Il mio sito web è stato violato: piano d'azione

Un sito web violato è fastidioso, ma con un piano d'azione fisso Lei riesce a ripulirlo e a evitare che accada di nuovo. La cosa più importante: ripristinare semplicemente un backup non basta. Se Lei non sa come è entrato l'intruso, la porta resta aperta.

Come si accorge che il Suo sito è stato violato?

• I visitatori finiscono su un altro sito web, spesso solo provenendo da Google oppure solo da telefono.
• Google mostra accanto al Suo sito Questo sito potrebbe essere stato violato, oppure nei risultati di ricerca compaiono pagine strane del Suo dominio.
• Il Suo browser o antivirus avverte riguardo al Suo stesso sito.
• In WordPress ci sono file o amministratori che Lei non riconosce.
• Riceve una notifica da parte nostra, oppure Imunify360 ha trovato malware.
• La Sua casella di posta invia spam, oppure raggiunge improvvisamente il limite di invio (vedere Cosa fare se il Suo indirizzo e-mail viene usato in modo improprio).

Passo 1: mantenere la calma e documentare

Non elimini subito tutto. Annoti ciò che vede, quando è iniziato e faccia screenshot. Queste informazioni Le serviranno in seguito per trovare la causa, e serviranno anche a noi se chiederà assistenza.

Passo 2: cambiare tutte le password

Parta dal presupposto che un intruso conosca una password. Le cambi tutte, preferibilmente da un computer diverso da quello che usa normalmente, nel caso quest'ultimo sia infetto:

1. La password di Mio WebOké. Il codice aggiuntivo al momento dell'accesso è sempre attivo; se desidera usare un'app di autenticazione invece del codice via e-mail, la imposti in La mia amministrazione e Dati di accesso.
2. La Sua password DA (vedere Impostare o modificare la password DA). Vale anche per l'account FTP predefinito.
3. Le password degli account FTP aggiuntivi (vedere Creare e gestire account FTP). Elimini gli account che non utilizza più.
4. Tutti gli amministratori in WordPress o nel Suo altro CMS. Elimini gli amministratori che non riconosce.
5. La password dell'utente del database (vedere Utenti, permessi e password dei database). La aggiorni poi anche nel file di configurazione del Suo sito web, come wp-config.php.
6. Una casella di posta invia spam? Cambi anche quella password (vedere Modificare la password di un indirizzo e-mail).

Attivi poi in DirectAdmin l'Autenticazione in due passaggi (vedere Configurare l'Autenticazione in due passaggi).

Passo 3: eseguire una scansione con Imunify360

Apra in DirectAdmin, sotto Funzioni Aggiuntive, il Imunify360 Plugin. Lì vedrà quali file sono stati individuati come infetti e potrà far eseguire una nuova scansione del Suo pacchetto. Come funziona e cosa significano le notifiche, lo legga in Imunify360: scansione del sito web alla ricerca di malware.

Passo 4: scoprire come è entrato l'intruso

Le cause più comuni, dalla più frequente alla più rara:

1. Software obsoleto. Una versione vecchia di WordPress, un plugin o un tema con una falla nota. Verifichi in Installatron o in WordPress quali componenti sono rimasti indietro (vedere Aggiornamenti e aggiornamenti automatici).
2. Un plugin o tema proveniente da una fonte inaffidabile. Le versioni gratuite di plugin a pagamento (nulled) contengono spesso deliberatamente una backdoor.
3. Una password trapelata o debole. Verifichi in Cronologia accessi chi ha effettuato l'accesso a DirectAdmin e quando (vedere Cronologia accessi: chi ha effettuato l'accesso e quando?).
4. Un computer infetto sul quale sono salvate le password FTP.

Luoghi utili dove cercare:

• In Gestione file ordini per data di modifica. I file che sono stati modificati nello stesso momento, soprattutto nelle cartelle di upload, meritano attenzione.
• Nel log degli accessi sotto Riepilogo sito e log vede quali indirizzi vengono richiamati frequentemente, spesso con richieste POST verso un unico file (vedere Riepilogo sito e log: il log degli errori e il log degli accessi).

Passo 5: ripulire o ripristinare un backup pulito

Ha due possibilità:

• Ripristinare un backup precedente alla violazione. Con WebOké Backups in Mio WebOké sceglie Lei stesso un momento degli ultimi 30 giorni (vedere Posso farlo anche in Mijn WebOké? WebOké Backups). Scelga un momento precedente alla comparsa dei primi file sospetti. Subito dopo aggiorni tutto (passo 6), perché la falla è presente anche nel backup.
• Ripulire personalmente. Faccia ripulire i file infetti da Imunify360, elimini i file sconosciuti e reinstalli WordPress e tutti i plugin dalla fonte ufficiale.

Attenzione: in caso di dubbio, in WebOké Backups scelga prima Come copia accanto a quella attuale. In questo modo nulla cambia in ciò che è presente ora e Lei può confrontare con calma.

Passo 6: aggiornare tutto e fare pulizia

• Aggiorni WordPress (o il Suo altro CMS), tutti i plugin e i temi all'ultima versione.
• Elimini i plugin e i temi che non utilizza. Anche i plugin disattivati possono contenere una falla.
• Elimini le copie vecchie e le installazioni di prova nelle sottocartelle.
• Utilizzi una versione di PHP aggiornata (vedere Scegliere la versione di PHP (Select PHP version)).

Passo 7: assistenza successiva

• Google mostra un avviso? Dopo la pulizia, richieda una nuova valutazione in Google Search Console.
• La Sua casella di posta ha inviato spam? Legga Cosa fare se il Suo indirizzo e-mail viene usato in modo improprio e Verzenden geweigerd: blacklists en limieten.
• Lasci attivo il Web Application Firewall (vedere Web Application Firewall).
• Nelle prossime settimane controlli di tanto in tanto Imunify360 e il Suo elenco di amministratori WordPress.

Ha bisogno di aiuto?

Non riesce a risolvere da solo, oppure si tratta di un negozio online con dati di clienti? Apra allora un ticket e descriva ciò che ha già fatto (vedere Chiedere assistenza: cosa comunicare al supporto). Se sono coinvolti dati personali, potrebbe essere necessario segnalare una violazione dei dati all'Autorità Garante per la protezione dei dati personali competente.