Ripristino di un sito hackerato: la guida completa per riprendere il controllo

La documentazione di Google riconosce che ogni giorno i criminali compromettono migliaia di siti. Questa guida attraversa l’intero processo di ripristino — dai primi segnali di intrusione fino alla protezione contro un secondo attacco.

Immagini la scena: apre il Suo sito e, al posto della home page di sempre, La accoglie un avviso di software dannoso, un reindirizzamento verso un sito sospetto o una pagina bianca piena di codice incomprensibile. Non è uno scenario soltanto teorico: la documentazione di Google sui siti compromessi si apre con la constatazione che ogni giorno i criminali compromettono migliaia di siti. Che il Suo sia un piccolo blog personale, il sito vetrina di un’azienda locale o un grande e-commerce, il ripristino di un sito hackerato comincia molto prima di quanto la maggior parte dei proprietari immagini, perché il rischio di un’intrusione esiste sempre e la rapidità e la correttezza della Sua reazione decidono se la Sua presenza online tornerà in piedi in pochi giorni oppure se perderà mesi di reputazione, la fiducia dei clienti e le posizioni nei motori di ricerca.

In questo articolo percorriamo nel dettaglio l’intero processo, dai primi segnali che tradiscono una compromissione fino alla strategia di sicurezza a lungo termine che aiuta a prevenire attacchi ripetuti. Ci occupiamo sia degli aspetti tecnici sia dei passi pratici che qualsiasi proprietario di un sito può compiere, anche senza conoscenze approfondite di programmazione.

Come capire se il Suo sito è stato hackerato

Una delle difficoltà maggiori per chi possiede un sito è che l’intrusione non è sempre evidente: molti attacchi sono progettati apposta per restare inosservati il più a lungo possibile, perché all’aggressore conviene sfruttare in silenzio le risorse del Suo server, distribuire software dannoso attraverso le Sue pagine o iniettare link nascosti e contenuti di spam che migliorano il posizionamento sui motori di ricerca dei suoi siti. Ci sono però diversi segnali a cui prestare attenzione immediatamente, perché indicano spesso che il sito è stato compromesso.

Il primo segnale, e il più visibile, sono gli avvisi del browser o del motore di ricerca: se Google Chrome o un altro browser mostra, al posto del Suo sito, un avviso rosso a schermo intero che semplicemente non lascia passare il visitatore, quasi sempre significa che Google Safe Browsing ha rilevato contenuti dannosi sulla Sua pagina. Il testo esatto dell’avviso cambia a seconda che siano stati trovati malware o contenuti di ingegneria sociale, e a seconda della lingua del browser, quindi cercare una frase precisa non serve. Un avviso del genere allontana i visitatori all’istante — una barriera a schermo intero si mette tra loro e i Suoi contenuti — ed è quindi una delle conseguenze più gravi di un’intrusione. Allo stesso modo, nei risultati di ricerca di Google, sotto l’indirizzo del Suo sito può comparire l’avviso «Questo sito potrebbe essere compromesso», che incide in modo sensibile sui clic e sulla fiducia degli utenti.

Il secondo segnale frequente sono i reindirizzamenti imprevisti: se i visitatori del Suo sito vengono portati automaticamente su altre pagine, in particolare su siti sospetti con pubblicità, prodotti farmaceutici o contenuti per adulti, è un segnale chiaro che nel Suo sito è stato iniettato del codice malevolo che esegue quei reindirizzamenti. Spesso sono configurati per scattare solo con certi utenti — solo sui dispositivi mobili, per esempio, oppure solo per chi arriva dai motori di ricerca —, il che rende ancora più difficile accorgersene, perché l’amministratore, che alla pagina accede direttamente, può non vedere alcun cambiamento.

Il terzo segnale, spesso ignorato, sono i cambiamenti anomali nei contenuti: se sulla Sua pagina compaiono all’improvviso testi che Lei non ha scritto, link verso siti estranei, nuovi account nel pannello di amministrazione, file sconosciuti nelle cartelle del server o modifiche a file esistenti, tutto questo indica un accesso non autorizzato. Particolarmente insidiosi sono i casi in cui gli aggressori creano nel Suo sito pagine nascoste, ottimizzate per i motori di ricerca e piene di contenuti di spam: questa tattica, che nel settore si chiama «SEO spam» e che Google chiama violazione con parole chiave mascherate, può danneggiare a lungo la reputazione del Suo sito agli occhi dei motori di ricerca anche se quelle pagine Lei non le vede mai, perché sono visibili soltanto ai crawler.

Il quarto segnale sono i problemi di prestazioni del server: se il Suo sito diventa all’improvviso molto più lento, se il server smette di rispondere con regolarità o se riceve dal provider di hosting segnalazioni di consumo eccessivo di risorse, può voler dire che gli aggressori stanno usando il Suo server per i propri scopi — mining di criptovalute, invio di spam o attacchi contro altri siti. In casi simili l’azienda di hosting può perfino sospendere il Suo account, il che rende il sito completamente irraggiungibile.

I tipi di attacco e le vulnerabilità più frequenti

Per ripristinare un sito violato in modo efficace e prevenire attacchi ripetuti è importante capire come gli aggressori entrino nel sistema, perché senza questa comprensione si rischia di rimuovere soltanto le conseguenze e non la causa, e il sito può essere violato di nuovo entro pochi giorni o poche settimane dalla pulizia. Le statistiche sulla sicurezza informatica mostrano che la maggior parte delle intrusioni non sono attacchi complessi e mirati, ma processi automatizzati in cui dei bot scandagliano milioni di siti alla ricerca di vulnerabilità note e le sfruttano non appena le trovano.

La SQL injection resta uno dei metodi di attacco più diffusi e pericolosi: permette all’aggressore di manipolare il database del Suo sito inserendo query SQL malevole attraverso i campi di input, per esempio i moduli di accesso, i campi di ricerca o i parametri dell’URL. Se il codice del Suo sito inserisce direttamente i dati digitati dall’utente nelle query SQL senza una validazione e una parametrizzazione adeguate, l’aggressore può aggirare l’autenticazione e leggere, modificare o cancellare dati sensibili dal database, comprese le password degli utenti, le informazioni personali e i dati finanziari. Gli attacchi di SQL injection sono particolarmente pericolosi perché possono dare all’aggressore il controllo completo del database e, in alcuni casi, dell’intero server, se l’utente del database ha permessi troppo ampi.

Il cross-site scripting (XSS) è un’altra vulnerabilità molto diffusa che, a differenza della SQL injection, non colpisce il server ma gli utenti del sito: l’aggressore inietta nel Suo sito codice JavaScript malevolo che viene eseguito nei browser dei visitatori, e questo gli permette di rubare i cookie di sessione, reindirizzare gli utenti verso pagine fraudolente o compiere azioni a loro nome senza che se ne accorgano. Gli attacchi XSS possono essere persistenti (quando il codice malevolo viene salvato nel database e mostrato a tutti i visitatori), riflessi (quando il codice viaggia in un parametro dell’URL e funziona soltanto se l’utente clicca su un link preparato apposta) o basati sul DOM (quando la vulnerabilità sta interamente nel codice lato client). Una difesa efficace passa dalla codifica dei dati in uscita, dalla sanificazione dei dati in ingresso e dall’adozione di una Content Security Policy (CSP), che limita le origini da cui possono essere caricati gli script.

Il software non aggiornato è un’altra causa di intrusione estremamente comune, ed è particolarmente sentita nell’ecosistema WordPress: nel rapporto Patchstack sul 2025, delle 11.334 vulnerabilità appena scoperte il 91% stava nei plugin e il 9% nei temi, mentre nel core di WordPress sono stati segnalati soltanto sei problemi di priorità bassa. Quando lo sviluppatore di un plugin o di un tema scopre e corregge una vulnerabilità di sicurezza pubblica un aggiornamento, ma nello stesso momento l’informazione sulla vulnerabilità diventa pubblica e gli aggressori si mettono subito a cercare i siti che non l’hanno ancora installato: quella finestra tra la divulgazione e l’aggiornamento è uno dei periodi più critici per la sicurezza del Suo sito. È proprio per questo che aggiornare con regolarità non è una buona pratica consigliata, ma una necessità assoluta.

Le password deboli o già compromesse restano uno dei modi più semplici per entrare in un sito, perché molti amministratori usano password facili da indovinare, riutilizzano la stessa password su più servizi o non attivano l’autenticazione a più fattori, il che rende l’attacco di forza bruta (brute force) e il credential stuffing estremamente efficaci. La situazione peggiora quando la stessa coppia di indirizzo email e password viene usata per l’account di hosting, per l’accesso FTP e per il pannello di amministrazione del sito: in quel caso la compromissione di una sola password apre all’aggressore l’intera infrastruttura.

Passo dopo passo: il processo di ripristino di un sito hackerato

Quando ha accertato che il Suo sito è stato violato, è fondamentale procedere in modo metodico e ordinato invece di mettersi a cancellare file o a reinstallare tutto da zero nel panico, perché un intervento caotico può distruggere le prove necessarie a identificare l’origine dell’attacco e può perfino peggiorare la situazione, se non vengono chiuse tutte le backdoor lasciate dall’aggressore. Qui sotto è descritto un processo di ripristino strutturato, basato sulle migliori pratiche del settore della sicurezza informatica e raccomandato tanto dalle aziende di hosting quanto dagli specialisti di sicurezza.

Prima fase: isolamento immediato e fotografia della situazione

Il primo passo, da compiere subito dopo aver scoperto l’intrusione, è isolare il sito dal mondo esterno per evitare ulteriori danni ai visitatori e alla Sua reputazione. Il modo più semplice è attivare la modalità manutenzione (maintenance mode), che mostra ai visitatori un messaggio informativo sull’indisponibilità temporanea del sito bloccando allo stesso tempo l’accesso a tutto il resto dei contenuti. Se non riesce a entrare nel pannello di amministrazione, può usare il file .htaccess per dirottare tutto il traffico su una semplice pagina HTML con un avviso, oppure chiedere al provider di hosting di sospendere temporaneamente l’account.

Insieme all’isolamento è di importanza critica creare una copia completa del sito compromesso, sia dei file sia del database. Questa copia serve a due cose: da un lato conserva le prove che possono essere necessarie per identificare l’origine e il metodo dell’attacco, dall’altro fornisce una rete di sicurezza nel caso in cui il ripristino non riesca e occorra tornare allo stato iniziale per tentare un altro approccio. In nessun caso si deve cominciare la pulizia prima di aver creato questa copia, altrimenti si rischia di perdere sia i file infetti, che possono servire all’analisi, sia file potenzialmente puliti, se durante la pulizia qualcosa va storto.

Il terzo passo importante di questa fase è mettersi in contatto con il provider di hosting, perché sono loro ad avere accesso ai file di log del server, che possono dire molto su quando e come è avvenuto l’attacco, quali file sono stati modificati e da quali indirizzi IP è arrivato l’accesso non autorizzato. Inoltre, se il Suo account si trova su un server condiviso, l’azienda di hosting deve verificare che l’attacco non abbia toccato anche altri account sullo stesso server e prendere le misure necessarie per isolare il problema.

Seconda fase: individuazione e rimozione del codice malevolo

Una volta isolato il sito e creata la copia comincia la fase più critica del ripristino: trovare e rimuovere il codice malevolo. Il processo richiede scrupolo e metodo, perché gli aggressori lasciano spesso più backdoor in punti diversi del sito, e basta che ne resti una sola inosservata perché possano rientrare in qualsiasi momento.

Il primo passo è la scansione automatica con strumenti di sicurezza affidabili, per esempio Wordfence, Sucuri o MalCare, che controllano tutti i file e il database del sito alla ricerca di campioni noti di codice malevolo, funzioni sospette e modifiche non autorizzate. Questi strumenti individuano la maggior parte delle infezioni diffuse, ma non sono infallibili, quindi la scansione automatica va sempre integrata con un controllo manuale. Durante il controllo manuale va prestata attenzione particolare ai file critici — .htaccess, wp-config.php nel caso di WordPress, functions.php, header.php e footer.php —, perché sono i più presi di mira, e il codice iniettato al loro interno può essere mascherato con tecniche di offuscamento come la codifica base64, la funzione eval() o le chiamate a gzinflate(), che lo rendono difficile da riconoscere a occhio nudo.

La pulizia del database è importante quanto quella dei file, perché gli aggressori iniettano spesso contenuti malevoli direttamente nelle tabelle: in WordPress le più colpite sono wp_posts e wp_options, dove possono finire contenuti di spam, link nascosti o perfino codice PHP che viene eseguito quando il sito carica i record corrispondenti. Per l’ispezione del database si può usare phpMyAdmin o uno strumento simile, cercando record sospetti, account amministratore non autorizzati e modifiche anomale nella tabella delle opzioni.

Una volta individuato il codice malevolo, la pratica consigliata non è cercare di riparare i file infetti, ma sostituirli con copie originali pulite: scaricare cioè il core del sistema e ogni plugin, tema o estensione dalla fonte ufficiale dello sviluppatore e riscrivere per intero le cartelle interessate, invece di mettere mano ai singoli file. Se nel tema o in un’estensione ha del codice personalizzato, va confrontato riga per riga con una versione pulita, per individuare e rimuovere soltanto le modifiche malevole conservando le Sue modifiche legittime.

È particolarmente importante controllare le cartelle in cui non dovrebbero esserci file eseguibili — le directory dei caricamenti e dei media —, perché un file PHP finito lì non ci è quasi mai arrivato per caso, visto che quelle cartelle sono destinate soltanto a immagini, video e documenti. Va poi ispezionata la directory principale del sito, alla ricerca di file sconosciuti che potrebbero essere backdoor o strumenti dell’aggressore. Quali cartelle, quali file e quali tabelle del database vadano controllati in un’installazione WordPress lo abbiamo descritto passo dopo passo nella guida sui siti WordPress hackerati.

Terza fase: rinnovo delle credenziali e hardening del sistema

Dopo la rimozione del codice malevolo è assolutamente necessario cambiare tutte le password e le chiavi di accesso collegate al Suo sito, perché è molto probabile che l’aggressore se le sia procurate durante l’intrusione e, se non vengono cambiate, gli basta rientrare per compromettere di nuovo il sito. Il cambio deve coprire tutti i livelli: gli account amministratore del sito (e ogni altro account con permessi elevati), la password del pannello di controllo dell’hosting, le credenziali FTP e SFTP, la password del database e le password delle caselle di posta collegate al sito.

Sui siti WordPress vanno inoltre rigenerate le chiavi di autenticazione e salt (security keys and salts) nel file wp-config.php: non cifrano nulla, ma firmano con HMAC-SHA256 i cookie di autenticazione, quindi dopo il cambio il server rifiuta ogni cookie rilasciato fino a quel momento e chiude tutte le sessioni attive, comprese quelle che l’aggressore potrebbe usare. Le password questa operazione non le cambia: sono conservate come hash calcolati con bcrypt e vanno cambiate a parte. Le chiavi nuove si generano con il generatore ufficiale di WordPress e si incollano semplicemente nel file wp-config.php al posto dei valori vecchi.

L’hardening del sistema comprende anche l’aggiornamento di tutti i componenti software alle versioni più recenti: il core del CMS, tutti i plugin, i temi e il software lato server, per esempio la versione di PHP. Tutti i plugin e i temi inutilizzati o abbandonati vanno eliminati del tutto e non semplicemente disattivati, perché anche un plugin disattivato con una vulnerabilità può essere sfruttato per un attacco finché i suoi file restano sul server. Particolarmente pericolosi sono i cosiddetti plugin e temi «nulled», cioè piratati, che contengono spesso codice malevolo già inserito e sono una delle cause di intrusione più frequenti.

Oltre al cambio delle password e agli aggiornamenti vanno introdotte anche misure di sicurezza proattive che riducono in modo sensibile il rischio di attacchi futuri. Un web application firewall (WAF) è uno degli strumenti di difesa più efficaci, perché filtra il traffico in entrata e blocca le richieste sospette prima che raggiungano il sito, proteggendo da SQL injection, attacchi XSS, attacchi di forza bruta e molti altri tipi di minaccia. L’autenticazione a più fattori (MFA o 2FA) è un altro livello di sicurezza critico: significa che, anche se l’aggressore ottiene la Sua password, non riuscirà ad accedere senza il secondo fattore, per esempio un codice generato da un’app sul telefono o ricevuto via SMS.

Sui siti WordPress è consigliabile anche disattivare la modifica dei file dal pannello di amministrazione, aggiungendo al file wp-config.php la riga define('DISALLOW_FILE_EDIT', true), che impedisce a un aggressore entrato in un account amministratore di modificare direttamente i file del tema e dei plugin dall’interfaccia di WordPress. È altrettanto consigliabile limitare il numero di tentativi di accesso, cambiare il nome utente predefinito dell’amministratore e limitare per indirizzo IP l’accesso alla directory wp-admin, quando è praticamente possibile.

Quarta fase: recuperare la reputazione nei motori di ricerca

Se il Suo sito è finito in una lista di blocco di Google o se nei risultati di ricerca compaiono avvisi di compromissione, il ripristino non è finito finché quegli avvisi non vengono tolti, perché continuano ad allontanare i visitatori e a danneggiare il Suo posizionamento sui motori di ricerca anche quando il sito è già stato ripulito e messo in sicurezza. Google Search Console è lo strumento principale di questa fase e, se non ha ancora verificato il Suo sito su quella piattaforma, questo è l’ultimo momento utile per farlo.

In Google Search Console, accanto al report sulle azioni manuali, si trova il report «Problemi di sicurezza» (Security Issues), che mostra quali problemi concreti Google ha rilevato sul Suo sito, quali pagine sono colpite e che tipo di minaccia è stata identificata. Dopo aver completato tutti i passi di pulizia e hardening descritti sopra può premere il pulsante «Richiedi esame» (Request Review), che comunica a Google che il problema è stato risolto e chiede la rimozione degli avvisi. Nella richiesta va inclusa una descrizione dettagliata di quale fosse il problema, di quali passi concreti ha compiuto per risolverlo e di quali risultati hanno prodotto: più la descrizione è dettagliata e concreta, maggiori sono le probabilità che l’esame venga completato in fretta e con successo.

Una scadenza precisa Google non la promette: la sua documentazione parla di «diversi giorni o settimane» e segnala che, nel caso di una violazione con contenuti di spam, l’esame può richiedere diverse settimane, perché comprende una valutazione manuale oppure la rielaborazione di tutte le pagine colpite. Le pagine compromesse che contengono spam non vanno reindirizzate alla home page o ad altre parti del sito: devono restituire il codice di stato 404 (Not Found), perché Google le tolga gradualmente dal proprio indice. In un caso del genere un reindirizzamento può essere interpretato come un tentativo di nascondere il problema invece di risolverlo.

Oltre a Google Search Console vale la pena controllare anche altre liste di blocco, per esempio Norton Safe Web e McAfee SiteAdvisor, perché alcuni browser e alcuni software di sicurezza le usano in aggiunta a quella di Google e, se il Suo sito è finito in una di esse, dovrà presentare una richiesta separata a ciascun servizio.

La strategia di backup: la Sua rete di sicurezza

Fare backup regolari e affidabili è una delle misure preventive più importanti che il proprietario di un sito possa prendere, perché perfino nello scenario peggiore — quando il sito è compromesso al punto che ripulirlo non è praticamente possibile né economicamente sensato — può ripristinarlo da un backup pulito e perdere soltanto i contenuti aggiunti dopo l’ultimo backup. La strategia però va pensata, perché backup organizzati male si rivelano inutili proprio nel momento in cui servirebbero di più.

In primo luogo, il backup deve comprendere sia tutti i file del sito sia il database, perché un sito senza database o un database senza file non serve a niente: entrambe le componenti sono necessarie per rimettere in piedi il sito per intero. In secondo luogo, i backup vanno conservati fuori dal server su cui si trova il Suo sito, perché, se il server viene compromesso, l’aggressore può cancellare o infettare anche le copie che stanno lì. Nel caso ideale i backup sono conservati in almeno due posti diversi, per esempio in un servizio cloud (Google Drive, Amazon S3, Dropbox) e su un supporto locale.

In terzo luogo, è importante conservare più versioni dei backup e non soltanto l’ultima, perché, se l’intrusione viene scoperta in ritardo, il backup più recente può essere già infetto e Le servirà una versione più vecchia e pulita. La pratica consigliata è conservare almeno trenta giorni di storico, che permettono di tornare abbastanza indietro da trovare una versione pulita anche quando l’intrusione viene scoperta diverse settimane dopo il suo inizio.

In quarto luogo, il processo va automatizzato, perché i backup manuali non sono affidabili: le persone dimenticano, rimandano o semplicemente dopo un po’ smettono di farli. La maggior parte dei provider di hosting offre backup automatici, ed esistono anche plugin e servizi specializzati che svolgono questo compito. È importante anche verificare periodicamente che i backup funzionino davvero, provando a ripristinare il sito in un ambiente di prova, perché non c’è niente di peggio che scoprire in piena crisi che le copie sono danneggiate o incomplete.

Che cosa dicono i dati sui siti violati, al posto delle previsioni

Le statistiche sulla sicurezza informatica che circolano nello spazio pubblico parlano quasi sempre di costi globali del crimine informatico in migliaia di miliardi oppure di violazioni di dati nelle grandi aziende, il cui costo medio si misura in milioni, e a una piccola o media impresa con un solo sito tutto questo non serve a nulla: sono numeri di un altro mondo. Sono utili invece i dati raccolti direttamente dai siti violati, e li pubblicano le stesse aziende che quei siti li ripuliscono ogni giorno, perché il loro campione è fatto di siti come il Suo.

Nel rapporto 2023 dell’azienda di sicurezza Sucuri, basato su siti che il suo team ha davvero ripulito nel corso dell’anno, il 39,1% dei sistemi di gestione dei contenuti era obsoleto al momento dell’infezione (Sucuri, «2023 Hacked Website & Malware Threat Report»). In quasi due casi su cinque, quindi, all’aggressore non è servito cercare niente di più complicato di una vulnerabilità pubblicamente nota in un sistema che il proprietario non aveva aggiornato — ed è proprio per questo che un calendario degli aggiornamenti è l’investimento in sicurezza più economico che in questo campo esista.

Dice ancora di più quello che i dati mostrano sull’intenzione degli aggressori, perché spiega perché un’intrusione così di rado sembri un’intrusione. Nello stesso rapporto il 20,30% dei siti infetti conteneva SEO spam, ma tra i database compromessi la quota saliva al 38,3%, e nell’1,34% dei siti è stato trovato codice per il furto dei dati delle carte di pagamento. Nessuna di queste tre cose serve a rovinare il sito: servono tutte a farlo continuare a funzionare come sempre mentre nel frattempo guadagna per qualcun altro.

E c’è un altro numero che spiega perché la pulizia dei soli file non basti mai: il 55,2% dei siti in cui il codice malevolo era arrivato nel database aveva almeno un utente amministratore creato dall’aggressore. Dopo la pulizia dei file un account del genere resta perfettamente legittimo — ha una password, ha tutti i permessi, e con quello si rientra e si rimette il codice al suo posto. È per questo che nel nostro processo di ripristino il controllo del database e l’audit dell’elenco utenti sono un passo a sé, non un’appendice della pulizia dei file.

Strategia di sicurezza a lungo termine: un approccio proattivo

Rimettere in piedi un sito violato è soltanto metà della storia: altrettanto importante, se non di più, è costruire una strategia di sicurezza a lungo termine che riduca sensibilmente il rischio di una seconda intrusione e tenga il sito protetto il meglio possibile contro minacce che cambiano di continuo. Questa strategia non è un intervento una tantum, ma un processo continuo che richiede attenzione e risorse con regolarità.

La scansione periodica delle vulnerabilità e il penetration test sono tra gli elementi più importanti della sicurezza proattiva, perché permettono di individuare e chiudere le falle prima che vengano sfruttate. La scansione delle vulnerabilità si può fare con strumenti automatici che controllano il sito a intervalli regolari e segnalano i problemi trovati, mentre il penetration test è un processo più approfondito in cui uno specialista di sicurezza prova a violare il Suo sito con gli stessi metodi che userebbe un aggressore reale, per individuare le vulnerabilità che gli strumenti automatici possono lasciarsi sfuggire.

Il controllo degli accessi e la gestione dei permessi sono un altro aspetto critico che viene spesso ignorato: ogni utente del Suo sito dovrebbe avere soltanto i permessi minimi necessari a svolgere i propri compiti, e nessuno dovrebbe usare l’account amministratore per il lavoro quotidiano, per esempio per pubblicare contenuti o moderare i commenti. Questo principio, chiamato principio del privilegio minimo (least privilege), riduce sensibilmente il danno potenziale se uno degli account viene compromesso.

Il monitoraggio della sicurezza e l’analisi dei file di log sono un processo continuo che permette di scoprire per tempo attività sospette e di reagire prima che si trasformino in un’intrusione vera e propria. Comprende la revisione regolare dei log di accesso del server, il monitoraggio dei tentativi di accesso falliti, il controllo dell’integrità dei file (che avverte quando un file viene modificato a Sua insaputa) e l’analisi del traffico di rete alla ricerca di schemi anomali che possano indicare un attacco o una fuga di dati.

La stesura di un piano di risposta agli incidenti è un altro passo importante che molti titolari di piccole e medie imprese ignorano, convinti che serva soltanto alle grandi aziende, mentre in realtà qualsiasi organizzazione che dipenda dalla propria presenza online dovrebbe avere un piano documentato che descriva che cosa fare in caso di intrusione, chi è responsabile di ogni passo, come comunicare con clienti e partner e come tornare alla normalità il più in fretta possibile. Averlo riduce sensibilmente i tempi di reazione ed evita le mosse caotiche in piena crisi. Una parte di queste scelte viene fatta già quando il sito viene commissionato: su quali errori in quel momento costino di più abbiamo scritto in un articolo a parte su come commissionare un sito web.

Aiuto professionale: quando è il momento di rivolgersi a uno specialista

Benché molti passi del ripristino il proprietario di un sito possa compierli da sé, ci sono situazioni in cui l’aiuto professionale non è soltanto consigliabile ma necessario per garantire un recupero completo e sicuro. Se l’intrusione è stata particolarmente complessa, se il sito viene violato di nuovo dopo la pulizia, se c’è il sospetto di una violazione dei dati personali che riguarda informazioni dei clienti oppure se semplicemente non ha le competenze tecniche e il tempo per compiere tutti i passi necessari, vale la pena coinvolgere specialisti di sicurezza informatica oppure servizi specializzati nella sicurezza dei siti.

I servizi di sicurezza professionali, per esempio Sucuri, Wordfence o MalCare, offrono sia strumenti di pulizia automatica sia l’intervento manuale di esperti, e molti di loro forniscono anche monitoraggio e protezione continui dopo il ripristino. Il costo di questi servizi è di norma molto inferiore alle perdite potenziali di un’intrusione prolungata: traffico perso, calo della fiducia dei clienti, possibili conseguenze legali in caso di fuga di dati e il tempo speso a provare a risolvere il problema da soli senza conoscenze sufficienti.

Se sul Suo sito vengono trattati dati personali e si è verificata una violazione dei dati personali, può avere anche l’obbligo giuridico di informare l’autorità di controllo competente e le persone interessate ai sensi del Regolamento generale sulla protezione dei dati (GDPR) o di altre norme applicabili, e in un caso simile è particolarmente importante documentare l’intero processo di ripristino e conservare le prove delle misure adottate.