SEO e GoogleSicurezza
Sito violato e spam nascosto: come accorgersene e come rimediare
Molti siti violati non mostrano nulla di strano ai visitatori. Lo spam è scritto per Google, e il danno si vede solo quando le visite sono già sparite.
Come agisce un attacco «silenzioso»
Un attacco di questo tipo non deturpa il sito e non lo blocca: chi lo compie ha interesse a usarlo il più a lungo possibile senza farsi notare. Sui siti WordPress si ripete spesso lo stesso schema:
- l’ingresso: attraverso un plugin non aggiornato o una password debole, sul server viene caricato un file PHP con un nome dall’aria innocua, che si confonde tra i file di sistema. È una backdoor: una porta di servizio che permette di rientrare nel sito in qualsiasi momento, anche dopo un cambio di password;
- l’attesa: la backdoor può restare inattiva per settimane o mesi. Il sito intanto funziona normalmente e i backup la copiano insieme a tutto il resto;
- lo spam: a un certo punto vengono modificati articoli e pagine, oppure ne vengono create di nuove, con link verso siti di gioco d’azzardo, farmaci o prodotti contraffatti, spesso dentro blocchi nascosti o mostrati solo a Google.
Chi apre il sito non vede nulla. Google, che legge il codice, sì, e non sempre lo segnala con un avviso in Search Console: spesso l’unico sintomo è un calo di impressioni e clic che sembra senza spiegazione.
I segnali di un sito violato
Alcuni segnali sono evidenti, altri si trovano solo cercandoli.
- Visibilità in calo senza motivo: impressioni e clic in Search Console che crollano senza cambiamenti al sito.
- Pagine sconosciute nei risultati: cercando «site:» seguito dal dominio compaiono titoli in altre lingue, farmaci, gioco d’azzardo, prodotti che il sito non vende.
- Avvisi di Google: la dicitura «Questo sito potrebbe essere compromesso» nei risultati, un messaggio nel rapporto Problemi di sicurezza di Search Console, un avviso del browser.
- Reindirizzamenti strani, spesso solo da smartphone o solo per chi arriva da Google: il titolare, che apre il sito digitando l’indirizzo, non li vede.
- Utenti amministratori sconosciuti nel pannello di WordPress.
- File PHP dove non dovrebbero esserci, per esempio nella cartella delle immagini caricate.
- Email di spam inviate dal server o segnalazioni del provider per traffico anomalo.
Un controllo utile anche senza sospetti: aprire il codice sorgente di qualche articolo vecchio e cercare link che nessuno in azienda ha inserito.
La pulizia
Come si pulisce un sito violato
L’ordine conta: pulire i contenuti senza chiudere l’accesso significa ritrovarsi lo spam dopo qualche settimana.
01
Fotografa la situazione
Copia completa di file e database così com’è, conservata a parte: serve per capire da dove è entrato l’attacco.
02
Cambia tutte le credenziali
Amministratori del sito, hosting, FTP, database, caselle email collegate. Elimina gli utenti che non riconosci.
03
Trova e chiudi la porta
Confronta i file di WordPress con gli originali, reinstalla temi e plugin da fonti ufficiali, cerca file PHP estranei e operazioni pianificate sospette.
04
Pulisci i contenuti
Cerca nel database i link iniettati, i blocchi nascosti e le pagine create dall’attacco, e rimuovili.
05
Aggiorna e alleggerisci
WordPress, tema e plugin all’ultima versione; elimina quelli inutilizzati, che restano un punto d’ingresso anche se disattivati.
06
Verifica dall’esterno
Pagine aperte come le vede Google, da smartphone e da computer; nessun link estraneo, nessun reindirizzamento.
Attenzione al backup «pulito»
La prima tentazione è ripristinare un backup precedente all’attacco. Spesso non basta: lo spam può comparire mesi dopo l’ingresso, quindi anche i backup che sembrano puliti possono contenere già la backdoor. Un ripristino, se si fa, va seguito comunque dalla ricerca dei file estranei e dal cambio di tutte le credenziali.
Come si torna su Google
Pulito il sito, bisogna dirlo a Google e accelerare il ritorno alla normalità.
- Se c’è un avviso nel rapporto Problemi di sicurezza, dopo la pulizia si chiede una revisione dallo stesso rapporto. Google indica che l’esame può richiedere da alcuni giorni ad alcune settimane.
- Se c’è un’azione manuale per spam, si risolve il problema e si invia una richiesta di riconsiderazione, spiegando che cosa è stato fatto.
- Se non c’è nessun avviso, non c’è una revisione da chiedere: si pubblica il sito pulito, si invia una sitemap valida, si chiede l’indicizzazione delle pagine principali e si controlla il rendimento nelle settimane successive.
- Le pagine create dall’attacco devono rispondere «non trovata» o «rimossa»: Google le toglie dall’indice quando le riscansiona. Lo strumento Rimozioni di Search Console serve a nasconderle più in fretta nel frattempo.
Il recupero non è immediato. Un sito che ha ospitato spam a lungo deve riguadagnare fiducia, e i contenuti utili, pubblicati con regolarità, sono la parte più solida di questo lavoro. Se il sito va anche rinnovato, la pulizia si fa prima del restyling: costruire un sito nuovo sopra una porta aperta significa ricominciare da capo.
Come si previene
Nessun sito è invulnerabile, ma la maggior parte degli attacchi sfrutta falle note in plugin e temi non aggiornati, password deboli e accessi rimasti aperti. Le difese sono ordinarie: aggiornamenti regolari, pochi plugin e mantenuti, password uniche con doppia autenticazione per gli amministratori, backup conservati fuori dal server, controlli periodici dei file e dei contenuti. Le abbiamo descritte nella guida sulla manutenzione di un sito WordPress.
Se il sito non compare su Google e non sai perché, prima di pensare a un attacco conviene escludere le cause più semplici: le trovi in perché il mio sito non compare su Google.
Nelle prime ore
Se il sito mostra segnali evidenti di un attacco, per esempio reindirizza i visitatori verso siti estranei, la priorità è limitare i danni: avvisare chi gestisce hosting e sito, valutare di mettere il sito offline o in manutenzione mentre si interviene, e cambiare subito le credenziali principali. Non conviene cancellare file in fretta: senza una copia della situazione diventa difficile capire da dove è entrato l’attacco, e quindi chiudere davvero l’accesso.
Temi che il sito sia compromesso?
Scrivici l’indirizzo: faremo un primo controllo delle pagine e ti diremo se ci sono segnali da approfondire.
Via Catanelli 34, Ponte San Giovanni