Sito compromesso: 8 segnali da riconoscere.

Perché un sito violato sembra normale

C'è un equivoco diffuso su cosa significhi «sito hackerato». L'immagine che viene in mente è quella del defacement: la home sostituita da un messaggio, il sito irraggiungibile, il danno evidente. Succede, ma è la minoranza dei casi.

Chi attacca un sito aziendale nella maggior parte delle situazioni non vuole distruggerlo: vuole usarlo. Un sito funzionante e apparentemente normale è più prezioso di uno spento, perché può ospitare pagine di spam, inviare email fraudolente sfruttando la reputazione del dominio, o reindirizzare parte del traffico verso altri siti. Tutte attività che rendono di più se restano invisibili il più a lungo possibile.

Questo cambia completamente il modo in cui bisogna cercare i segnali. Non serve controllare se il sito «si apre»: serve guardare in punti che nessuno guarda mai.

1. Pagine che non hai mai scritto compaiono su Google

È il segnale più affidabile in assoluto, e si verifica in trenta secondi. Vai su Google e cerca:

site:iltuodominio.it

Google elencherà tutte le pagine del tuo sito che ha indicizzato. Scorri i risultati: se compaiono pagine in lingue che non hai mai usato, titoli su farmaci, scarpe, casinò o prestiti, o indirizzi che non riconosci, il sito ospita contenuti che non hai messo tu.

Vale la pena controllare oltre la prima pagina di risultati. Le pagine inserite da terzi tendono a finire in fondo, proprio perché non hanno collegamenti dal resto del sito.

2. Il traffico cambia forma senza motivo

Apri Google Analytics e guarda gli ultimi tre mesi. Non il totale: la composizione.

Segnali che meritano attenzione: un picco improvviso di visite da paesi con cui non lavori; pagine sconosciute tra le più viste; una frequenza di rimbalzo che schizza al 95% su alcune pagine; visite che durano zero secondi in quantità anomala.

Un sito compromesso genera traffico che non assomiglia al tuo. Se le tue visite arrivavano da Veneto e Lombardia e improvvisamente il 40% viene da altre parti del mondo su pagine che non conosci, non è un successo di marketing.

3. Le email aziendali finiscono nello spam

Questo segnale sorprende, perché sembra un problema separato. Non lo è.

Se il tuo sito viene usato per inviare messaggi indesiderati, il dominio finisce nelle liste di blocco che i provider consultano. Il risultato: anche le tue email legittime — preventivi, conferme d'ordine, risposte ai clienti — vengono trattate come sospette.

Il campanello d'allarme è quando più clienti nel giro di poche settimane ti dicono di non aver ricevuto una tua email, e la trovano nella posta indesiderata. Se hai configurato correttamente SPF, DKIM e DMARC e il problema si presenta comunque, vale la pena guardare il sito.

Un controllo che costa zero e che quasi nessuno attiva: i report DMARC aggregati. Se nel record DMARC hai impostato rua=mailto:, ricevi periodicamente l'elenco degli indirizzi IP che spediscono posta a nome del tuo dominio. Quando fra questi compare il server del sito — che di norma non manda nulla — hai un segnale di compromissione settimane prima che un cliente ti dica di aver trovato la tua email nello spam.

4. Il browser o Search Console mostrano un avviso

Quando Google rileva contenuti pericolosi, non ti manda un'email di cortesia: mette un avviso rosso davanti al sito, visibile a chiunque provi ad aprirlo. A quel punto il danno è già fatto e il traffico crolla nel giro di ore.

La Search Console però segnala il problema prima, nella sezione «Sicurezza e azioni manuali». È uno dei motivi per cui vale la pena averla configurata e controllarla ogni tanto, anche quando tutto sembra a posto.

Se non l'hai mai attivata, è gratuita e la configurazione richiede pochi minuti: è lo strumento con cui Google ti dice cosa vede del tuo sito.

5. Il sito è diventato lento senza che sia cambiato nulla

Un rallentamento improvviso, senza nuovi contenuti o modifiche recenti, può indicare che il server sta facendo qualcosa oltre a servire le tue pagine: inviare messaggi in massa, eseguire operazioni per conto di terzi, rispondere a richieste automatiche.

La lentezza da sola non prova nulla — le cause ordinarie sono molte e le abbiamo elencate nell'articolo sulle cause dei siti lenti. Ma un rallentamento improvviso e inspiegato, soprattutto se accompagnato da un altro segnale di questa lista, merita un controllo.

6. File modificati in date che non tornano

Se hai accesso FTP o al pannello dell'hosting, ordina i file per data di modifica. È un controllo che richiede un minuto.

Quello che cerchi: file di sistema modificati in date in cui nessuno ha toccato il sito, soprattutto di notte o nel fine settimana. File con nomi che sembrano casuali. Cartelle nuove che non riconosci, spesso in punti dove non dovrebbe esserci nulla, come la cartella dei caricamenti.

Su WordPress i punti classici sono la cartella dei plugin, quella dei temi e i file di configurazione nella radice del sito.

7. Utenti amministratori che non hai creato

Nel pannello di amministrazione, controlla l'elenco degli utenti. Ogni account con permessi di amministratore che non riconosci va rimosso — ma prima annota quando è stato creato, perché quella data dice quando è iniziato il problema.

Attenzione anche agli account con nomi plausibili: «admin», «backup», «support», «wpuser». Chi vuole restare non usa nomi appariscenti.

8. Comportamenti diversi tra desktop e telefono

Alcune violazioni sono selettive: mostrano il sito normale a chi lo visita dal computer dell'ufficio e reindirizzano altrove chi arriva da smartphone o da un risultato di ricerca. È un modo per ritardare la scoperta, perché il proprietario controlla sempre dal proprio computer.

La verifica: apri il sito dal telefono, con la connessione dati anziché il wi-fi aziendale, arrivando da una ricerca su Google invece che digitando l'indirizzo. Se il comportamento è diverso, hai trovato qualcosa.

Cosa fare se un segnale corrisponde

Un segnale isolato non è una condanna: la lentezza può avere cause banali, un picco di traffico può essere reale. Ma due o più segnali insieme rendono probabile la compromissione.

Il primo passo non è cancellare file a caso, ed è importante: senza sapere come è entrato l'attaccante, ripulire serve a poco perché rientra dalla stessa porta. Prima si capisce il punto d'ingresso, poi si bonifica.

Se sei già oltre i segnali e il problema è conclamato, l'articolo su cosa fare quando il sito è stato hackerato spiega i passi nell'ordine corretto, inclusi gli errori che peggiorano la situazione.

Per un controllo rapido dello stato generale — certificato, intestazioni di sicurezza, velocità — puoi usare il nostro strumento gratuito di analisi: non sostituisce un'ispezione dei file, ma dà un quadro in trenta secondi.

Prevenire costa meno che rimediare

Quasi tutte le violazioni che vediamo sfruttano tre cose: un plugin non aggiornato da mesi, una password debole su un account amministratore, un'installazione lasciata senza manutenzione dopo la consegna.

Non servono misure sofisticate. Aggiornamenti regolari, password diverse per ogni accesso, autenticazione a due fattori sugli account amministrativi, backup automatici conservati fuori dal server e un controllo periodico coprono la grande maggioranza dei casi reali.

È il contenuto della guida alla sicurezza del sito, se vuoi approfondire senza diventare tecnico.