La cosa più insidiosa di un sito violato è che quasi sempre continua a funzionare. Le pagine si caricano, il modulo di contatto risponde, i prodotti sono visibili. Nel frattempo, in silenzio, qualcuno lo sta usando per inviare migliaia di email di spam, reindirizzare i visitatori su siti pericolosi o raccogliere dati dei clienti.
Il problema non è soltanto tecnico. È che Google se ne accorge prima del proprietario del sito, e quando lo segnala come pericoloso nei risultati di ricerca il danno di immagine è già fatto. Ecco i tre segnali a cui prestare attenzione — e cosa fare nelle prime ore se li riconosci.
1 Il sito reindirizza su pagine che non hai creato
Apri il sito dal browser e tutto sembra normale. Ma se lo apri in modalità navigazione privata, o da un dispositivo mobile, finisci su una pagina di farmaci, scommesse o contenuti che non c'entrano nulla con la tua attività.
Questo tipo di attacco si chiama redirect condizionale: il codice malevolo reindirizza solo certi visitatori (chi arriva da Google, chi usa uno smartphone, chi visita per la prima volta) e lascia passare il proprietario del sito. È progettato per passare inosservato il più a lungo possibile.
Come verificarlo: cerca il nome del tuo sito su Google e controlla la descrizione sotto il titolo. Se contiene testo in lingue straniere o argomenti che non tratti, il problema è già visibile ai motori di ricerca.
2 Google ti avvisa che il sito è pericoloso
Se hai collegato il sito a Google Search Console, puoi ricevere un'email con oggetto "Rilevato software dannoso" o "Problema di sicurezza rilevato". È il segnale più diretto che esista, ma arriva solo se Search Console è configurata correttamente — e molti siti non ce l'hanno.
In assenza di Search Console, il primo avviso lo vedono i tuoi visitatori: un cartello rosso nel browser che dice "Il sito che stai per visitare potrebbe contenere software dannoso". A quel punto il danno è già avvenuto, perché la maggior parte delle persone chiude la scheda senza proseguire.
Ne avevamo parlato anche a proposito di perché il posizionamento su Google è importante: una segnalazione di sicurezza azzerava il traffico organico nel giro di ore, non di giorni.
3 Compaiono pagine o utenti che non hai creato
Accedi al pannello di amministrazione e trovi pagine pubblicate che non riconosci, spesso con titoli in inglese o in lingue straniere, piene di link a siti esterni. Oppure, nel caso di WordPress, trovi utenti amministratori che non hai mai aggiunto.
Questa è la firma più classica di un'iniezione di contenuto: chi ha violato il sito ha usato le sue credenziali per pubblicare pagine ottimizzate per parole chiave illegali o spam, sfruttando la reputazione del tuo dominio su Google. Il tuo sito lavora per qualcun altro senza che tu lo sappia.
Anche rimuovere quelle pagine non è sufficiente se non si trova e chiude la vulnerabilità che ha permesso l'accesso. Eliminare il sintomo senza curare la causa porta quasi sempre a una seconda violazione nel giro di giorni.
Cosa fare nelle prime ore
Se riconosci anche uno solo di questi segnali, la priorità è limitare i danni prima di tutto il resto:
- Metti il sito in modalità manutenzione o disattivalo temporaneamente — meglio un sito offline per qualche ora che uno attivo che danneggia i visitatori
- Cambia subito tutte le password: pannello CMS, hosting, email associata, account FTP
- Controlla gli utenti amministratori e rimuovi quelli che non riconosci
- Ripristina da un backup pulito, se hai la certezza di quando è avvenuta la violazione
- Aggiorna tutto prima di rimettere il sito online: CMS, plugin, temi
- Richiedi la revisione a Google tramite Search Console una volta che il sito è pulito
Il punto più critico è il quarto: un backup è utile solo se esiste e se è abbastanza recente da essere precedente alla violazione. Ne avevamo parlato in dettaglio a proposito di perché il backup dell'hosting non basta.
Come non arrivare a questo punto
La quasi totalità delle violazioni sfrutta vulnerabilità note in plugin, temi o versioni di CMS non aggiornate. Non si tratta di attacchi mirati: sono scansioni automatiche che cercano siti con versioni vulnerabili, e li trovano in modo sistematico.
Aggiornamenti regolari, password robuste, autenticazione a due fattori e un backup indipendente dall'hosting coprono la maggior parte dei rischi. Non sono misure sofisticate: sono la base che manca nella maggior parte dei siti che finiscono per essere compromessi. Di questo si occupa anche il nostro servizio di sicurezza e backup.
Domande frequenti
Il sito funziona normalmente: può essere stato violato lo stesso?
Sì, è la situazione più comune. Chi viola un sito raramente lo manda offline: è molto più utile lasciarlo attivo e usarlo in silenzio per inviare spam, rubare dati o distribuire malware ai visitatori.
Chi ha interesse a violare un sito piccolo come il mio?
Quasi mai si tratta di un attacco mirato. I siti vengono scansionati in modo automatico alla ricerca di vulnerabilità note. Un sito piccolo con un plugin non aggiornato è un bersaglio esattamente quanto un sito grande.
Quanto tempo passa di solito prima di accorgersene?
Settimane o anche mesi, nella maggior parte dei casi. Chi viola un sito ha interesse a restare nascosto il più a lungo possibile. È uno dei motivi per cui il monitoraggio continuativo vale più di un controllo occasionale.
Cosa si rischia se non si interviene in tempo?
Il rischio principale non è tecnico ma commerciale: Google può segnalare il sito come pericoloso nei risultati di ricerca, i visitatori vedono un avviso nel browser, e il danno di immagine è molto più difficile da recuperare del danno tecnico.
