BLOG · SICUREZZA SITI WEB

Ti accorgi di avere un sito hackerato quasi sempre per caso: un cliente che segnala pagine strane, un avviso di Google, un’email dell’hosting o un calo improvviso delle visite. In quel momento conta l’ordine in cui fai le cose: alcune vanno fatte subito, altre solo dopo aver capito da dove sono entrati.

In questa guida trovi i passi che seguiamo quando un’azienda ci chiama con un sito compromesso. Si basano sulle indicazioni ufficiali di Google e su quello che abbiamo visto nei casi reali, compreso un attacco che aveva creato oltre 230.000 pagine spam.

Guida aggiornata a novembre 2026.

I segnali più comuni sono questi:

• un’etichetta di avviso accanto al sito nei risultati di Google, oppure una pagina di avviso quando lo apri dal browser (Chrome può segnarlo come pericoloso);
• pagine che non hai mai creato quando cerchi site:tuodominio.it su Google, spesso in altre lingue o su prodotti che non vendi;
• reindirizzamenti verso altri siti, a volte solo da smartphone o solo per chi arriva da Google;
• utenti amministratori che non conosci, file nuovi sul server, email di spam partite dal tuo dominio;
• un messaggio nel report Problemi di sicurezza di Google Search Console.

Attenzione: spesso il sito sembra normale quando lo apri tu. I contenuti compromessi possono essere mostrati solo a Google o a chi arriva dai risultati di ricerca: per questo Google consiglia di controllare con la ricerca site: e con lo strumento Controllo URL di Search Console.

Prima di cancellare qualsiasi cosa fai una copia completa di file e database: servirà a capire come sono entrati e a non perdere dati. Poi, se il sito mostra spam o virus ai visitatori, mettilo offline o in manutenzione: Google stessa consiglia di metterlo in quarantena mentre lo sistemi.

Da un computer sicuro cambia le password di pannello dell’hosting, FTP o SFTP, database, utenti amministratori di WordPress e caselle email collegate al sito. Elimina gli utenti che non riconosci e togli i permessi da amministratore a chi non li usa.

L’hosting può dirti da quando ci sono file modificati, se altri siti sullo stesso server sono coinvolti e se hai backup precedenti all’attacco. Se il sito te lo segue un’agenzia o un tecnico, coinvolgilo subito: da soli si rischia di cancellare tracce utili o di lasciare porte aperte.

Nel report Problemi di sicurezza trovi il tipo di problema (contenuti compromessi, malware, ingegneria sociale) e gli URL di esempio. Controlla anche le Azioni manuali e le pagine indicizzate: ti dicono quanto si è esteso l’attacco. Se il sito non è ancora verificato in Search Console, è il momento di farlo.

Pulire senza chiudere la falla serve a poco: il sito viene compromesso di nuovo nel giro di poco tempo. Le cause che vediamo più spesso sono plugin o temi non aggiornati o abbandonati, password deboli o riutilizzate, accessi FTP condivisi con troppe persone e vecchie installazioni dimenticate sullo stesso spazio web.

Se hai un backup sicuramente precedente all’attacco puoi ripartire da lì, ma solo dopo aver chiuso la falla. Altrimenti si pulisce a mano: si reinstallano WordPress, tema e plugin dalle fonti ufficiali, si tolgono quelli che non usi, si cercano file, utenti e pagine estranei nel database e si controllano i reindirizzamenti, anche nel file .htaccess.

Gli indirizzi creati dall’attacco devono rispondere 404 o 410 (pagina inesistente o eliminata), non reindirizzare alla home. Per i casi più visibili puoi usare lo strumento Rimozioni di Search Console, che li nasconde temporaneamente dai risultati. Poi invia di nuovo una sitemap pulita. L’uscita delle pagine dall’indice richiede settimane, non giorni.

Quando tutte le pagine sono pulite, nel report Problemi di sicurezza scegli Richiedi esame e spiega cosa è successo, cosa hai fatto e con quali risultati. Secondo Google la maggior parte delle revisioni richiede da alcuni giorni a qualche settimana: non inviare una nuova richiesta finché non ricevi la risposta.

Se l’attacco può aver toccato dati personali, come richieste dai moduli, clienti o ordini, il titolare deve valutare la notifica al Garante della privacy: va fatta senza ingiustificato ritardo e, se possibile, entro 72 ore dalla scoperta, quando la violazione presenta un rischio per le persone. In ogni caso la violazione va documentata. Per questa valutazione coinvolgi il tuo consulente privacy.

• aggiornamenti costanti di WordPress, tema e plugin, e via i plugin che non usi;
• backup automatici conservati fuori dal server, con almeno un ripristino di prova;
• password robuste, utenti con i permessi minimi necessari e accessi personali, non condivisi;
• un firewall davanti al sito, per esempio Cloudflare, e il monitoraggio di file e accessi;
• Search Console verificato, così Google ti avvisa per email.

È quello che facciamo ogni mese con il servizio di sicurezza e manutenzione siti web, da 49 € al mese.

Scrivici subito: la prima consulenza è gratuita. Guardiamo insieme il sito e ti diciamo cosa fare per primo.

Fonti e approfondimenti: Aiuto, credo che il mio sito sia stato compromesso (Google, web.dev) · Come capire se il sito è compromesso (Google, web.dev) · Report Problemi di sicurezza (Guida di Search Console) · Violazioni di dati personali (Garante privacy)