Sito web violato: cosa fare nelle prime ore

Un sito violato va gestito in quest'ordine: isolare il sito per fermare i danni, cambiare immediatamente tutte le password di amministrazione, ripristinare un backup pulito precedente all'incidente, individuare e correggere la falla sfruttata, quindi valutare se sono stati compromessi dati personali per rispettare, se necessario, l'obbligo di notifica previsto dal GDPR. Seguire questo ordine evita di ripristinare il sito solo per vederlo violato di nuovo immediatamente.

Il vero problema: il panico fa perdere tempo prezioso

Scoprire che il proprio sito è stato violato scatena spesso una reazione di panico che spinge ad agire in modo disordinato: cancellare file a caso, modificare il contenuto visualizzato senza capirne la causa oppure, al contrario, non fare nulla per paura di peggiorare la situazione. Entrambi gli estremi sono controproducenti. La buona notizia è che la grande maggioranza delle violazioni di siti web (soprattutto sui CMS come WordPress) segue schemi noti e si risolve con una procedura metodica, senza bisogno di competenze tecniche molto avanzate.

L'urgenza reale non è sistemare tutto in un'ora, ma fermare la propagazione dei danni: impedire che il contenuto malevolo continui a essere mostrato, evitare che l'aggressore mantenga un accesso, ed evitare che Google indicizzi pagine fraudolente che penalizzerebbero durevolmente il posizionamento del sito.

La checklist da seguire in ordine

1. Mettere il sito offline o in modalità manutenzione immediatamente, per fermare l'esposizione del contenuto malevolo ai visitatori e ai crawler di Google.
2. Cambiare tutte le password di amministrazione: CMS, hosting, database, FTP e dominio se l'accesso a questo livello è in dubbio. Una password compromessa riutilizzata altrove va cambiata ovunque.
3. Revocare gli accessi sospetti: account amministratore creati senza la Sua autorizzazione, chiavi API o token sconosciuti, applicazioni di terze parti collegate non riconosciute.
4. Individuare l'estensione del danno: pagine modificate, file aggiunti, reindirizzamento iniettato, database alterato. Un confronto con l'ultimo backup pulito aiuta a circoscrivere con precisione ciò che è cambiato.
5. Ripristinare un backup precedente all'incidente, verificando che sia effettivamente pulito (un backup effettuato dopo l'intrusione iniziale può già contenere la falla o il codice malevolo).
6. Individuare e correggere la causa: plugin obsoleto, password debole, falla nota non corretta. Senza questo passaggio, il rischio di ripetizione resta elevato.
7. Aggiornare l'intero sito (CMS, temi, plugin) prima della rimessa in linea definitiva.
8. Valutare l'impatto sui dati personali e avviare, se necessario, la procedura di notifica prevista dal GDPR.
9. Monitorare il sito nei giorni successivi per confermare che l'aggressore non abbia mantenuto alcun accesso residuo.

L'obbligo di notifica GDPR in caso di fuga di dati

Se la violazione ha esposto dati personali dei Suoi utenti o clienti (email, indirizzi, password, informazioni di pagamento), il GDPR impone una procedura precisa, non un'opzione:

• Notifica al Garante entro 72 ore dalla scoperta della violazione, salvo che il rischio per gli interessati sia giudicato trascurabile.
• Informativa agli interessati se la violazione presenta un rischio elevato per i loro diritti e le loro libertà (ad esempio password o dati bancari esposti).
• Documentazione dell'incidente, anche in assenza di obbligo di notifica: natura della violazione, dati coinvolti, misure adottate. Questa documentazione può essere richiesta in caso di controllo successivo.

Una violazione che riguarda solo l'aspetto del sito (defacement, reindirizzamento) senza accesso ai dati non genera questo obbligo, ma l'analisi dell'effettiva estensione del danno va condotta prima di escluderlo troppo in fretta.

Individuare la causa per evitare che si ripeta

Le cause più frequenti di violazione su un sito professionale restano falle note ed evitabili: plugin o tema obsoleto, password debole o riutilizzata, assenza di autenticazione a due fattori sull'amministrazione, oppure hosting condiviso compromesso tramite un altro sito sullo stesso server. Un audit rapido di questi punti dopo l'incidente permette il più delle volte di individuare il punto d'ingresso senza competenze tecniche avanzate.

Ciò che rallenta inutilmente la rimessa in linea

• Ripristinare un backup senza verificare che sia precedente all'intrusione, il che reintroduce la falla.
• Rimettere il sito online prima di aver cambiato tutte le password, lasciando un accesso aperto all'aggressore.
• Ignorare i log del server, che spesso contengono indizi precisi sul metodo di intrusione.
• Non avvisare il fornitore di hosting, che può disporre di informazioni utili (altri siti colpiti sullo stesso server, avvisi già rilevati dal suo lato).

Cosa ricordare

• La procedura segue un ordine preciso: isolare, cambiare gli accessi, ripristinare un backup pulito, correggere la causa, valutare l'impatto sui dati.
• Ripristinare un backup senza individuare la causa espone a una nuova violazione rapida, a volte tramite la stessa falla.
• Una fuga di dati personali impone una notifica al Garante entro 72 ore e, a seconda del rischio, un'informativa agli interessati.
• La maggior parte delle violazioni di siti web sfrutta falle note (plugin obsoleto, password debole), non attacchi sofisticati.
• Un backup recente e testato è l'elemento che più accelera la rimessa in linea dopo un incidente.

Domande frequenti

Devo chiudere completamente il mio sito mentre risolvo il problema? Spesso sì, temporaneamente. La modalità manutenzione o la disattivazione impediscono che il contenuto malevolo continui a essere mostrato o indicizzato mentre gestisce l'incidente.

In caso di violazione, è necessario avvisare il Garante Privacy? Solo se sono stati compromessi dati personali. Il GDPR impone allora una notifica entro 72 ore, e un'informativa agli interessati se il rischio per loro è elevato.

Posso ripristinare il sito senza sapere come è stato violato? È rischioso: se la falla non viene corretta, il sito può essere violato di nuovo rapidamente, a volte con lo stesso metodo. Individuare la causa prima della rimessa in linea evita di riprodurre l'incidente.

Quanto tempo richiede il ripristino di un sito violato? Con un backup pulito recente e una causa individuata rapidamente, il ripristino può avvenire in poche ore. Senza un backup utilizzabile, può richiedere diversi giorni.

In sintesi

Un sito violato non è una fatalità irreversibile: una procedura metodica (isolare, mettere in sicurezza gli accessi, ripristinare, correggere la causa) permette il più delle volte una rimessa in linea in poche ore o pochi giorni. La migliore preparazione resta a monte, con backup regolari e testati che rendono questa checklist molto più rapida da eseguire. La formula sito web in abbonamento di VeryAppi include il monitoraggio e i backup che limitano l'impatto di un incidente di questo tipo.