi dannosi, li elenca lì, con qualche indirizzo di esempio.

Già che ci sei, guarda chi risulta proprietario del sito. Google ne parla nella guida sulle pagine in giapponese aggiunte ai siti: un proprietario che non conosci è un forte indizio di un sito violato.

3. Controlla gli amministratori

Nel pannello vai su Utenti e filtra per Amministratore. Ogni nome deve corrispondere a una persona che conosci.

Un dettaglio che conta: l’utente che usa chi è entrato non sempre è un amministratore. Nell’elenco può risultare «cliente» o «abbonato» e avere comunque, aggiunti a mano, i permessi per installare plugin e creare utenti.

Questo non si vede dall’elenco degli utenti, e nemmeno dal pannello di WordPress senza un plugin apposito. È uno dei controlli che facciamo con il nostro strumento.

4. Guarda i plugin e le email

Apri la pagina dei plugin. Se ce n’è uno che nessuno ricorda di aver installato, chiedi a chi gestisce il sito prima di toccare altro.

Poi pensa alle email. Se l’hosting ti avvisa che dal tuo spazio partono troppi messaggi, c’è un motivo da cercare. Lo stesso se le email del sito iniziano a finire nello spam.

Questi controlli guardano il sito da fuori. I file e il database si controllano da dentro. È il lavoro che fa ogni settimana WP Sentinel, lo strumento che abbiamo costruito in DNA Creative per i siti WordPress che gestiamo.

Sito WordPress hackerato: cosa fare nella prima ora

Se uno dei controlli ti ha dato una brutta notizia, nella prima ora conta soprattutto una cosa: non fare danni.

Attenzione: non cancellare niente di corsa. Un file eliminato non si può più studiare, e a volte serviva al sito.

Fai una copia completa, anche se è infetta

Copia i file e il database. Il database è l’archivio dove WordPress tiene articoli e impostazioni.

La copia ti serve per capire da dove sono entrati e per tornare indietro se la pulizia rompe qualcosa.

Noi non cominciamo finché non abbiamo verificato, file per file, che la copia sia identica all’originale. Una copia rovinata, scoperta a metà lavoro, non serve a niente.

Cambia le password e le chiavi di WordPress

Cambia le password degli amministratori di WordPress, del pannello dell’hosting, dell’accesso FTP (il collegamento con cui si caricano i file sul server) e del database.

Poi cambia le chiavi di WordPress. Sono codici scritti nel file di configurazione del sito, e da loro dipende chi resta collegato al pannello.

Con chiavi nuove, chiunque fosse dentro deve rientrare con la password.

Avvisa l’hosting

L’hosting è l’azienda che tiene acceso il sito sui suoi server.

Ha i registri degli accessi e può dirti quando sono cambiati i file.

Se sullo stesso spazio hai altri siti, diglielo subito. La guida di WordPress sulla sicurezza lo scrive chiaro: se viene violato un altro sito sullo stesso server, il tuo è a rischio. Anche se hai fatto tutto bene.

Pulisci senza cancellare

I file sospetti si spostano in una cartella a parte, fuori dal sito.

Noi la chiamiamo quarantena: se un file serviva, si rimette al suo posto.

Prima di correggere il database, salva le righe che stai per cambiare: se sbagli, le rimetti com’erano. E i file che non c’entrano lasciali dove sono.

«Non faccio prima a reinstallare WordPress da zero?»

Di solito no. Reinstallare rimette a posto i file di WordPress.

Il codice cattivo però può stare in posti che una reinstallazione non tocca, come il database o la cartella dei plugin. E l’amministratore travestito resta al suo posto.

Ricontrolla, poi chiedi a Google di rivedere il sito

Apri le pagine principali e prova il modulo di contatto. Se hai un negozio online, metti un prodotto nel carrello.

Se Google aveva segnalato il sito, nel rapporto Problemi di sicurezza c’è il pulsante Richiedi esame. Spiega cosa è successo e cosa hai sistemato: Google scrive che l’esame può richiedere da alcuni giorni a qualche settimana.

Se ti sembra tanto da fare a mano, è la stessa sequenza che abbiamo messo dentro WP Sentinel. Sulla pagina dello strumento trovi come lavora una pulizia, dalla copia al ricontrollo delle pagine.

Perché il codice cattivo a volte torna

Hai pulito tutto, e dopo due giorni i file sono di nuovo lì. Di solito il motivo è uno di questi due.

Il primo è una backdoor: un file o un pezzo di codice che chi è entrato lascia apposta per rientrare. Finché resta, cambiare le password non basta.

Il secondo è più difficile da vedere. Certe infezioni si rimettono da sole a ogni avvio di WordPress. Togli il file, il primo visitatore apre il sito e il file è di nuovo lì.

In quel caso pulire con il sito acceso non serve.

L’abbiamo misurato nel laboratorio di WP Sentinel, con un’infezione finta che si rimette a ogni avvio. Durante una pulizia fatta con il sito acceso WordPress è partito 33 volte, e a ogni avvio l’infezione poteva riscriversi. Con il sito in pausa, nemmeno una.

Per questo mettiamo il sito in pausa. Mentre puliamo, chi lo apre trova un avviso di manutenzione e WordPress resta spento; finito il ricontrollo, il sito riapre.

E se i file tornano anche con WordPress spento? Allora a riscriverli è qualcosa che gira fuori da WordPress.

Lì può guardare solo l’hosting, e gli serve una richiesta precisa: quali file sono tornati e a che ora del server. WP Sentinel la prepara da sola.

Come proteggere un sito WordPress prima che succeda

«Il mio sito è piccolo. Chi vuoi che lo attacchi?»

Un programma. La guida ufficiale di WordPress sulla sicurezza scrive che molti attacchi sono portati avanti da programmi automatici. Un programma non guarda di chi è il sito: per lui un autonoleggio e un giornale sono uguali.

Le abitudini che riducono il rischio sono poche:

• Aggiornamenti uno alla volta: chiudono i punti deboli che si scoprono nei plugin. Prima di ognuno si fa una copia, dopo ognuno si controlla il sito.
• Pochi amministratori: chi scrive gli articoli non ha bisogno di poter installare plugin.
• Nessuna copia del sito dimenticata: un archivio lasciato nella cartella pubblica si può scaricare dal web, e dentro può esserci la password del database.
• Modifica dei file dal pannello spenta: dalla bacheca di WordPress si può cambiare il codice di temi e plugin. Se nessuno lo fa per lavoro, conviene spegnerla: la stessa guida di WordPress spiega come.

Sugli aggiornamenti abbiamo fatto una prova in laboratorio. Abbiamo preparato apposta un plugin che, nella versione nuova, rompe la home. WP Sentinel l’ha aggiornato, ha visto la home rotta e ha rimesso da solo la versione di prima.

Se il sito lo gestisce qualcun altro, chiedigli chi fa gli aggiornamenti e quando. È una delle domande della guida su come scegliere la web agency giusta.

«Ho già un plugin di sicurezza. Sono a posto?»

Da solo no. Il plugin vive dentro WordPress, e chi prende il pannello lo può disattivare con un clic.

Un controllo che parte da un altro computer, collegato al server, da lì non si tocca. Tenerli tutti e due è la scelta più prudente.

Come controlliamo i siti che gestiamo

Per i siti WordPress che gestiamo usiamo WP Sentinel.

Ogni sito entra quando lo prepariamo, uno per volta, e da lì il controllo si ripete ogni settimana.

Il primo giorno lo strumento annota ogni file con la sua impronta. È un codice calcolato dal contenuto, che cambia se nel file cambia anche una virgola.

Annota anche chi ha i poteri da amministratore e quali plugin sono attivi.

Ogni settimana confronta il sito con quello che aveva annotato.

Quando aggiorni un plugin cambiano centinaia di file tutti insieme. WP Sentinel li confronta con la versione ufficiale pubblicata su wordpress.org e, se coincidono, passa oltre senza segnalarli.

Arriva in evidenza solo quello che nessun aggiornamento spiega.

Per ogni cosa che trova scrive quanto è grave e cosa fare, con una nota sui casi in cui può essere un falso allarme. Se un controllo non è riuscito, lo scrive con il motivo.

Provato da noi: l’infezione che si rimette e il plugin che rompe la home vengono dal nostro laboratorio. Lì proviamo ogni funzione nuova di WP Sentinel prima di usarla sui siti dei clienti, e a ogni modifica dello strumento ripartono più di 3.000 prove automatiche.

Se il tuo sito non l’abbiamo fatto noi

Possiamo controllarlo lo stesso, se ci dai gli accessi e un ok scritto. WP Sentinel non lavora su un sito senza il nome di chi l’ha autorizzato.

Se invece stai ancora decidendo come fare il sito della tua attività, parti dalla guida su cosa deve avere un sito web. Chi lo costruisce e chi lo aggiorna è una scelta che conta anche per la sicurezza.

Le pagine in giapponese sul sito di Elisa le aveva trovate un cliente. Un controllo ogni settimana serve ad arrivarci prima.

Se vuoi sapere com’è messo il tuo sito, scrivici dalla pagina di WP Sentinel: ti diciamo cosa serve per controllarlo.