Site hackeado: como identificar e recuperar sem perder o conteúdo
Redirecionamento para páginas em outro idioma, aviso vermelho no Google, páginas que ninguém criou. Veja como confirmar a invasão e o que fazer em seguida.
Invasão de site quase nunca é pessoal. Na maioria absoluta dos casos, ninguém escolheu a sua empresa: robôs varrem a internet procurando sites com um plugin desatualizado, uma senha fraca ou um tema pirata, e entram em todos que conseguem. O seu site foi só mais um endereço na lista.
Isso muda a forma de reagir. Não adianta procurar culpado, adianta fechar a porta e limpar a casa, nessa ordem.
Como saber se o site foi invadido
Os sinais mais comuns, do mais óbvio ao mais silencioso:
- O site abre uma página estrangeira. Quem clica no seu link cai numa página de vendas em outro idioma, cheia de produtos que não são seus. Costuma acontecer só com quem vem do Google ou só no celular, o que faz o dono do site achar que está tudo bem
- O Google mostra um aviso vermelho de "site enganoso" ou "site perigoso" antes de abrir a página
- Páginas que ninguém criou aparecem no site, geralmente com nomes aleatórios e textos sem sentido
- Usuários administradores desconhecidos aparecem no painel
- A hospedagem avisa que encontrou arquivo infectado, ou suspende a conta por envio de spam
- O site ficou lento do nada, porque está sendo usado para enviar e-mail em massa sem você saber
Um teste simples: pesquise no Google por site:seudominio.com.br. Se aparecerem páginas que você não reconhece, com palavras em outro idioma, é invasão.
O que fazer imediatamente
- Avise a sua equipe. Ninguém deve tentar "dar uma limpada" por conta própria
- Troque as senhas principais: painel do site, hospedagem, domínio e e-mail. Use senhas diferentes entre si
- Não apague os arquivos estranhos. Eles são a pista de como a invasão aconteceu. Apagar sem entender significa ser invadido de novo na semana seguinte
- Tire o site do ar se ele estiver enganando visitantes, principalmente se estiver redirecionando para golpes. É melhor uma página de manutenção que um site espalhando fraude com o seu nome
Por que restaurar o backup, sozinho, não resolve
É a tentação mais comum: restaurar a cópia de uma semana atrás e seguir a vida. O problema é que a porta continua aberta. Se a invasão entrou por um plugin desatualizado, restaurar traz de volta o mesmo plugin desatualizado, e em poucos dias tudo volta a acontecer.
A recuperação que funciona tem três partes, sempre nesta ordem: entender por onde entraram, limpar o código malicioso e fechar a brecha (atualizar, trocar credenciais, remover o que estava pirata ou abandonado).
Você vai perder o conteúdo?
Na maior parte dos casos, não. O código malicioso normalmente se instala em arquivos do sistema e em pontos específicos do banco de dados, não no seu conteúdo. Dá para remover o que é sujeira e manter textos, imagens e páginas.
O risco de perda aparece quando alguém tenta resolver às pressas: reinstala o site por cima, apaga pastas inteiras ou restaura um backup muito antigo por cima do atual. Por isso vale a pena parar e chamar alguém antes de mexer.
Depois de limpo: tirar o aviso do Google
Se o Google marcou o seu site como perigoso, não basta limpar: é preciso pedir a revisão pelo Search Console, a ferramenta gratuita do próprio Google. A análise costuma levar de algumas horas a alguns dias. Enquanto isso, muita gente que clicar no seu link vai ver o aviso vermelho, o que atrapalha bastante a reputação da empresa.
Como não passar por isso de novo
Invasão quase sempre entra por um destes caminhos:
- Plugin, tema ou sistema desatualizado
- Plugin ou tema pirata, que já vem com código malicioso embutido
- Senha fraca ou repetida, sem verificação em duas etapas
- Hospedagem compartilhada mal configurada, onde um site infectado contamina os vizinhos
- Acesso antigo de alguém que saiu da empresa e nunca foi removido
Todos esses pontos são resolvidos com rotina: atualização acompanhada, cópia de segurança diária guardada fora do servidor, proteção contra tentativas de invasão e controle de quem tem acesso. É exatamente isso que um plano de suporte faz, e por um valor muito menor que o de uma recuperação de emergência.
Seu site foi invadido?
A SitePilot remove o código malicioso, atualiza o que está vulnerável e devolve o site funcionando, com 30 dias de garantia.
Ver recuperação de emergência