Apri il tuo sito e trovi una pagina che non hai mai visto. Oppure è un cliente a scriverti che, cliccando il tuo link da Google, è finito su un sito di scommesse. O ancora, nei risultati di ricerca compare la scritta "Questo sito potrebbe essere stato violato".
Se sei qui probabilmente il danno è già fatto. La buona notizia è che un sito hackerato si può quasi sempre recuperare, a patto di muoversi nell'ordine giusto. In questa guida ti spiego cosa fare nelle prime ore, come ripulire il sito e come evitare che succeda di nuovo.
Come capire se il sito è stato hackerato
Non sempre l'attacco è evidente. Anzi, gli attacchi più pericolosi sono proprio quelli che non vedi. Questi sono i segnali più comuni:
Redirect strani: chi arriva da Google o da smartphone viene mandato su altri siti, mentre tu da computer vedi tutto normale.
Pagine in giapponese o di farmaci nei risultati di Google: cerca
site:tuosito.itsu Google e guarda se compaiono pagine che non hai mai creato.Avvisi del browser o di Google: "Sito ingannevole", "Questo sito potrebbe essere stato violato", oppure un avviso nella sezione Problemi di sicurezza di Google Search Console.
Utenti amministratori che non conosci nel pannello di WordPress.
Email dal tuo hosting che segnalano malware, invio di spam o sospensione dell'account.
Sito improvvisamente lento o traffico che crolla senza un motivo apparente.
Un caso recente fa capire quanto possano essere subdoli questi attacchi. Ad aprile 2026 si è scoperto che più di 30 plugin WordPress, comprati da un nuovo proprietario, contenevano una backdoor rimasta dormiente per circa otto mesi. Una volta attivata, il codice mostrava pagine di spam solo a Googlebot: il proprietario del sito vedeva tutto pulito, mentre Google indicizzava contenuti spazzatura. E aggiornare il plugin non bastava, perché le modifiche fatte ai file restavano lì.
Se ti riconosci in uno di questi segnali, segui i passi qui sotto nell'ordine.
Sito hackerato: i 7 passi da fare subito
1. Non cancellare nulla (ancora)
La reazione istintiva è eliminare i file sospetti o ripristinare un backup al volo. Aspetta. Prima fai una copia completa del sito così com'è, file e database. Ti serve per capire da dove sono entrati: senza questa informazione, rischi di ripulire il sito e ritrovarti hackerato la settimana dopo dallo stesso buco.
2. Metti il sito offline o in manutenzione
Se il sito sta reindirizzando i visitatori su pagine malevole o sta rubando dati, ogni minuto online è un danno per i tuoi clienti e per la tua reputazione su Google. Una pagina di manutenzione temporanea è il male minore.
3. Cambia tutte le password
Non solo quella di WordPress. Cambia:
password del pannello hosting e dell'FTP/SFTP
password del database (e aggiornala nel file
wp-config.php)password di tutti gli utenti amministratori
le chiavi segrete (salt) di WordPress, così da scollegare chiunque sia ancora loggato
eventuali chiavi API collegate al sito (pagamenti, email, CRM)
Fallo da un computer pulito: se le credenziali sono state rubate da un PC infetto, cambiarle dallo stesso PC non serve.
4. Trova da dove sono entrati
È il passo che quasi tutti saltano, ed è il motivo per cui tanti siti vengono reinfettati. Le porte d'ingresso più comuni sono:
plugin o temi non aggiornati (o comprati da fonti non ufficiali, i cosiddetti "nulled")
password deboli o riutilizzate
plugin abbandonati o passati di mano a nuovi sviluppatori
hosting condiviso con altri siti già compromessi
form di caricamento file non protetti
Controlla i log dell'hosting, la data di modifica dei file e l'elenco degli utenti. Se il sito è importante per il tuo lavoro, qui conviene farsi aiutare: un'analisi fatta bene ti dice esattamente cosa è stato toccato.
5. Ripulisci file e database
Su un sito WordPress, i punti da controllare sono:
wp-config.phpe.htaccess: sono i file preferiti per nascondere codice malevolo e redirect.File PHP nella cartella
uploads: lì dovrebbero esserci solo immagini e documenti.File che imitano quelli di WordPress con nomi quasi uguali (per esempio
wp-comments-posts.phpinvece diwp-comments-post.php).Utenti amministratori e operazioni pianificate (cron) nel database.
Il core di WordPress: il modo più sicuro è sostituirlo interamente con una copia scaricata da wordpress.org.
Elimina i plugin che non usi e reinstalla da zero quelli che usi, scaricandoli dalle fonti ufficiali.
6. Aggiorna tutto e chiudi il buco
Aggiorna WordPress, plugin, tema e versione di PHP. Poi chiudi la porta che hai trovato al passo 4: se non l'hai trovata, il lavoro non è finito. Attiva l'autenticazione a due fattori per gli amministratori e limita i tentativi di login.
7. Chiedi a Google di ricontrollare il sito
Una volta pulito il sito, entra in Google Search Console, apri la sezione Problemi di sicurezza e richiedi una revisione. Rimuovi anche le pagine spam indicizzate con lo strumento Rimozioni. Di solito Google toglie l'avviso nel giro di qualche giorno, ma solo se il sito è davvero pulito: se trova ancora tracce, la revisione viene respinta.
Se le tue pagine non tornano in classifica dopo la pulizia, leggi anche perché il tuo sito non si vede su Google.
Se sono stati rubati dati dei clienti
Se sul sito ci sono form di contatto, account utente o un e-commerce, l'attacco potrebbe aver esposto dati personali. In questo caso il GDPR prevede che la violazione venga notificata al Garante Privacy entro 72 ore da quando te ne accorgi, salvo che sia improbabile un rischio per le persone coinvolte. Nei casi più gravi vanno avvisati anche gli interessati. Non sottovalutare questo punto: le sanzioni per una notifica mancata possono pesare più dell'attacco stesso.
Quanto costa ripulire un sito hackerato?
Dipende da quanto è profonda l'infezione e da quanto è vecchio il sito. Una pulizia su un sito curato e aggiornato richiede poche ore. Un sito fermo da anni, con decine di plugin e senza backup, può richiedere giorni, e a volte conviene rifarlo.
Il caso che vedo più spesso è proprio questo: un sito vecchio, lento e difficile da aggiornare, che viene hackerato perché nessuno lo segue più. Se ti riconosci, dai un'occhiata a come rinnovare un sito vecchio e lento. È anche il motivo per cui ho deciso di passare da WordPress a Laravel per il sito di Techfly.
Come evitare che succeda di nuovo
La prevenzione costa molto meno della bonifica. Le basi sono:
Aggiornamenti regolari di WordPress, plugin e tema.
Pochi plugin, scaricati solo da fonti ufficiali e controllati quando cambiano proprietario.
Backup automatici salvati fuori dal server, e provati almeno una volta.
Autenticazione a due fattori per tutti gli amministratori.
HTTPS configurato bene: se il browser segnala il tuo sito come non sicuro, leggi cause e soluzioni.
Un test di sicurezza periodico (penetration test), per trovare i punti deboli prima che li trovi qualcun altro.
Ho raccolto altri consigli pratici nelle migliori pratiche per la sicurezza su WordPress.
Domande frequenti
Come faccio a sapere se il mio sito è stato hackerato?
Cerca site:tuosito.it su Google e controlla se ci sono pagine che non hai creato, apri il sito da smartphone e da una finestra in incognito, e guarda la sezione Problemi di sicurezza di Google Search Console. Utenti admin sconosciuti e avvisi dell'hosting sono altri segnali chiari.
Basta ripristinare un backup?
Non sempre. Se non sai quando è avvenuto l'attacco, il backup potrebbe essere già infetto. E se non chiudi la falla da cui sono entrati, il sito verrà compromesso di nuovo.
Il mio sito è piccolo: perché dovrebbero attaccarlo?
Quasi nessun attacco è personale. Sono programmi automatici che scansionano milioni di siti cercando plugin vulnerabili. Il tuo sito serve a inviare spam, ospitare pagine truffa o sfruttare la tua reputazione su Google.
Perdo le posizioni su Google se il sito è stato hackerato?
Può succedere, soprattutto se Google mostra l'avviso di sicurezza o ha indicizzato pagine spam. Se pulisci il sito in fretta e chiedi la revisione, di solito le posizioni tornano.
Devo avvisare qualcuno?
Se sono stati esposti dati personali di clienti o utenti, sì: il GDPR prevede la notifica al Garante entro 72 ore. Se la tua azienda rientra nella NIS2, ci sono anche obblighi di notifica verso il CSIRT Italia.
