Sito web hackerato? Cosa fare nelle prime 24 ore
Sito hackerato? Mantenga la calma. Segnali, prime 24 ore passo dopo passo, pulizia, avvisi dei motori di ricerca e protezioni da attivare dopo.
Team rabbitclipPubblicato: 7 min di lettura
In breve
Se sospetta che il suo sito web sia stato hackerato, mantenga la calma e segua una sequenza: tolga il sito dalla vista pubblica se necessario, conservi una copia del suo stato attuale e dei log senza cancellare nulla, cambi le password di hosting, pannello di amministrazione, database e posta da un dispositivo pulito, avvisi la sua società di hosting e solo dopo ripristini da un backup pulito o faccia pulire da un esperto. Cancellare tutto in fretta elimina le tracce che mostrano come l'aggressore è entrato e invita la stessa intrusione a ripetersi dalla stessa falla.
Un attacco non sempre somiglia a una home page deturpata. Spesso è silenzioso: vengono aggiunti link nascosti, i visitatori sono reindirizzati a un altro indirizzo o il server viene usato per inviare spam. Conoscere i segnali è metà del primo passo.
Qui sotto trova i segnali, che cosa fare nelle prime 24 ore e in quale ordine, come procede la pulizia, come gestire un avviso di un motore di ricerca e quali protezioni servono dopo.
Come faccio a sapere che il mio sito è stato hackerato?
Il segnale evidente è una pagina modificata o un messaggio di riscatto. Sono però più comuni i segnali silenziosi. Se il suo titolo compare nei risultati di ricerca con contenuti estranei che lei non ha scritto, se i visitatori da telefono vengono mandati su un altro sito o se il browser dice che il sito potrebbe essere dannoso, la situazione è seria.
Ci sono altri segnali: un utente sconosciuto nel pannello di amministrazione, un plugin che non ha mai installato, un avviso di risorse o di spam dalla società di hosting, clienti che le dicono di aver ricevuto e-mail che lei non ha inviato. Un segnale non è una prova, ma se ne compaiono diversi insieme, parta dal peggio e agisca con cura.
- Titoli o descrizioni nei risultati di ricerca che lei non ha scritto
- Visitatori reindirizzati a un altro sito
- Un avviso di sito dannoso dal browser o dal motore di ricerca
- Un utente o un plugin sconosciuti nel pannello di amministrazione
- Il server che rallenta inaspettatamente, o un avviso dalla società di hosting
Che cosa si fa nelle prime 24 ore e in quale ordine?
L'obiettivo è prima fermare il danno, poi proteggere le prove, poi riprendere il controllo. Mettere il sito dietro una pagina di manutenzione evita che i visitatori siano esposti a codice dannoso. Poi, senza cambiare nulla, copi lo stato attuale dei file e del database in un luogo separato e conservi anche i log di accesso del server. Scoprire come è entrato l'aggressore dipende da quei log.
Quindi cambi le password, ma da un dispositivo pulito. L'attacco può essere partito dal suo stesso computer, quindi lo analizzi a sua volta. Scelga valori impossibili da indovinare, uno diverso per ogni account; il generatore di password sul nostro sito può aiutarla. Infine scriva alla sua società di hosting; può verificare se altri account sul server sono stati colpiti.
- Mettere il sito dietro una pagina di manutenzione temporanea
- Conservare così com'è una copia dei file, del database e dei log di accesso
- Cambiare le password di hosting, pannello di amministrazione, database, FTP e posta da un dispositivo pulito
- Annotare gli utenti amministratori e i plugin sconosciuti e disattivarli
- Avvisare la società di hosting
- Analizzare il proprio computer alla ricerca di malware
Ripristinare un backup basta, e come si fa la pulizia?
Un backup serve solo se è precedente all'attacco. Se il codice dannoso si è insediato mesi fa, il backup stesso è infetto, quindi prima di ripristinare deve sapere quale è pulito. Neanche il solo ripristino basta: se la falla usata dall'aggressore resta aperta, tornerà dalla stessa strada.
Una pulizia fatta bene segue questo ordine: i contenuti vengono spostati su un backup pulito o su un'installazione nuova del software, il software, il tema e i plugin vengono aggiornati, quelli inutilizzati vengono rimossi, gli account amministratore vengono controllati e solo allora riapre il sito. Se in qualsiasi momento ha dei dubbi, è più sicuro ispezionare prima una copia altrove e poi metterla online.
Come si rimuove un avviso di un motore di ricerca o di un browser?
Dopo la pulizia del sito, l'avviso potrebbe non sparire da solo. Gli strumenti per i webmaster dei motori di ricerca le segnalano quando è stato rilevato un problema di sicurezza e, una volta risolto, deve richiedere un nuovo riesame. La richiesta si fa con una breve spiegazione di quale fosse il problema e di come lo ha risolto. I tempi di riesame variano, quindi non si può promettere alcuna tempistica.
Nel frattempo ripulisca le pagine estranee rimaste nei risultati di ricerca: gli indirizzi che lei non ha creato dovrebbero sparire e la sitemap dovrebbe essere pulita. Una volta rimosse le pagine dannose, ci vuole tempo prima che smettano di comparire nella ricerca.
Quali errori si fanno più spesso nel panico?
Il primo è cancellare tutto senza fare una copia, perdendo così la traccia dell'aggressore. Il secondo è riparare solo la home page e lasciare la porta di servizio, così l'aggressore torna una settimana dopo. Il terzo è cambiare le password dallo stesso computer, che potrebbe essere a sua volta compromesso.
Il quarto è nascondere l'incidente. Se i dati dei clienti possono essere stati coinvolti, può sorgere un obbligo di notifica; è una questione legale e dovrebbe rivolgersi a un avvocato. Su un sito che conserva dati personali, ne tenga conto fin dal primo giorno.
- Cancellare prima di copiare
- Sistemare il sintomo visibile senza chiudere la falla
- Cambiare le password da un dispositivo forse compromesso
- Non valutare con un avvocato la possibilità di un'esposizione dei dati dei clienti
Quando è la scelta sbagliata pulire da soli?
Su un sito piccolo con una sola installazione e un backup pulito, il lavoro è spesso gestibile. Ma su un sito con dati dei clienti, un flusso di pagamento o un sistema di iscrizioni, o se non riesce a trovare dove si trova il codice dannoso, occuparsene da soli è una scelta rischiosa. Una pulizia scadente lascia residui e lo stesso incidente si ripete.
In questi casi si rivolga al supporto di sicurezza della sua società di hosting o al team che ha realizzato il sito. Trovare la via usata dall'aggressore fa parte del lavoro tanto quanto la pulizia. Qualsiasi riparazione fatta prima di trovarla è solo temporanea.
Quali protezioni impediscono che si ripeta?
Le protezioni sono noiose ma efficaci. Tenga aggiornati software, temi e plugin e cancelli quelli che non usa. Usi password forti e uniche e la verifica in due passaggi sugli account amministratore, e dia a ciascuno solo l'accesso che gli serve. Conservi i backup fuori dal server, in un luogo separato, e li faccia con regolarità.
Aiuta anche controllare il sito dall'esterno ogni tanto con scansioni. Le intestazioni di sicurezza e un livello di firewall riducono la superficie d'attacco. Nessuna garantisce rischio zero; l'obiettivo è rendere un attacco più difficile e riprendersi in fretta quando avviene.
- Aggiornamenti regolari e rimozione dei plugin inutilizzati
- Password forti e uniche e verifica in due passaggi
- Privilegio minimo: ciascuno ottiene solo l'accesso che gli serve
- Backup regolari e collaudati, conservati fuori dal server
- Un firewall e intestazioni di sicurezza
La regola per le prime 24 ore dopo un attacco è semplice: fermare, conservare, cambiare le password, segnalare, tornare da una copia pulita e chiudere la falla. Una pulizia frettolosa lascia la falla aperta. Il passo successivo è impostare aggiornamenti regolari e una routine di backup fuori dal server. Se desidera che esaminiamo insieme la sicurezza del suo sito, saremo lieti di sentirla in una chiamata conoscitiva con rabbitclip.
Domande frequenti
Devo mettere subito offline il mio sito se è stato hackerato?
Se i visitatori sono esposti a codice dannoso o a reindirizzamenti, una pagina di manutenzione temporanea è ragionevole. Ma non cancelli file prima di aver fatto una copia.
La mia società di hosting pulirà il sito per me?
Dipende dalla società e dal suo piano. Alcune offrono assistenza o un servizio a pagamento, altre guardano solo il lato server. Chieda per iscritto che cosa faranno e che cosa no.
Ho pulito il sito, ma l'avviso è ancora nei risultati di ricerca. E ora?
Segnali negli strumenti per i siti del motore di ricerca che il problema di sicurezza è risolto e richieda un nuovo riesame. Non si può promettere un tempo esatto di rimozione.
E se sono stati rubati i dati dei clienti?
Può esistere un obbligo di notifica relativo ai dati personali; è una questione legale, quindi consulti subito un avvocato. È anche ragionevole consigliare agli utenti interessati di cambiare le loro password.
Se ho un backup, l'attacco è risolto?
No. Un backup riporta solo i contenuti. Se la falla usata dall'aggressore resta aperta, il sito può essere preso di nuovo, quindi servono anche aggiornamenti e cambi di password.
