Sito hackerato: cosa fare subito, passo per passo

Se il tuo sito è stato hackerato, la sequenza giusta è questa: isola il problema, cambia tutte le password, conserva le prove, capisci da dove sono entrati, pulisci o ripristina da una copia sana, chiudi la falla e solo alla fine chiedi a Google di ricontrollare il sito. Se nell'attacco possono essere stati coinvolti dati personali di clienti o utenti, devi anche valutare la notifica al Garante privacy, che va fatta entro 72 ore da quando te ne accorgi.

La tentazione, comprensibile, è cancellare tutto e ricaricare il sito. È il modo più rapido per perdere le tracce dell'attacco e ritrovarsi violati di nuovo dopo una settimana. Vediamo come muoversi con ordine.

Come capisco se il sito è stato davvero hackerato?

I segnali più comuni:

• Google mostra sotto il tuo risultato la scritta che il sito potrebbe essere stato compromesso, oppure il browser blocca la pagina con un avviso rosso;
• dal telefono, aprendo il sito da Google, si finisce su pagine di truffe o scommesse, mentre dal computer sembra tutto normale;
• cercando su Google «site:tuodominio.it» compaiono pagine che non hai mai creato, spesso in lingue straniere;
• l'hosting ti avvisa che il sito è stato sospeso per invio di spam o per malware;
• le email aziendali iniziano a tornare indietro perché il dominio è finito nelle liste nere;
• nel pannello compaiono utenti amministratori che nessuno conosce.

Anche uno solo di questi segnali basta per trattare la situazione come un'emergenza.

Passo 1: cosa devo fare nella prima ora?

1. Metti il sito in manutenzione o fallo sospendere dall'hosting, per non continuare a esporre i visitatori. Se è un e-commerce, sospendi gli ordini.
2. Cambia tutte le password: pannello del sito, hosting, FTP, database, registrar del dominio, caselle email collegate. Fallo da un computer che sai pulito.
3. Attiva il doppio fattore ovunque sia possibile, se non c'era.
4. Avvisa chi ti gestisce il sito o l'hosting, e chiedi di non cancellare niente.

Passo 2: perché devo conservare le prove?

Perché senza prove non si capisce da dove sono entrati, e senza saperlo non si chiude la porta. Prima di toccare qualsiasi cosa conviene salvare:

• una copia completa dei file e del database così come sono, anche se infetti, da conservare separata;
• i registri di accesso del server (gli access log) e quelli degli errori, che l'hosting conserva solo per un periodo limitato;
• l'elenco degli utenti del pannello e delle date dell'ultimo accesso;
• schermate degli avvisi di Google, dell'hosting o dei clienti.

Queste informazioni servono anche se decidi di presentare una denuncia: alla Polizia Postale si può fare una segnalazione online attraverso il Commissariato di PS online.

Passo 3: come si scopre da dove sono entrati?

Le vie d'ingresso più frequenti nei siti delle piccole aziende sono quasi sempre le stesse:

• un'estensione o un tema non aggiornato con una vulnerabilità nota;
• una password debole o riutilizzata, magari di un ex collaboratore mai disattivato;
• un altro sito sullo stesso hosting, già compromesso, che ha contagiato il tuo;
• file caricati da un modulo senza controlli;
• credenziali FTP salvate su un computer infettato.

Incrociando le date dei file modificati con i registri del server si trova quasi sempre il punto e il momento dell'ingresso. È un lavoro tecnico, ma è il cuore della bonifica.

Passo 4: meglio pulire o ripristinare un backup?

Se esiste un backup sicuramente precedente all'infezione, ripristinarlo è di solito la strada più sicura. Il problema è stabilire la data: molte infezioni restano silenziose per settimane prima di manifestarsi. Per questo servono backup conservati per un periodo lungo, non solo l'ultima copia.

Se un backup sano non c'è, si pulisce a mano:

• si reinstallano da fonti ufficiali il sistema di gestione, il tema e le estensioni, invece di cercare il codice malevolo riga per riga;
• si controllano i file caricati (immagini, documenti) alla ricerca di script nascosti;
• si ripulisce il database da utenti, contenuti e impostazioni inserite dall'attaccante;
• si verificano i file di configurazione del server, dove spesso vengono nascosti i reindirizzamenti.

In entrambi i casi, prima di rimettere online il sito va chiusa la falla da cui sono entrati: aggiornamento, rimozione dell'estensione vulnerabile, cambio delle credenziali. Altrimenti si ricomincia da capo.

Passo 5: come tolgo l'avviso di Google?

Quando il sito è pulito, entra in Google Search Console e apri il rapporto sui problemi di sicurezza. Lì trovi cosa ha rilevato Google e puoi chiedere una revisione, spiegando cosa hai fatto. Se le pagine di spam sono state indicizzate, conviene farle rispondere con un errore 404 o 410 e usare lo strumento di rimozione per accelerare.

I tempi di revisione variano da qualche giorno a qualche settimana. Nel frattempo il sito resta segnalato: un motivo in più per non chiedere la revisione prima di essere sicuri.

Devo avvisare il Garante privacy?

Dipende da cosa è successo ai dati. Il GDPR chiama violazione dei dati personali ogni incidente che comporta la distruzione, la perdita, la modifica o l'accesso non autorizzato a dati personali. Se l'attaccante ha potuto leggere o copiare i dati dei clienti (iscritti, ordini, moduli di contatto, account), sei probabilmente in questo caso.

Le regole, in sintesi:

• la violazione va notificata al Garante entro 72 ore da quando ne sei venuto a conoscenza, a meno che sia improbabile che presenti un rischio per le persone coinvolte;
• se il rischio è elevato, devi informare anche le persone interessate, in modo chiaro;
• ogni violazione, anche quella non notificata, va annotata in un registro interno, con la valutazione fatta.

Il Garante mette a disposizione una procedura online e uno strumento di autovalutazione. Se l'azienda rientra tra i soggetti della normativa NIS2, ci sono anche obblighi di notifica verso il CSIRT Italia con tempi più stretti, come spiego nella guida a NIS2 per le PMI.

Come comunico con i clienti mentre il sito è fermo?

Un sito offline o segnalato da Google fa nascere domande: clienti che non riescono a ordinare, fornitori che ricevono email strane dal tuo dominio, ospiti che non trovano la conferma della prenotazione. Il silenzio peggiora le cose. Alcune indicazioni pratiche:

• metti una pagina di manutenzione semplice, con un recapito telefonico e un indirizzo email funzionante;
• se dal tuo dominio sono partite email fraudolente, avvisa i contatti principali con un messaggio breve: cosa è successo, cosa non devono fare (ad esempio aprire allegati o pagare su nuovi conti), come raggiungerti;
• se gestisci prenotazioni o ordini, contatta direttamente chi ha una pratica aperta nei giorni dell'attacco;
• prepara una risposta coerente per tutti quelli che rispondono al telefono, così nessuno improvvisa.

La comunicazione verso le persone i cui dati potrebbero essere stati esposti segue le regole precise viste sopra: in quel caso il messaggio va concordato con chi segue la privacy in azienda.

Cosa faccio dopo, perché non succeda di nuovo?

Un attacco subìto è un'occasione per mettere ordine. Le cose che imposto sempre, dopo una bonifica:

• aggiornamenti regolari con qualcuno responsabile di farli;
• backup automatici fuori dal server, con più versioni e prove di ripristino;
• doppio fattore per tutti gli accessi;
• monitoraggio della raggiungibilità e dei file modificati;
• una breve procedura scritta: chi chiamare, cosa fare, dove sono le copie.

Ho raccolto tutte queste misure nella checklist per la sicurezza del sito web. Se il sito è costruito su software ormai fuori manutenzione, conviene anche valutare un rifacimento del sito: ripulire ogni volta una base fragile costa più che ricostruirla.

Ne parliamo?

Se il tuo sito è stato violato o hai il sospetto che lo sia, scrivimi dalla pagina contatti o chiamami al +39 379 395 0580. Ti aiuto a capire cosa è successo, a ripulire e a rimettere online il sito, e poi a tenerlo al sicuro con un servizio di manutenzione e hosting. Per gli aspetti legali e la notifica al Garante resta fondamentale il confronto con il tuo consulente privacy.

Fonti

• Garante per la protezione dei dati personali, Violazioni di dati personali (data breach)
• web.dev, Aiuto per i siti compromessi
• Assistenza Search Console, Rapporto Problemi di sicurezza
• Polizia Postale, Commissariato di PS online

Crediti delle immagini

• Copertina: foto di Clint Patterson su Unsplash