Se stai leggendo questo articolo perché il tuo sito è stato appena violato, la prima cosa da sapere è che si risolve. La seconda è che l'ordine in cui fai le cose conta: alcune reazioni istintive, come cancellare tutto e reinstallare, peggiorano la situazione.
Qui trovi i passi da seguire, nell'ordine giusto.
I segnali più comuni
Un sito compromesso non sempre si vede a colpo d'occhio. Questi sono i segnali tipici:
- chi visita il sito, soprattutto da telefono, viene reindirizzato verso siti di scommesse, farmaci o truffe;
- su Google compaiono pagine che non hai mai creato, spesso in altre lingue;
- Google o il browser mostrano un avviso di sito pericoloso o compromesso;
- nel pannello ci sono utenti amministratori che non conosci;
- l'hosting ti avvisa di attività sospette o sospende il sito;
- le email che partono dal tuo dominio finiscono nello spam o vengono respinte.
Prima regola: non cancellare niente
Il riflesso naturale è eliminare i file strani e reinstallare. Il problema è che così perdi le tracce di come sono entrati. Se non chiudi la porta da cui sono passati, torneranno, spesso nel giro di giorni.
Le prime ore, in quest'ordine
1. Proteggi i visitatori
Metti il sito in manutenzione o chiedi all'hosting di sospenderlo temporaneamente. Un sito che reindirizza su pagine truffa danneggia chi lo visita, e più resta online così, più Google lo penalizza.
2. Fai una copia dello stato attuale
Prima di toccare qualsiasi cosa, salva file e database così come sono, in una posizione separata. Non è un backup da ripristinare: è la "scena del crimine" che serve per capire cosa è successo.
3. Cambia tutte le password, da un dispositivo pulito
Tutte, non solo quella di WordPress: pannello dell'hosting, accesso FTP o SFTP, database, account amministratori del sito, caselle email collegate. Fallo da un computer che sai essere pulito.
Poi rigenera le chiavi di sicurezza nel file wp-config.php: è il modo per disconnettere in un colpo solo tutte le sessioni aperte, comprese quelle di chi è entrato.
4. Controlla gli utenti
Elimina gli amministratori che non riconosci e riduci i permessi di chi non ha bisogno di essere amministratore.
5. Avvisa l'hosting
Molti hosting hanno i registri degli accessi e strumenti di scansione. Possono dirti da dove è partito l'attacco e da quando.
Ripulire o ripristinare?
Le strade sono due.
Ripristinare un backup pulito è la via più rapida, ma funziona solo a due condizioni: sai quando è iniziato l'attacco, e hai un backup precedente a quella data. Subito dopo il ripristino devi aggiornare tutto, altrimenti la falla è ancora lì.
Ripulire il sito serve quando un backup pulito non c'è o non sai quale lo sia. In pratica: si reinstallano WordPress, i plugin e il tema scaricandoli da fonti ufficiali, si analizzano i file rimasti (i file PHP dentro la cartella delle immagini sono un classico segnale), si controlla il database, e si passa il sito a uno scanner di sicurezza come quelli di Wordfence o Sucuri.
In entrambi i casi l'obiettivo finale è lo stesso: un sito pulito, aggiornato, e con la porta d'ingresso chiusa.
Da dove sono entrati
Nella grande maggioranza dei casi la causa è una di queste:
- un plugin o un tema non aggiornato. Secondo Patchstack, il 91% delle vulnerabilità scoperte nell'ecosistema WordPress nel 2025 riguardava i plugin, e circa metà di quelle più gravi viene sfruttata entro 24 ore dalla pubblicazione;
- una password debole o riutilizzata su altri servizi;
- un plugin "nulled", cioè la copia pirata di un plugin a pagamento: è uno dei modi più diffusi per installarsi una porta sul retro da soli.
Capire quale sia stata la causa non è un dettaglio: è l'unico modo per non rivivere la stessa giornata tra un mese.
Google e la reputazione del sito
Se Google ha segnalato il sito, apri Search Console e controlla il report Problemi di sicurezza. Quando il sito è pulito, da lì si richiede un esame. Google stesso avverte che la revisione può richiedere da qualche giorno a qualche settimana, e manda un'email quando ha finito.
Controlla anche che il tuo dominio non sia finito nelle liste nere delle email: è la ragione per cui a volte, dopo un attacco, i messaggi aziendali non arrivano più a destinazione.
La parte che molti dimenticano: la privacy
Se l'attacco ha toccato dati personali, per esempio i messaggi del modulo contatti, gli utenti registrati o gli ordini di un e-commerce, per il GDPR si tratta di una violazione di dati personali (data breach).
In sintesi, secondo le indicazioni del Garante:
- la violazione va notificata al Garante senza ingiustificato ritardo e, se possibile, entro 72 ore da quando te ne accorgi, salvo che sia improbabile che comporti rischi per le persone coinvolte;
- se il rischio è elevato, vanno avvisate anche le persone interessate;
- la notifica si fa online, sulla piattaforma del Garante;
- ogni violazione va comunque documentata in un registro, anche quando non va notificata.
Non è consulenza legale: se hai dubbi su come valutare il tuo caso, parlane con il tuo consulente privacy, ma fallo subito, perché le 72 ore corrono.
Quanto costa
Una pulizia professionale costa in media tra 500 e 3.000 € per intervento, secondo le stime del settore, a cui si aggiungono i danni che non hanno un prezzo in fattura: giorni di sito fermo, clienti che hanno visto l'avviso di Google, posizioni perse nelle ricerche.
Per confronto, un anno di manutenzione di base costa meno della pulizia più economica.
Come non ricascarci
- Aggiornamenti regolari di WordPress, plugin e tema.
- Backup automatici, fuori dal server e testati.
- Pochi plugin, scelti tra quelli mantenuti, e mai versioni pirata.
- Autenticazione a due fattori per gli amministratori.
- Ogni utente con i permessi minimi che gli servono.
- Qualcuno che controlla il sito e legge gli avvisi.
È esattamente quello che deve fare una manutenzione seria: ne ho scritto in dettaglio in Manutenzione WordPress: cosa comprende davvero e quanto costa.
Il tuo sito è stato violato, o hai il sospetto che lo sia? Scrivimi dalla pagina contatti o su WhatsApp dal pulsante in basso: ti dico subito da dove partire.
Fonti: Patchstack, "State of WordPress Security in 2026"; Google, Guida di Search Console – Report Problemi di sicurezza; Garante per la protezione dei dati personali, pagina "Violazione dei dati personali (data breach)"; DSI Design, "Manutenzione sito web" (costi di ripristino).