Site hackeado: sinais e o que fazer primeiro

Como saber se o seu site foi hackeado

Um sinal isolado não prova invasão: lentidão pode ser a hospedagem, e um redirecionamento pode ser um plugin com defeito. Vários sinais juntos, ou qualquer um dos mais graves, pedem ação imediata.

O relatório de problemas de segurança do Search Console agrupa os casos em "Conteúdo invadido", "Malware e software indesejado" e "Engenharia social" (Ajuda do Search Console). Cadastrar o site no Search Console é a forma mais direta de receber esse alerta.

O que fazer nas primeiras horas

1. Não apague nada ainda. Apagar sem entender destrói pistas e pode deixar a brecha aberta.
2. Isole o site. Coloque em modo de manutenção ou tire do ar por um tempo. Isso protege os visitantes e impede que o aviso do navegador piore.
3. Guarde uma cópia do estado atual (arquivos e banco de dados), fora do servidor. Ela não serve para restaurar: serve para descobrir como o invasor entrou.
4. Troque senhas e chaves, a partir de um computador sem problemas: painel da hospedagem, FTP ou SSH, banco de dados, administrador do site, e-mail e chaves de API. Troque também onde a mesma senha era usada.
5. Restaure um backup limpo, de antes da invasão. Os registros do servidor ajudam a descobrir quando ela começou.
6. Atualize tudo: sistema, plugins, temas e bibliotecas. Remova o que não usa.
7. Encontre e feche a brecha: senha fraca, plugin vulnerável, conta esquecida, envio de arquivos sem controle. Sem isso, o invasor volta.
8. Confira se está limpo: usuários, tarefas agendadas e arquivos novos. O Google recomenda não abrir páginas infectadas diretamente no navegador, e sim verificar com a ferramenta de inspeção de URL ou com o cURL.
9. Peça revisão ao Google, se houver aviso no relatório de problemas de segurança. Só depois de limpar tudo, clicando em "Solicitar revisão" e descrevendo o que foi corrigido.

Sobre o último passo: o Google diz que a análise leva de alguns dias a algumas semanas, e pede para não reenviar o pedido enquanto o anterior está pendente. Pedir cedo demais, com o problema ainda presente, só prolonga o processo (guia "Request a review", do web.dev).

Por que restaurar o backup não basta

Restaurar um backup limpo sem fechar a brecha é como trocar a fechadura e deixar a janela aberta: o invasor entra pelo mesmo caminho. Também é comum o backup mais recente já estar infectado, e o invasor deixar conteúdo no banco de dados, não só nos arquivos. Por isso, a ordem importa: limpar, fechar a brecha, atualizar, trocar credenciais e só então reabrir.

E os dados das pessoas que usam o site?

Se o site guarda dados pessoais (formulário de contato, cadastro, loja, área de clientes) e há chance de que tenham sido acessados, o assunto deixa de ser só técnico. A LGPD e a regulamentação da ANPD tratam de incidentes de segurança com dados pessoais, e o prazo para comunicação, quando ela é exigida, é contado em dias úteis (página da ANPD sobre comunicação de incidente).

Isto é informação geral, não aconselhamento jurídico. Avaliar se há obrigação de comunicar, a quem e em que prazo é um trabalho para a assessoria jurídica da empresa, com as informações técnicas do que aconteceu. Por isso vale registrar o que foi encontrado, quando e o que foi feito.

Como prevenir

• Atualizações em dia de sistema, plugins e temas, de preferência testadas antes em uma cópia.
• Senhas fortes e únicas, com verificação em duas etapas (2FA) em painel, e-mail e administração do site.
• Backup fora do servidor, com restauração testada. Backup que nunca foi restaurado é uma aposta.
• Poucos plugins, de fonte confiável. Cada extensão a mais é uma porta a mais. Remova o que não usa.
• Permissões mínimas: cada pessoa acessa só o que precisa, e quem saiu da equipe perde o acesso.
• HTTPS e cabeçalhos de segurança. Nós aplicamos nos nossos sites a política de segurança de conteúdo (CSP), que diz ao navegador de quais origens a página pode carregar scripts e recursos. Isso reduz o estrago que um código injetado consegue fazer. Veja também o que é certificado SSL.
• Monitoramento e manutenção regulares. A manutenção de site existe para isso.

Não existe site invulnerável. Prevenir reduz a chance e o tamanho do problema, e o backup define quanto tempo você fica fora.

Quando chamar um especialista

Vale pedir ajuda técnica quando:

• o site guarda dados de clientes, pagamentos ou cadastros;
• você não encontra a brecha e o problema volta depois da limpeza;
• o aviso do navegador ou do Google continua mesmo depois de limpar;
• não há backup ou ele também está comprometido;
• o site é parte importante das vendas e cada hora fora do ar custa.

Antes de contratar, confirme de quem são o domínio e a hospedagem: veja domínio e hospedagem de site. O diagnóstico gratuito da Wow mostra o que dá para enxergar de fora sobre segurança, velocidade e o que o Google lê, e a página de criação de sites explica como cuidamos do que publicamos.