I cinque passi, in quest'ordine
- 01
1. Mettete il sito offline o in manutenzione
Serve a fermare il danno verso i visitatori: pagine che infettano, reindirizzamenti verso truffe, pagine di finto pagamento create a vostro nome. Vale anche per la reputazione: un sito segnalato come pericoloso perde fiducia molto più in fretta di uno in manutenzione.
- 02
2. Cambiate le password, da un computer che sapete pulito
Pannello dell'hosting, area del registrar del dominio, accessi al sito, database, FTP, email collegate. Se il vostro computer potrebbe essere quello compromesso, fatelo da un altro dispositivo: cambiare le password da una macchina infetta significa consegnare anche quelle nuove.
- 03
3. Fate una copia di com'è adesso, prima di toccare qualcosa
File e database, così come sono. È la parte che tutti saltano e che serve a due cose: capire da dove sono entrati, e avere qualcosa da mostrare se emergono obblighi di segnalazione. Ripulire prima cancella le prove per sempre.
- 04
4. Verificate se possono essere stati toccati dati personali
Anagrafiche clienti, ordini, moduli di contatto ricevuti, credenziali degli utenti. Se la risposta è «forse sì», è il momento di sentire il vostro consulente privacy: in questi casi esistono obblighi con tempi molto stretti, e la scadenza decorre da quando ve ne accorgete.
- 05
5. Solo adesso si ripulisce
Ripristino da un backup precedente alla compromissione, aggiornamento di tutto, chiusura del punto d'ingresso. Nell'ordine: prima si capisce come sono entrati, poi si rimette online.
Cosa non fare mai
| Errore | Perché sembra sensato | Cosa provoca |
|---|---|---|
| Ripristinare il backup e basta | Il sito torna a funzionare subito | Il buco è ancora lì: ricompromissione in pochi giorni |
| Cancellare i file strani | Sembra pulizia | Cancella le prove e quasi mai tutto il codice ostile |
| Pagare un riscatto | Sembra la via rapida | Non garantisce nulla e vi segnala come chi paga |
| Cambiare password dal computer infetto | È il più a portata di mano | Le nuove password vengono catturate uguale |
| Rimettere online in fretta | Si perdono ordini | Google può segnalarvi come pericolosi: si perde molto di più |
| Non dire nulla a nessuno | Sembra contenere il danno | Se ci sono dati coinvolti, il silenzio è il problema più grave |
La prima riga è di gran lunga la più frequente. Un backup ripristinato senza aver chiuso il punto d'ingresso è un sito che torna esattamente vulnerabile com'era.
Come sono entrati, quasi sempre
- Un componente o un tema non aggiornato da mesi, con una vulnerabilità nota e pubblica.
- Una password debole o riusata su un altro servizio che è stato violato.
- Un accesso amministrativo di qualcuno che non lavora più con voi e che nessuno ha revocato.
- Il computer di una persona dello staff, compromesso, con le credenziali salvate nel browser.
- Un hosting condiviso dove è stato compromesso un altro sito.
- Un componente scaricato da una fonte non ufficiale, che conteneva già il problema.
Come si torna online davvero
Prima di riaprire al pubblico
- Il punto d'ingresso è stato individuato e chiuso, non solo ipotizzato.
- Tutto è aggiornato all'ultima versione disponibile.
- Le utenze amministrative sono state riviste una per una, e quelle sconosciute rimosse.
- Le password sono nuove, diverse tra loro, e c'è la verifica in due passaggi dove è possibile.
- I backup automatici funzionano e sono conservati fuori dallo stesso server.
- Avete chiesto la revisione a Google, se il sito era stato segnalato.
- Qualcuno controllerà gli aggiornamenti ogni mese, con un nome e cognome.
Il punto in cui questa guida si ferma è chiaro: mettere offline, cambiare le password e fare la copia potete farlo stanotte da soli, e sono le cose che contano di più. Individuare il punto d'ingresso, ripulire il codice, ripristinare da un backup pulito e togliere la segnalazione di Google è un lavoro tecnico che richiede qualcuno che l'abbia già fatto. Se vi serve, scriveteci: la prima cosa che vi chiederemo è se avete fatto la copia del punto 3.