I primi 5 passi urgenti per recuperare un sito web dopo un attacco hacker

Se il tuo sito web è stato hackerato, la priorità è mantenere la calma, limitare i danni, isolare la piattaforma, rinnovare tutti gli accessi, ripristinare da un backup pulito, eliminare qualsiasi codice malevolo e rafforzare le misure di sicurezza permanenti. Le prime 24 ore sono cruciali: bisogna bloccare l'accesso dell'intruso, proteggere i visitatori e i dati, evitare che i motori di ricerca penalizzino il sito e riportarlo online in modo verificato e sicuro.

L’hackeraggio non si manifesta sempre con una homepage modificata o messaggi evidenti. Spesso gli attaccanti preferiscono restare invisibili: creano pagine spam, alterano i moduli di pagamento, aggiungono utenti amministratori, inseriscono codice di reindirizzamento nel database o sfruttano il server per inviare email di spam. Per questo il recupero non si limita alla cancellazione dei file: serve un intervento sistematico che preservi le prove, certifichi la pulizia e prevenga nuovi attacchi.

In questa guida troverai i 5 principali passaggi di emergenza da seguire se il tuo sito viene hackerato. Le spiegazioni sono pratiche e adatte sia a WordPress, siti custom, e-commerce che web aziendali: isolare, bloccare gli accessi, tornare a una fonte pulita, verificare, rafforzare.

Segnali che indicano che il tuo sito è stato hackerato

Un attacco non si manifesta sempre con un crash evidente. In alcuni casi il problema rimane nascosto per settimane. Se riscontri anche solo uno dei seguenti segnali, affronta la situazione come un evento di sicurezza, non come un semplice errore.

• Titoli di contenuti relativi a gioco d’azzardo, farmaci, criptovalute o materiale per adulti sotto il tuo dominio nei risultati di Google.
• Avvisi di sito pericoloso, phishing o connessione non sicura nel browser.
• Impossibilità di accedere al pannello admin o presenza di utenti amministratori sconosciuti.
• Improvviso aumento di CPU, RAM, traffico disco o invio di email dal server.
• Modifiche inattese in file come .htaccess, index.php, wp-config.php o file del tema.
• Reindirizzamento dei visitatori verso altri domini.
• Invio di email di massa dal tuo hosting senza autorizzazione.
• Disattivazione di plugin di sicurezza o cancellazione dei log.

Per esempio, un blog che normalmente riceve 2.000 visite al giorno e improvvisamente genera 30.000 richieste, spesso non è dovuto a un aumento reale di utenti, ma a bot, tentativi brute force o script malevoli. Se un tema da 10 MB diventa 80 MB nel giro di pochi giorni, probabilmente sono stati caricati file backdoor.

I primi 30 minuti dopo l’attacco: niente panico, raccogli prove e riprendi il controllo

La reazione istintiva non deve essere la cancellazione indiscriminata dei file. Questo potrebbe eliminare le tracce dell’attacco, rendere più difficile la pulizia e portarti a ripristinare da un backup infetto. Prima di tutto, documenta la situazione: data, ora, avvisi ricevuti, URL compromessi, utenti sospetti, ultimi aggiornamenti e log del server. Queste informazioni aiuteranno sia il supporto tecnico che gli esperti di sicurezza a diagnosticare rapidamente il problema.

Per siti che gestiscono e-commerce, utenti o dati personali, registrare l’incidente è fondamentale. Annota quali dati potrebbero essere stati coinvolti, quando è iniziato l’attacco e da quali IP è stato tentato l’accesso. Se il tuo sito è ospitato su Hostragons, fornire dettagli come dominio, cartella compromessa, fascia oraria e messaggi di errore velocizza l’intervento. Se vuoi saperne di più sull’importanza dell’infrastruttura hosting, consulta Pacchetti di web hosting sicuri.

1. Passo: Isola il sito e limita i danni

La prima azione urgente è impedire all’hacker e al codice malevolo di causare ulteriori danni. È come chiudere la valvola del gas prima di spegnere un incendio. Non è sempre necessario mettere offline il sito, ma bisogna evitare che i visitatori siano esposti a reindirizzamenti, moduli di pagamento falsi o file infetti.

Attiva la modalità manutenzione o limita temporaneamente l’accesso

Se usi WordPress puoi mostrare una pagina di manutenzione; se hai un sito custom, restituisci un codice 503 o consenti l’accesso solo da IP specifici. Il codice 503 comunica ai motori di ricerca che il sito è temporaneamente non disponibile, evitando penalizzazioni che invece possono arrivare mostrando una pagina vuota o un errore 404. Se il sito diffonde malware o phishing, limita completamente l’accesso.

• Non lasciare il pannello admin accessibile a tutti; usa restrizioni IP.
• Disattiva temporaneamente l’esecuzione di PHP nelle cartelle di upload.
• Se l’invio email viene abusato, sospendi SMTP.
• Se la pagina di pagamento è compromessa, disattiva temporaneamente POS e integrazioni di pagamento.

Conserva i log e lo stato attuale dei file

Durante l’isolamento, preserva log di accesso, log di errore, registri FTP e cronologia delle azioni nel pannello di controllo. La maggior parte degli attacchi sfrutta plugin obsoleti, password FTP deboli, account admin compromessi o errori nei permessi di scrittura. Senza i log, individuare la causa è molto più difficile, e rischi che il sito venga nuovamente hackerato.

Scarica i file sul tuo computer per esaminarli in un ambiente protetto, ma assicurati che il PC sia dotato di antivirus. Se il pannello hosting offre opzioni di backup, crea una copia dell’attimo dell’incidente solo per analisi, non come backup per il ripristino. Per strategie di backup regolari, consulta soluzioni di hosting con backup automatico.

2. Passo: Rinnova tutti gli accessi, password e chiavi

Molti proprietari si limitano a cambiare la password admin dopo un attacco. In realtà l’accesso potrebbe essere stato compromesso tramite FTP, database, pannello hosting, SSH, email, token API o integrazioni esterne. Il secondo passo urgente è quindi resettare tutte le credenziali.

Quali password vanno cambiate?

• Password del pannello di controllo hosting.
• Password di utenti FTP, SFTP e SSH.
• Password e configurazione degli utenti del database.
• Password e ruoli di tutti gli account admin ed editor del CMS.
• Password delle email, soprattutto quelle che inviano tramite il dominio.
• Token API, chiavi di pagamento, accessi CDN e DNS.
• Chiavi di servizi Git, deploy, automazione e backup.

La password deve essere forte, unica, lunga almeno 16 caratteri e non prevedibile. Usare la stessa password su più piattaforme espone il sito a rischi in caso di leak. Attiva l’autenticazione a due fattori (2FA) ovunque possibile; soprattutto per l’admin, il 2FA riduce drasticamente il rischio di brute force.

Blocca utenti sospetti e termina le sessioni attive

Se trovi utenti sconosciuti nel CMS, non basta disattivarli: annota ruolo, data di creazione e attività, poi eliminali. In WordPress puoi terminare tutte le sessioni utente aggiornando le chiavi di sicurezza; in siti custom puoi pulire la tabella delle sessioni. Nei siti e-commerce controlla prioritariamente gli account con permessi amministrativi, non quelli dei clienti.

Ad esempio, se l’hacker ha avuto accesso a un vecchio account editor e ha caricato una web shell tramite un plugin con permessi di upload, cambiare solo la password admin non basta: l’editor rimane attivo. Esamina la matrice dei permessi e riduci gli account admin ed editor inutili. Anche la gestione di dominio, DNS e SSL deve essere sicura; consulta gestione del dominio e sicurezza DNS e soluzioni di certificato SSL per approfondire.

3. Passo: Ripristina da backup pulito o metti in quarantena le aree infette

Il metodo più rapido e sicuro è ripristinare il sito da un backup verificato e precedente all’attacco. Il concetto di “pulito” è fondamentale: un backup di ieri può essere già compromesso se l’attacco è iniziato una settimana fa. Valuta backup, log e orari di modifica dei file insieme.

Come scegliere il backup giusto?

Identifica quando sono apparsi i primi segnali di compromissione. Se Search Console ti avvisa il 12 marzo, ma nei log del server ci sono richieste POST sospette dal 5 marzo, il backup del 12 non è sicuro. Analizza backup del 4 marzo o precedenti. Prima di ripristinare, scansiona i file di backup con tool di sicurezza.

• Il backup deve essere precedente all’inizio stimato dell’attacco.
• Non devono esserci account admin sconosciuti nel backup.
• Controlla l’integrità dei file: confronta i file core del CMS con il pacchetto originale.
• Cerca iframe nascosti, codice base64, script sospetti e spam nel database.
• Dopo il ripristino, aggiorna tutto il software.

Cosa fare se non hai un backup?

Se manca un backup pulito, il recupero va fatto con più attenzione. Prima crea una copia del sito in una area staging o temporanea. Metti in quarantena i file sospetti, reinstalla i file core del CMS da fonti ufficiali, sostituisci temi e plugin con versioni pulite. Le cartelle di upload sono spesso usate per nascondere file eseguibili come .php, .phtml, .phar: controllale con attenzione.

Pulire il database è importante quanto pulire i file. I reindirizzamenti malevoli a volte si trovano nelle impostazioni, nei widget, nelle opzioni del tema o nei contenuti degli articoli. Cerca script, iframe, eval, atob, base64_decode, gzinflate, shell_exec e document.location. Non tutti i base64 sono malevoli: un’eliminazione errata può rompere il sito. Prima di intervenire, fai una copia di sicurezza del database.

4. Passo: Elimina codice malevolo, aggiorna e chiudi le vulnerabilità

Ripristinare il sito non basta. Se non trovi come l’hacker è entrato, rischi nuovi attacchi. Il quarto passo serve a completare la pulizia, aggiornare software e correggere errori di configurazione.

Checklist per il filesystem

• Elenca i file modificati di recente: esamina quelli insoliti.
• Confronta i file core del CMS con la versione ufficiale.
• Controlla che non ci siano file eseguibili nelle cartelle di upload.
• Analizza file nascosti come .user.ini, .htaccess: spesso usati per reindirizzamenti.
• Restringi i permessi dei file: di norma 644 per i file, 755 per le cartelle.
• Elimina temi, plugin, backup zip e cartelle di test inutili.

Nel caso di WordPress, elimina i plugin inutilizzati invece di lasciarli disattivi. Un vecchio slider, un modulo form o un file manager inattivo ma presente sul server può essere rischioso. Temi “nulled” e plugin senza licenza spesso contengono backdoor: il risparmio immediato mette a rischio reputazione e dati dei clienti.

Ordine degli aggiornamenti

Pulendo, aggiorna prima il sistema core, poi il tema, poi i plugin. Se la versione PHP è obsoleta, dopo test di compatibilità passa a una versione aggiornata e supportata. Nel 2026 usare PHP vecchi è pericoloso: mancano le patch di sicurezza. Lato hosting sono cruciali PHP aggiornato, account isolati, backup regolari e firewall. Per soluzioni in linea con queste esigenze consulta Web hosting Hostragons.

Verifica anche la validità del certificato SSL. SSL non protegge da solo contro gli attacchi, ma cripta i dati tra utente e server e riduce l’efficacia di moduli falsi. Per login, pagamenti e aree utenti è obbligatorio. Per i certificati, vedi acquista certificato SSL.

5. Passo: Verifica, monitora e implementa protezione permanente prima di tornare online

Il quinto passo serve a confermare che il sito sia davvero pulito e a prevenire nuovi attacchi. Se questa fase viene saltata, potresti ritrovarti con gli stessi avvisi dopo pochi giorni. La verifica riguarda sia aspetti tecnici che gestionali.

Controlli prima di tornare online

• Testa homepage, login, pagamenti e URL popolari da dispositivi diversi.
• Controlla Search Console per problemi di sicurezza e azioni manuali.
• Analizza sitemap e robots.txt.
• Esamina i log server per 404, 500, POST e tentativi login ripetuti.
• Verifica reputazione email: se sei finito in blacklist, avvia la procedura di rimozione.
• Testa moduli di pagamento, contatti e upload.

Se Google o i browser hanno segnalato il sito come pericoloso, dopo la pulizia richiedi una nuova valutazione. Spiega chiaramente cosa è stato pulito, quale vulnerabilità è stata chiusa e quali misure sono state implementate. Evita spiegazioni generiche: indica ad esempio che il vecchio file manager è stato eliminato, gli admin sono stati resettati, l’esecuzione PHP nelle cartelle di upload è disattivata.

Misure pratiche per la protezione permanente

La sicurezza non è un’azione una tantum, ma un processo continuo. Anche per siti aziendali piccoli è utile un piano di manutenzione mensile: controlli settimanali degli aggiornamenti, backup giornalieri, policy di password forti e monitoraggio dei log. Per siti ad alto traffico sono consigliati WAF, CDN, protezione anti-bot avanzata e scansioni esterne.

Nei siti aziendali la gestione delle responsabilità va formalizzata: chi aggiorna, chi controlla i backup, chi riceve gli avvisi di sicurezza, chi attiva la manutenzione in caso di emergenza? Queste regole vanno definite prima dell’attacco, non durante. Così, se il sito viene hackerato, il team può agire secondo un piano già stabilito.

Passaggi aggiuntivi per SEO, reputazione e fiducia degli utenti

Anche dopo una pulizia tecnica, occorre fare controlli SEO. Gli hacker spesso generano centinaia o migliaia di URL spam. Se queste pagine sono state indicizzate, dovrai eliminarle e impostare il giusto codice (404, 410 o redirect selettivi). Reindirizzare tutte le pagine spam alla homepage non è sempre la soluzione migliore e può penalizzare il sito agli occhi di Google.

Controlla Search Console per pagine indicizzate, problemi di sicurezza, azioni manuali e sitemap. Dopo la pulizia, invia una nuova sitemap, ma solo se sei certo che le pagine spam siano state rimosse. Se nei risultati di ricerca legati al tuo brand compaiono ancora titoli malevoli, richiedi una nuova scansione delle pagine pulite.

Per la fiducia degli utenti, comunica in modo trasparente ma senza creare panico. Se dati personali, pagamenti o account sono stati potenzialmente coinvolti, segui le procedure legali e di protezione dei dati. Per siti vetrina la situazione è diversa, ma per e-commerce e membership serve una valutazione professionale.

Errori comuni da evitare

Alcuni errori durante il recupero possono causare più danni dell’attacco stesso. Il più frequente è pensare che il problema sia risolto appena il sito torna online. Se rimangono file backdoor, l’hacker può rientrare. Un altro errore è ripristinare backup senza verificarli: un backup infetto ripropone il problema.

• Non creare un backup prima di iniziare la pulizia.
• Cancellare solo i file malevoli visibili senza indagare la causa.
• Continuare a usare plugin o temi obsoleti.
• Dare troppi permessi a tutti gli admin.
• Cancellare o sovrascrivere i log senza analizzarli.
• Presumere che SSL renda il sito completamente sicuro.
• Scaricare temi e plugin da fonti non affidabili o economiche.

Permessi troppo permissivi (come 777) facilitano il lavoro degli hacker. Limitare i permessi ai minimi necessari: la scrittura va concessa solo dove serve davvero.

Riepilogo intervento d’emergenza

Per un recupero efficace segui l’ordine: isolare il sito, rinnovare tutti gli accessi, ripristinare o pulire, chiudere le vulnerabilità e verificare prima della messa online. Questo approccio riduce sia i rischi tecnici che le perdite SEO e di reputazione.

Hostragons offre infrastruttura hosting sicura, certificati SSL, gestione domini e soluzioni di backup per rafforzare la resilienza del tuo sito. Se vuoi rivedere la struttura di hosting del tuo sito, parti da Pacchetti Hosting Hostragons e Verifica del dominio e gestione del nome a dominio. Ricorda: il vero obiettivo è trovare il giusto equilibrio tra velocità, sicurezza, backup e supporto.

Domande frequenti

Devo togliere subito il mio sito online se viene hackerato?

Se il sito diffonde malware, reindirizza gli utenti o compromette i moduli di pagamento, limita subito l’accesso. In altri casi puoi attivare la manutenzione o restrizioni IP. L’obiettivo è proteggere i visitatori e segnalare ai motori di ricerca che si tratta di una situazione temporanea.

Ripristinare da un backup pulito è sempre sufficiente?

No. Il backup pulito permette un recupero rapido, ma se non identifichi la via d’ingresso dell’hacker, rischi nuovi attacchi. Dopo il ripristino, cambia le password, aggiorna tutto, controlla i permessi e elimina la causa (plugin, tema o errori di configurazione).

Un sito hackerato perde il ranking SEO?

Se l’incidente è gestito rapidamente e bene, non è detto che ci siano perdite SEO permanenti. Ma se vengono indicizzate pagine spam, Google mostra avvisi di sicurezza o il sito resta offline a lungo, il ranking può degradarsi. Dopo la pulizia, controlla Search Console, richiedi una nuova valutazione e elimina le URL spam.

Perché il mio sito WordPress viene hackerato di nuovo?

I problemi ricorrenti sono spesso causati da backdoor rimaste, plugin non aggiornati, password deboli, admin inutili, permessi errati e backup infetti. Non basta cancellare il codice visibile: serve un’analisi profonda e la modifica di tutte le credenziali.

La scelta dell’hosting influenza la sicurezza?

Sì. Account isolati, PHP aggiornato, backup regolari, firewall, scansioni malware, supporto tecnico rapido e compatibilità SSL migliorano la sicurezza. L’hosting sicuro non elimina tutti i rischi, ma riduce la superficie di attacco e accelera il recupero.