Il sito è stato compromesso. Cosa fare nelle prime 24 ore
Se il vostro sito è stato violato, la prima cosa da fare non è ripulirlo: è isolarlo e fotografarlo. Chi comincia cancellando file distrugge le uniche informazioni che dicono da dove sono entrati. E senza quelle rientreranno, spesso entro pochi giorni, dalla stessa porta.
È l’errore più comune, ed è comprensibile: il primo istinto è far sparire il problema. Ma un sito ripulito e non capito non è un sito risolto. È un sito che sembra a posto.
Ecco l’ordine che funziona.
Table of Contents
Ora zero — riconoscere che è successo
Non sempre è evidente. I segnali che vediamo più spesso, in ordine di frequenza:
Google segnala il sito come ingannevole o compromesso, o compare l’avviso nel browser dei visitatori. Spesso è così che le aziende lo scoprono: da un cliente, non da un tecnico.
In Search Console compaiono pagine che non avete mai creato, tipicamente in lingue che non usate, su temi che non c’entrano nulla. È l’infezione più comune sui siti aziendali, e la più subdola, perché il sito continua a funzionare normalmente.
Le email dell’azienda iniziano a finire in spam o il dominio compare in una lista di blocco: il server sta spedendo per conto di qualcun altro.
Il sito rallenta, o si comporta diversamente su mobile, i reindirizzamenti selettivi colpiscono solo alcuni visitatori, così l’amministratore non se ne accorge mai.
Compaiono utenti amministratori che nessuno ha creato.
Prime ore — quattro cose, in questo ordine
1 – Isolate, non cancellate. Mettete il sito in manutenzione o offline. Serve a fermare il danno verso i visitatori e verso la reputazione del dominio, non a nascondere il problema.
2 – Fate una copia dello stato attuale, infezione compresa. File e database, così come sono. È controintuitivo (state salvando il problema) ma è l’unica prova di cosa è successo. Senza, l’analisi è impossibile e un’eventuale segnalazione al Garante o alla vostra assicurazione è indifendibile.
3 – Cambiate le credenziali, tutte. Amministratori del sito, database, FTP e SFTP, pannello di hosting, registrar del dominio, email collegate. Le caselle email sono importanti: se l’accesso è partito da una casella compromessa, cambiare le password del sito non serve a niente, quindi cambiare la password di tutte le mail collegate al sito va fatto subito.
4 – Guardate i log prima di toccare i file. Accessi al pannello, richieste al server, date di modifica dei file. La domanda a cui rispondere è una sola: quando è cominciato? Da lì si capisce quale backup è ancora pulito, e quasi sempre il backup di ieri non lo è.
Le prime 24 ore — capire e ripulire
Stabilite la data di ingresso. È il passaggio che determina tutto il resto. Un’infezione scoperta oggi può essere iniziata sei settimane fa: ripristinare il backup della settimana scorsa significa ripristinare anche la porta d’ingresso.
Trovate come sono entrati. Nella grande maggioranza dei casi è una di tre cose: un componente non aggiornato con una vulnerabilità nota, una credenziale debole o riutilizzata, un accesso rubato con un messaggio ingannevole. Raramente è un attacco mirato alla vostra azienda: quasi sempre è una scansione automatica che ha trovato una porta aperta. Non è un gran complimento, ma è una buona notizia: il bersaglio non eravate voi, era la versione di un plugin.
Ripulite dalla causa, non dal sintomo. Rimuovere i file infetti senza chiudere la vulnerabilità significa rifare tutto fra una settimana. E i file da rimuovere non sono solo quelli evidenti: vanno cercate le utenze aggiunte, le operazioni pianificate, il codice iniettato nel database.
Verificate le email. Se il server ha spedito, il dominio potrebbe essere finito in una lista di blocco. Va richiesta la rimozione, e vanno controllati i record di autenticazione della posta.
Chiedete a Google la revisione, se il sito era stato segnalato. Prima però va davvero pulito: una richiesta respinta allunga i tempi.
I tre errori che rendono il danno permanente
Ripristinare un backup senza sapere la data. Rimette in piedi il sito e rimette dentro l’attaccante. È l’errore più costoso, perché dà l’illusione di aver risolto.
Cancellare tutto e ripartire da zero. Elimina l’infezione e anche ogni possibilità di capire cosa è successo, quali dati siano stati toccati e cosa vada comunicato. Se sono coinvolti dati personali, quella comprensione non è facoltativa.
Non toccare le password delle email. La casella compromessa è il punto d’ingresso più frequente in assoluto, ed è quello che quasi nessuno cambia.
Se sono coinvolti dati personali
Un sito violato che raccoglie contatti, ordini o dati di clienti è un tema di protezione dei dati, non solo un tema tecnico.
Va valutato entro tempi stretti se la violazione comporti un rischio per gli interessati e se vada notificata al Garante. Il presupposto per farlo è di nuovo lo stesso: sapere cosa è successo e quando. È il motivo, molto concreto, per cui il punto 2 — conservare la copia infetta — non è pedanteria da tecnici.
Se il sito è di un’azienda soggetta agli obblighi di sicurezza più recenti, gli adempimenti sono più stringenti e i tempi più brevi. Vale la pena saperlo prima, non durante.
Come si evita la prossima volta
Non con un prodotto. Con quattro abitudini noiose, e la noia è il punto: nessuna delle quattro è interessante, ed è esattamente il motivo per cui vengono rimandate.
Aggiornamenti con una cadenza scritta. La maggior parte delle compromissioni sfrutta vulnerabilità note e già corrette. Non è un problema di sofisticazione: è un problema di manutenzione.
Backup verificati, non solo programmati. Un backup non testato non è un backup. La prova è ripristinarlo su un ambiente di prova, una volta ogni tanto.
Accessi con nome e cognome, e autenticazione a due fattori. Niente utenze condivise: quando serve capire chi ha fatto cosa, un account chiamato “admin” usato da cinque persone non dice nulla.
Monitoraggio che avvisa. Un file che cambia, un utente che compare, una pagina nuova: la differenza fra un problema di due ore e un problema di due mesi è quanto ci mettete ad accorgervene.
Domande frequenti
Quanto costa ripulire un sito compromesso?
Dipende quasi solo da una cosa: da quanto tempo dura. Un’infezione presa in giornata si risolve in poche ore. Una che dura da settimane, con posizionamento perso e dominio segnalato, costa molto di più e il recupero della reputazione sui motori è la parte lenta.
L’hosting non dovrebbe proteggere il sito dagli attacchi?
L’hosting protegge il server, non ciò che ci viene installato sopra. Un componente non aggiornato (un plugin, un tema, il CMS stesso) resta responsabilità di chi gestisce il sito.
Perché dovrebbero attaccare il sito di una piccola azienda?
Di proposito, quasi nessuno lo farebbe. Ed è esattamente il punto: la stragrande maggioranza delle compromissioni non ha un bersaglio scelto. Sono scansioni automatiche che cercano versioni vulnerabili in tutta la rete, e un sito piccolo con un componente vecchio è precisamente ciò che trovano.
Si può ripulire da soli un sito compromesso?
Se si sanno leggere i log del server e riconoscere il codice iniettato, sì. Il rischio non sta nella pulizia in sé: sta nel dichiarare risolto qualcosa che non lo è, perché un sito ripulito senza aver capito da dove sono entrati viene violato una seconda volta.
Quanto ci vuole perché un sito compromesso torni visibile su Google?
La rimozione della segnalazione, se il sito è davvero pulito, è questione di giorni. Il recupero del posizionamento perso può richiedere settimane, e dipende soprattutto da quanto a lungo è durata la compromissione.
Se il vostro sito è stato compromesso, la cosa più utile nelle prossime ore è non improvvisare: isolare, conservare, capire e solo dopo ripulire.
→ Parliamo della sicurezza del vostro sito
