Site invadido é emergência, mas pressa sem ordem aumenta o estrago. Apagar arquivos no susto destrói a pista de por onde o invasor entrou, e restaurar um backup sem trocar as senhas devolve o site a quem já tem a chave. O roteiro abaixo serve para WordPress, WooCommerce e para a maioria dos sites com painel administrativo.
Como saber se o site foi invadido?
Alguns sinais aparecem para você, outros só para o Google ou para o cliente. Desconfie quando notar um destes:
- Aviso no navegador ou no resultado do Google dizendo que o site pode ter sido invadido ou pode prejudicar o computador.
- Páginas que você nunca criou aparecendo na busca, muitas vezes em japonês ou sobre remédios, apostas e réplicas. Pesquise site:seudominio.com.br no Google para conferir.
- Visitante que chega pelo Google ou pelo celular sendo mandado para outro site, enquanto você, digitando o endereço, vê tudo normal.
- Usuários administradores novos, plugins ou arquivos que ninguém instalou.
- Hospedagem suspendendo a conta por excesso de uso de CPU ou por envio de spam.
O relatório Problemas de segurança do Search Console é o lugar oficial para confirmar. Ele lista o que o Google encontrou em três famílias: conteúdo invadido (páginas, links ou código inseridos sem a sua permissão), malware e software indesejado, e engenharia social, como páginas que enganam o visitante para ele entregar dados.
O que fazer nas primeiras horas?
- Isole o site. Coloque em modo de manutenção ou peça à hospedagem para tirar do ar. O guia do Google para sites invadidos chama esse passo de quarentena.
- Troque todas as senhas, de um computador limpo: painel do site, hospedagem, SFTP, banco de dados, e-mail do administrador e conta do Registro.br. Ative a verificação em duas etapas onde houver.
- Guarde as evidências antes de limpar: uma cópia dos arquivos e do banco como estão agora, mais os logs de acesso da hospedagem.
- Revise os usuários e remova administradores que você não reconhece.
- Avalie os dados de clientes. Se dados pessoais podem ter sido expostos, a LGPD (art. 48) obriga o controlador a comunicar a ANPD e os titulares quando o incidente puder trazer risco ou dano relevante. O prazo indicado pela ANPD é de três dias úteis, pela Resolução CD/ANPD nº 15/2024, e ela aceita uma comunicação preliminar.
Quem chamar e o que pedir a cada um?
O guia do Google para sites invadidos começa por montar uma equipe de apoio, e numa pequena empresa ela costuma ter quatro pontas:
- Hospedagem: logs de acesso dos últimos dias, uma cópia do site como está e, se possível, o isolamento da conta para a invasão não se espalhar para outros sites seus.
- Desenvolvedor de confiança: achar a porta de entrada, limpar e atualizar. Se quem cuidava do site sumiu, este é o momento de trocar.
- Jurídico ou contador, quando há dados de clientes envolvidos, para a comunicação exigida pela LGPD.
- Registro.br, se o domínio passou a apontar para outro lugar: confira contatos e servidores DNS na sua conta.
Por onde o invasor costuma entrar?
Encontrar a porta de entrada é o passo que separa limpeza definitiva de faxina que dura uma semana. As portas mais comuns em sites de pequenas empresas:
- Plugin ou tema desatualizado, abandonado pelo autor ou baixado de site pirata.
- Senha fraca ou repetida em outros serviços, sem verificação em duas etapas.
- Versão do PHP que já não recebe correções de segurança.
- Acesso de ex-fornecedor ou ex-funcionário que nunca foi removido.
- Formulário que aceita envio de arquivo sem conferir o tipo.
- Permissões de pasta abertas demais no servidor.
Os logs de acesso e as datas de modificação dos arquivos costumam mostrar quando a invasão começou, e essa data decide qual backup ainda é confiável.
Como limpar o site sem deixar a porta aberta?
- Restaure um backup anterior à data da invasão ou reinstale o núcleo, o tema e os plugins a partir das fontes oficiais, em vez de tentar limpar arquivo por arquivo.
- Apague, e não só desative, plugins e temas que você não usa. A documentação de segurança do WordPress recomenda exatamente isso.
- Atualize tudo, inclusive a versão do PHP, antes de recolocar o site no ar.
- Procure código estranho fora dos lugares de sempre: arquivos PHP na pasta de uploads, regras novas no .htaccess, tarefas agendadas desconhecidas.
- Corrija a vulnerabilidade que você encontrou. Sem isso, o invasor volta pelo mesmo caminho.
- Com o site limpo em todas as páginas, use o botão Solicitar revisão no relatório Problemas de segurança. Explique o problema, o que foi feito e o resultado.
A análise do Google costuma levar de alguns dias a algumas semanas. Não mande um segundo pedido antes da resposta do primeiro.
Que rotina evita a próxima invasão?
A documentação oficial de hardening do WordPress resume a prevenção em hábitos simples, que cabem num plano de manutenção:
- Núcleo, tema e plugins sempre atualizados.
- Senhas longas e verificação em duas etapas para todo administrador.
- Nenhum usuário chamado "admin" ou "webmaster".
- Backups regulares, com o banco de dados, guardados em local seguro e fora do servidor do site.
- Painel administrativo só por HTTPS e envio de arquivos por SFTP, não por FTP.
- Edição de arquivos PHP pelo painel desativada.
- Revisão a cada trimestre dos usuários e dos acessos de fornecedores, removendo quem não trabalha mais com você.
Para resgatar um site que já foi invadido, dá para contratar um programador WordPress da nossa equipe. E quando o site é novo, segurança com hardening e backups entra no desenvolvimento WordPress da Buzz desde o primeiro dia.