Se il tuo sito è hackerato, la prima mossa è metterlo in sicurezza senza cancellare nulla. Salvi una copia dello stato attuale, cambi tutte le password e sospendi il sito finché non hai capito da dove sono entrati. Poi si trova e si rimuove il codice malevolo, si chiude la falla e si chiede la revisione a Google. Da noi l'intervento si fa a pacchetto ore, 5 ore a €350, 10 ore a €600, 20 ore a €1.100. In orario lavorativo iniziamo l'analisi entro l'ora, e per le urgenze siamo reperibili dalle 7 alle 23, anche nei festivi.
Qui sotto trovi i segni per riconoscere un sito bucato o violato, i tipi di malware più comuni, la procedura nella prima ora, quello che non devi fare, i passi della pulizia, la richiesta di revisione in Search Console e il costo. Le procedure seguono la documentazione ufficiale di Google e di WordPress, linkata in fondo alla guida.
Come riconoscerlo
Come capisci che il sito è stato violato
Google indica quattro segnali, cioè un avviso diretto che dice che il sito è stato hackerato, un avviso nei risultati di ricerca, contenuti spam (parole e link) che Google vede e tu no, pagine che non hai creato ma che risultano indicizzate. A questi si aggiungono i segni che vediamo più spesso nei siti WordPress e WooCommerce.
- Il sito fa redirect strani verso pagine di scommesse, farmaci o falsi negozi, spesso solo da cellulare o solo a chi arriva da Google.
- Nei risultati di ricerca compaiono titoli in giapponese, cinese o con testi senza senso accanto al tuo dominio.
- Nella bacheca ci sono utenti amministratori che non hai creato.
- Trovi file PHP in cartelle dove non dovrebbero essercene, per esempio in wp-content/uploads, o file modificati di recente senza che nessuno abbia toccato il sito.
- L'hosting sospende l'account, o la posta del dominio finisce nello spam.
- Il browser mostra un avviso di sito pericoloso al posto della tua home.
Il controllo da fare subito
Cerca su Google site:tuodominio.it e guarda tutte le pagine indicizzate. Se ne vedi che non hai mai pubblicato, il problema è reale. Poi registra il sito in Search Console e apri il rapporto Problemi di sicurezza, dove Google elenca gli URL di esempio in cui ha trovato contenuti compromessi. Se sugli URL segnalati non vedi nulla di strano, può trattarsi di cloaking, cioè il sito mostra una pagina pulita a te e una piena di spam a Google. In quel caso lo strumento di ispezione URL ti fa vedere la pagina come la vede il motore di ricerca.
Tipi di attacco
Che malware trovi in un sito hackerato
Chi buca un sito di solito non vuole distruggerlo, vuole usarlo. Per questo il malware cerca di restare nascosto al proprietario il più a lungo possibile. Google dedica una guida a ciascuno dei casi più frequenti, e sono quelli che troviamo anche noi nei siti WordPress.
- Spam con parole chiave giapponesi. Migliaia di pagine in giapponese, spesso di falsi negozi, create sotto il tuo dominio e indicizzate da Google. Il proprietario di solito non le vede finché non cerca site: seguito dal dominio.
- Pagine di testo senza senso. Pagine piene di parole messe in fila a caso, pensate per posizionarsi su ricerche di spam e portare traffico altrove.
- Parole e link nascosti. Testo e link di spam inseriti nelle pagine vere, invisibili a chi visita il sito ma letti da Google. È il caso del cloaking descritto sopra.
- Malware per i visitatori. Script che mandano i visitatori su siti di truffe o provano a far scaricare programmi infetti. È il caso che fa scattare l'avviso rosso nel browser.
- Backdoor. File o righe di codice che permettono all'attaccante di rientrare anche dopo la pulizia. Sono la ragione per cui un sito ripulito in fretta torna infetto dopo pochi giorni.
- Codice nel checkout dei negozi. Su un e-commerce il malware può leggere i dati della carta o cambiare gli estremi di pagamento. Per questo su un negozio un esperto WooCommerce controlla anche checkout e pagamenti, non solo i file.
- Invio di spam dal server. Il sito viene usato per spedire email, e la posta vera del tuo dominio finisce nello spam o viene bloccata.
Non tutti i siti lenti o strani sono hackerati. A volte il problema è traffico di bot che non entra nel sito ma lo sommerge di richieste, come nel caso della botnet fermata sul negozio di AVSolutions. La diagnosi viene prima di qualunque pulizia.
Prima ora
Sito hackerato, cosa fare nella prima ora
- Fai una copia di tutto lo stato attuale, file e database, anche se infetto. Serve per capire cosa è successo e per recuperare i contenuti veri. Salvala fuori dal server.
- Metti il sito in manutenzione. Google consiglia di sospenderlo rispondendo con un codice 503 da un punto esterno alle cartelle infette, perché una pagina di cortesia servita dallo stesso server compromesso non offre garanzie. L'hosting può aiutarti a configurarla. Il file robots.txt non protegge i visitatori, blocca solo i motori di ricerca.
- Cambia tutte le password di amministratori WordPress, FTP o SFTP, database, pannello dell'hosting, posta. Prima controlla l'elenco degli utenti ed elimina quelli che non riconosci. Fallo da un computer pulito, perché se l'accesso è stato rubato da un PC infetto, la nuova password verrebbe rubata di nuovo.
- Avvisa il tuo hosting. Può dirti se il problema riguarda solo il tuo account o anche altri siti sullo stesso server, e può fornirti i log di accesso.
- Segna quando è iniziato. Data dell'avviso di Google, data di modifica dei file sospetti, primi accessi anomali nei log. Ti servirà per scegliere un backup pulito.
- Se è un e-commerce con dati dei clienti, valuta subito l'obbligo di notifica. Il GDPR (articolo 33) prevede in molti casi la comunicazione al Garante entro 72 ore da quando vieni a conoscenza della violazione.
Se non sei sicuro di quello che stai facendo, fermati dopo il punto 1 e chiamaci. Una pulizia fatta male costa più di una fatta bene al primo colpo.
Errori comuni
Cosa non fare con un sito bucato o infetto
- Non cancellare tutto e ricominciare. Perdi le prove di come sono entrati, e spesso anche i contenuti veri, come ordini, utenti e articoli. Inoltre, se la falla resta, il sito viene bucato di nuovo.
- Non ripristinare un backup senza capire. Il backup può contenere già il malware, e anche se è pulito la vulnerabilità resta aperta. Google distingue tre casi, cioè backup pulito e recente, backup pulito ma vecchio, nessun backup. Per ognuno la procedura cambia.
- Non fidarti di una sola scansione. Un plugin di sicurezza trova il malware che conosce. Spesso restano accessi nascosti, chiamati backdoor, che permettono di rientrare dopo la pulizia.
- Non aggiornare WordPress sopra l'installazione infetta. Un aggiornamento non cancella i file che l'hacker ha aggiunto. Google consiglia un'installazione pulita e il trasferimento dei soli contenuti verificati.
- Non chiedere la revisione a Google prima di aver finito. Una richiesta inviata troppo presto viene respinta e allunga il periodo in cui il sito resta segnalato.
- Non lasciare le vecchie password. Anche una sola credenziale rubata, e non cambiata, basta per rientrare.
Pulizia
Come si ripulisce un sito WordPress hackerato
Questi sono i passi che seguiamo su un sito WordPress compromesso, in linea con la guida di Google alla pulizia dei siti hackerati.
- Diagnosi. Guardiamo log del server, date di modifica dei file, utenti e attività anomale per capire quando e come sono entrati. Spesso ci sono più accessi indipendenti, per questo non ci fermiamo al primo malware trovato.
- Scelta della strada. Con un backup pulito e recente si ripristina e si aggiorna tutto. Con un backup pulito ma vecchio si confronta con la copia infetta e si recuperano solo i contenuti buoni. Senza backup si lavora su una copia del sito e si ripuliscono i file uno per uno.
- Reinstallazione pulita. Core di WordPress, plugin e temi si riscaricano dalle fonti ufficiali. Con WP-CLI si può controllare che i file del core e dei plugin coincidano con quelli originali (wp core verify-checksums e wp plugin verify-checksums --all). Plugin e temi che non servono più si eliminano, quelli piratati non si rimettono.
- Controllo di cartelle e database. File PHP dentro uploads, file strani in mu-plugins, regole malevole in .htaccess, codice aggiunto a wp-config.php, e nel database script o iframe infilati negli articoli e nelle opzioni.
- Chiusura della falla. Si identifica la causa, che può essere un plugin o tema non aggiornato, una password debole, il computer dell'amministratore infetto o del codice che accetta input senza controllarlo. Se non chiudi questo punto, la pulizia dura poco.
- Credenziali e chiavi nuove. Password di ogni accesso e chiavi di sicurezza in wp-config.php, così le sessioni rubate smettono di funzionare.
- Pagine spam. Le pagine create dall'hacker vanno eliminate e devono rispondere con errore 404. Google mette a disposizione in Search Console lo strumento per rimuovere gli URL, da usare solo per queste pagine e non per quelle legittime.
- Verifica finale e monitoraggio. Si controllano la home e gli URL segnalati come li vede Googlebot, e nelle settimane dopo si tiene d'occhio che non ricompaiano file modificati.
Se il sito è un negozio, a questi passi aggiungiamo il controllo di checkout e pagamenti, perché un malware può rubare i dati della carta o cambiare gli estremi di pagamento. Per i problemi dell'e-commerce trovi il dettaglio nella pagina di assistenza WooCommerce e risoluzione dei problemi dell'e-commerce.
Search Console
Come chiedere la revisione a Google dopo la pulizia
Se Google dice che il sito è compromesso, l'avviso non sparisce da solo e va chiesta una revisione. Serve essere proprietari del sito in Search Console.
- Verifica con Wget o cURL la home e uno degli URL che l'hacker aveva modificato, e controlla che Googlebot possa raggiungerli, senza blocchi in robots.txt e senza tag noindex.
- Assicurati che la pulizia sia davvero finita e che la falla sia chiusa.
- Apri in Search Console il rapporto Problemi di sicurezza e trova il problema segnalato.
- Scegli Richiedi una revisione e descrivi, con parole tue e in modo breve, cosa hai pulito e cosa hai corretto, per esempio «rimossi i file spam e aggiornato il plugin vulnerabile».
I tempi indicati da Google sono di circa un giorno per il phishing, alcuni giorni per il malware, fino a diverse settimane per lo spam da hacking, perché può servire un controllo manuale. Con la revisione approvata, gli avvisi nei browser e nei risultati di ricerca vengono tolti entro 72 ore. Se viene respinta, il rapporto mostra altri URL di esempio. Significa che è rimasto qualcosa, e si torna a controllare file e database.
Tolto l'avviso, controlla in Search Console che le pagine spam escano dall'indice e che le ricerche che ti portavano visite tornino a farlo. Se dopo qualche settimana il traffico non riparte, conviene un controllo di posizionamento SEO, perché lo spam può aver lasciato tracce anche nei link e nelle pagine indicizzate.
Prevenzione
Come evitare che il sito venga hackerato di nuovo
La guida ufficiale di WordPress sul rafforzamento della sicurezza (hardening) segnala che le violazioni dipendono più spesso dall'applicazione, cioè plugin e software non aggiornati e password deboli, che dall'infrastruttura. Le misure da applicare sono queste.
- Tenere aggiornati WordPress, plugin e temi, e eliminare quelli che non usi. Gli aggiornamenti automatici del core sono disponibili da WordPress 3.7.
- Scaricare WordPress, plugin e temi solo da fonti ufficiali.
- Usare password lunghe e diverse per ogni accesso, attivare l'autenticazione a due passaggi e non lasciare l'utente chiamato «admin».
- Collegarsi al server con SFTP invece di FTP, così le password non viaggiano in chiaro.
- Impostare permessi corretti, con cartelle a 755 e file a 644, con wp-config.php a 400 o 440.
- Aggiungere in wp-config.php la riga define( 'DISALLOW_FILE_EDIT', true );, che toglie l'editor di file dalla bacheca. Non impedisce di caricare file malevoli, ma chiude una scorciatoia.
- Usare un firewall, a livello di plugin, di server o di rete.
- Fare backup regolari di file e database, tenuti fuori dal server e con più punti nel tempo, così hai sempre una versione precedente all'attacco.
- Conservare i log di accesso e monitorare le modifiche ai file, per accorgerti di un attacco in giorni e non in settimane.
Tenere tutto questo sotto controllo ogni mese è un lavoro ripetitivo, e per questo la maggior parte dei siti non lo fa. Con la manutenzione del sito web a canone mensile ce ne occupiamo noi, con aggiornamenti di WordPress, tema e plugin, backup e ripristino dei malfunzionamenti. Per un problema singolo c'è l'assistenza WordPress a pacchetto ore.
Costi
Quanto costa ripulire un sito hackerato
Non diamo un prezzo fisso, perché due siti bucati possono avere danni molto diversi. Un redirect inserito in un file è una cosa, un sito con decine di backdoor e un database pieno di spam è un'altra. Lavoriamo a pacchetto ore, e dopo la prima analisi ti diciamo quale pacchetto serve.
Pacchetto 5 ore
€350
una tantum
- Analisi, pulizia e messa in sicurezza del sito
Pacchetto 10 ore
€600
una tantum
- Analisi, pulizia e messa in sicurezza del sito
Pacchetto 20 ore
€1.100
una tantum
- Analisi, pulizia e messa in sicurezza del sito
Prezzi indicativi, ogni sito è diverso. In orario lavorativo iniziamo l'analisi entro l'ora. Le urgenze le seguiamo dalle 7 alle 23, anche nei festivi.
Dopo la pulizia ti consigliamo di non restare scoperto. La manutenzione mensile costa €190 al mese per un sito WordPress e €290 al mese per un WooCommerce, e comprende gli aggiornamenti dei plugin, i backup, il ripristino dei malfunzionamenti e, per il negozio, il controllo di ordini, gateway e prodotti.
Se vuoi sapere subito che pacchetto serve al tuo sito, lascia il numero e ti richiamiamo noi, oppure scrivici descrivendo cosa vedi. Per un negozio WooCommerce compromesso trovi l'intervento di emergenza nella pagina di assistenza WooCommerce e PrestaShop.
Fonti
Dove abbiamo verificato le procedure
- Google, web.dev, Help, I think I've been hacked
- Google, web.dev, How do I know if my site was hacked?
- Google, web.dev, Quarantine your site
- Google, web.dev, Clean and maintain your site
- Google, web.dev, Identify the vulnerability
- Google, web.dev, Request a review
- WordPress.org, Hardening WordPress
- Polizia Postale, Commissariato di P.S. online
Procedure controllate sulle pagine ufficiali il 13 ottobre 2026.
Domande frequenti
Domande frequenti sul sito hackerato
Come capisco se il mio sito è stato hackerato?
I segni più chiari sono un avviso di Google nei risultati di ricerca o in Search Console, pagine che non hai creato tra quelle indicizzate, redirect verso siti che non conosci, utenti amministratori sconosciuti e file modificati di recente. Su Google digita site: seguito dal tuo dominio e guarda se compaiono pagine strane. Poi apri in Search Console il rapporto Problemi di sicurezza.
Cosa fare subito se il sito è hackerato?
Fai una copia di file e database così come sono, metti il sito in manutenzione, cambia tutte le password da un computer pulito e avvisa il tuo hosting. Non cancellare file e non ripristinare backup alla cieca, perché perderesti le tracce di come sono entrati. La procedura completa della prima ora è nella guida qui sopra.
Chi contattare se il sito è stato hackerato?
Prima di tutto il tuo hosting, che può dirti se l'attacco riguarda anche altri siti sullo stesso server e darti i log di accesso, e chi si occupa del sito per la pulizia. Se sono stati esposti dati personali dei clienti, il GDPR (articolo 33) prevede in molti casi la notifica al Garante entro 72 ore. Per una denuncia ci si rivolge alla Polizia Postale, che sul sito commissariatodips.it indica le informazioni da fornire per un accesso illecito a un sistema informatico.
Quanto costa ripulire un sito hackerato?
Non c'è un prezzo fisso, perché dipende da quanto è esteso il danno. Lavoriamo a pacchetto ore, 5 ore a €350, 10 ore a €600, 20 ore a €1.100, e per le urgenze siamo reperibili dalle 7 alle 23 anche nei festivi. Dopo la pulizia puoi attivare la manutenzione mensile, €190 al mese per WordPress e €290 al mese per WooCommerce.
Si perdono le posizioni su Google?
Le posizioni le fa perdere l'attacco, non la pulizia. Pesano l'avviso di Google e le pagine spam create sotto il tuo dominio, per questo vanno tolte entrambe e va chiesta la revisione in Search Console. Una pulizia fatta bene recupera i contenuti veri, come pagine, articoli, ordini e utenti.
Come evitare che succeda ancora?
Tieni aggiornati WordPress, plugin e temi ed elimina quelli che non usi, usa password lunghe e diverse con l'autenticazione a due passaggi, collegati al server con SFTP e fai backup regolari tenuti fuori dal server. Sono le misure della guida ufficiale di WordPress sulla sicurezza. Con la manutenzione a canone se ne occupa qualcuno ogni mese.
Quanto tempo ci mette Google a togliere l'avviso?
Secondo Google dipende dal tipo di problema, circa un giorno per il phishing, alcuni giorni per il malware, fino a diverse settimane per lo spam da hacking, perché può servire un controllo manuale. Se la revisione viene approvata, gli avvisi nei browser e nei risultati spariscono entro 72 ore.
Posso ripristinare un backup per risolvere?
Solo se sai che quel backup è precedente all'attacco. Se il malware c'era già, lo ripristini insieme al resto. E anche con un backup pulito la falla resta aperta, quindi il sito viene bucato di nuovo. Prima va capito quando è iniziata l'infezione e da dove sono entrati.