Site hackeado: o que fazer nas primeiras 24 horas

O cliente manda um print: o Google mostra "Este site pode ter sido invadido" ao lado do nome da sua empresa. Ou o site abre uma página de cassino, ou a hospedagem suspendeu a conta. A primeira reação é apagar tudo e reinstalar. Não faça isso ainda: apagar sem entender por onde o invasor entrou é o jeito mais rápido de ser invadido de novo na semana seguinte.

1. Confirme o que está acontecendo

Antes de mexer, registre o que você está vendo. Tire prints do aviso do Google, das páginas estranhas e dos e-mails da hospedagem. Abra o Google Search Console, se o site já estiver cadastrado, e veja o relatório "Problemas de segurança". Ele mostra quais páginas o Google marcou e por qual motivo: malware, conteúdo injetado ou engenharia social.

2. Troque todas as senhas, de fora para dentro

Comece pelas contas que dão acesso a todas as outras:

1. E-mail do responsável pelo domínio e pela hospedagem.
2. Painel da hospedagem e do registro do domínio.
3. Acesso FTP, SSH e banco de dados.
4. Usuários administradores do site (no WordPress, apague os que você não reconhece).

Ative a verificação em duas etapas em tudo que permitir. A Cartilha de Segurança do CERT.br explica por que senha única por serviço e segundo fator fecham a maior parte das portas usadas em ataques.

3. Coloque o site em manutenção

Se o site está distribuindo malware ou redirecionando visitantes, tire-o do ar com uma página de manutenção enquanto limpa. Isso protege os seus clientes e evita que o Google amplie o bloqueio.

4. Encontre a porta de entrada

As invasões em sites pequenos costumam começar por:

• plugin ou tema desatualizado com falha conhecida;
• senha fraca ou repetida em painel e FTP;
• formulário de upload que aceita qualquer arquivo;
• servidor com sistema operacional sem atualização.

Compare os arquivos com uma cópia limpa, procure arquivos alterados recentemente e arquivos PHP dentro de pastas de upload. Esse é o trabalho mais técnico e o que mais faz diferença: se a porta continuar aberta, a limpeza dura poucos dias.

5. Limpe e restaure

Remova os arquivos maliciosos, os usuários criados pelo invasor e o código injetado no banco de dados. Se houver um backup anterior à invasão e você souber a data em que tudo começou, restaurar pode ser mais rápido. Depois, atualize tudo: núcleo do site, plugins, temas e servidor.

6. Peça a revisão ao Google

Com o site limpo, use o botão "Solicitar análise" no relatório de problemas de segurança do Search Console. Descreva o que foi feito. A revisão costuma levar alguns dias, e o aviso some quando o Google confirma a limpeza. A documentação oficial do Google sobre sites hackeados detalha esse processo.

7. Avalie a LGPD

Se o invasor teve acesso a dados de clientes, como nome, telefone, e-mail ou CPF, a empresa pode ter de comunicar o incidente à ANPD e aos titulares. Registre o que aconteceu, quando e o que foi feito, e converse com um advogado sobre a obrigação no seu caso.

Como não passar por isso de novo

Atualizações em dia, backup testado, senha única com segundo fator e alguém olhando o servidor com frequência. Fazemos essa revisão completa na blindagem digital, e para servidores Linux o Oven Sec repete a varredura a cada 12 horas. Se o seu site foi invadido agora, fale com a gente.