Sito hackerato: cosa fare subito e come ripristinarlo in sicurezza
Sito hackerato: cosa fare nelle prime ore? La priorità è limitare il danno senza cancellare prove o rimettere online un sistema ancora vulnerabile. Serve una risposta ordinata: contenere, documentare, proteggere account e utenti, identificare la causa, ripristinare da una fonte affidabile e monitorare.
Se sono coinvolti dati personali, pagamenti, servizi essenziali o clienti, attiva subito responsabili tecnici, direzione, consulenza privacy/legale e provider. Questa guida è una traccia operativa generale, non sostituisce incident response e analisi forense professionale.
Segnali di compromissione
- Redirect verso siti sconosciuti o pubblicità.
- Pagine, utenti amministratori o file non creati dal team.
- Avvisi del browser, motori di ricerca o hosting.
- Invio anomalo di email, carico elevato o picchi di traffico.
- Modifiche a DNS, configurazione, pagamenti o dati.
- Login da località o orari insoliti.
- Plugin, dipendenze o job pianificati non riconosciuti.
Un singolo segnale non dimostra l’attacco, ma richiede verifica. Non limitarti a rimuovere ciò che si vede: una backdoor può restare nascosta.
Sito hackerato: cosa fare nei primi 30 minuti
- Nomina un coordinatore: una persona registra decisioni, tempi e responsabilità.
- Contieni: valuta modalità manutenzione, isolamento o blocco selettivo.
- Conserva: acquisisci copie di file, database, log e configurazioni prima delle pulizie.
- Proteggi gli accessi: revoca sessioni e credenziali sospette da un dispositivo sicuro.
- Contatta i provider: hosting, CDN, dominio, email, pagamenti e sviluppatori.
- Valuta l’impatto: utenti, dati, transazioni, reputazione e continuità.
Se il sito distribuisce malware o modifica pagamenti, tenerlo online per “non perdere vendite” può aumentare danni. L’isolamento deve però preservare dati utili all’analisi.
Non cancellare le prove
Prima di reinstallare o sovrascrivere, crea snapshot di hosting, file system e database; esporta log web, applicativi, accessi, WAF, CDN e pannello. Registra data, fuso orario, hash o almeno origine e integrità dei file quando possibile.
Non lavorare soltanto sulla copia viva. Una pulizia affrettata può eliminare timestamp, file e tracce che spiegano ingresso, durata e azioni dell’attaccante.
Creare una timeline
| Evento | Fonte | Domanda |
|---|---|---|
| Primo segnale noto | Alert, cliente, Search Console | Quando è iniziata l’osservazione? |
| Primo evento sospetto | Log e modifiche file | Qual è la prima attività verificabile? |
| Accesso iniziale | Login, vulnerabilità, credenziale | Come è entrato? |
| Persistenza | Utente, job, backdoor, chiave | Come poteva tornare? |
| Azioni | DB, file, email, pagamenti | Che cosa ha visto o modificato? |
| Contenimento | Registro interventi | Quando è cessata l’attività? |
Proteggere account e infrastruttura
Usa un dispositivo considerato pulito. Cambia prima email e password manager degli amministratori, poi hosting, dominio, CDN, CMS, database, SFTP/SSH, API e servizi collegati. Revoca token, chiavi e sessioni; attiva MFA.
Non limitarti alla password del pannello. Se l’email o il registrar sono compromessi, l’attaccante può reimpostare accessi o modificare DNS dopo la pulizia.
Identificare vettore e persistenza
Cause comuni includono software vulnerabile, credenziali riutilizzate, account non rimossi, plugin compromessi, configurazioni esposte, dipendenze e postazioni infette. Cerca file recenti, codice offuscato, modifiche a template, task pianificati, utenti e regole di redirect.
Confronta con una versione conosciuta e usa indicatori del provider o della community. L’OWASP offre riferimenti sulle principali classi di rischio, ma l’analisi deve essere specifica per stack e incidente.
Valutare dati personali e obblighi
Determina quali dati erano presenti, a quali sistemi si accedeva, se sono stati letti, copiati, modificati o resi indisponibili e quali persone potrebbero essere coinvolte. Conserva fatti e incertezze.
Coinvolgi responsabile privacy e consulenza legale per valutare data breach, notifiche e comunicazioni nei tempi applicabili. Non aspettare di conoscere ogni dettaglio prima di attivare il processo interno.
Ripristinare da una fonte affidabile
Un backup è utile solo se precedente alla compromissione e verificato. Non ripristinare senza chiudere il vettore: il sito verrà compromesso di nuovo. Prepara un ambiente pulito, aggiorna software, configura accessi e importa soltanto dati necessari.
Verifica integrità di plugin, temi, dipendenze e file core da fonti ufficiali. Ricrea segreti e chiavi. Non fidarti di un backup solo perché “si apre”: può contenere persistenza.
Test prima della riapertura
- Scansione e confronto file.
- Revisione utenti, ruoli, sessioni e chiavi.
- Test di moduli, pagamenti, email e integrazioni.
- Controllo DNS, HTTPS, header e configurazioni.
- Verifica log e alert.
- Prova backup e rollback.
- Test prestazioni e percorsi critici.
Riapri gradualmente quando causa, contenimento e controlli hanno un livello di confidenza adeguato. Mantieni monitoraggio più stretto nelle settimane successive.
Comunicare con clienti e stakeholder
Condividi fatti confermati, impatto noto, azioni prese, comportamenti richiesti e canale di supporto. Evita rassicurazioni assolute o dettagli tecnici che aumentano il rischio.
Aggiorna quando emergono informazioni rilevanti. Una comunicazione tempestiva e coerente protegge meglio della minimizzazione.
Rimuovere avvisi e reputazione negativa
Dopo pulizia e verifica, usa gli strumenti previsti da motori di ricerca, browser, hosting e blacklist per richiedere revisione. Controlla sitemap, pagine indicizzate e redirect. Non chiedere la rimozione finché la causa non è chiusa.
Monitora query brand, invio email, dominio e certificati. Le conseguenze possono durare oltre il ripristino tecnico.
Errori da evitare
- Cancellare tutto prima di acquisire log e copie.
- Cambiare una sola password.
- Ripristinare il backup senza correggere la falla.
- Installare molti plugin di sicurezza durante l’incidente.
- Operare dal dispositivo potenzialmente compromesso.
- Rimettere online senza test e monitoraggio.
- Nascondere l’incidente a chi deve valutarne l’impatto.
- Promettere che nessun dato è stato toccato senza prove.
Dopo l’incidente: prevenzione
Redigi un post-mortem senza colpevolizzare: timeline, causa, impatto, risposta, cosa ha funzionato e azioni con responsabile e scadenza. Migliora inventario, aggiornamenti, MFA, backup, logging, minimizzazione degli accessi, WAF e formazione.
L’Agenzia per la Cybersicurezza Nazionale pubblica indicazioni e aggiornamenti per il contesto italiano; il Rapporto Clusit aiuta a inquadrare trend e minacce.
Checklist: sito hackerato cosa fare
- Incidente contenuto e coordinatore nominato?
- Snapshot, log e timeline conservati?
- Credenziali, token e sessioni ruotati?
- Vettore iniziale e persistenza identificati?
- Dati e obblighi valutati con i responsabili?
- Ripristino eseguito in ambiente pulito e testato?
- Comunicazioni e richieste di revisione gestite?
- Post-mortem e azioni preventive assegnati?
Se hai un incidente in corso, limita le modifiche improvvisate e coinvolgi competenze tecniche e legali adeguate. Per migliorare sicurezza, backup, monitoraggio e processo di manutenzione, scopri i miei servizi di sviluppo web oppure richiedi un confronto.