Un sito WordPress compromesso non sempre lo dà a vedere. A volte l’attacco è plateale — apri il tuo sito e trovi un e-commerce straniero al posto tuo — ma molto più spesso è silenzioso: il sito sembra normale ai tuoi occhi, mentre serve spam ai visitatori o a Google. In officina vediamo compromissioni ogni settimana, e quasi sempre il proprietario se ne accorge settimane dopo l’attacco. Ecco i segnali da controllare, dal più evidente al più subdolo.
## 1. Il sito mostra contenuti che non hai mai pubblicato
Pagine in lingue straniere, prodotti mai messi in vendita, articoli su farmaci o scommesse. È il segnale più chiaro: qualcuno ha accesso in scrittura al tuo sito. Attenzione: spesso queste pagine non sono raggiungibili dal menu — le trovi solo cercando il tuo dominio su Google con `site:iltuosito.it`.
## 2. I visitatori vengono reindirizzati altrove
Tu apri il sito e va tutto bene; un visitatore da Google o da mobile finisce su un sito di spam. Molti malware distinguono i visitatori: al proprietario (che ha i cookie di amministratore) mostrano il sito normale, agli altri il redirect. Per verificarlo, apri il sito da una finestra in incognito o da un altro dispositivo, arrivandoci da una ricerca Google.
## 3. Google ti segnala: “Questo sito potrebbe essere stato compromesso”
Se sotto il tuo risultato di ricerca compare questo avviso — o peggio, la schermata rossa di avviso prima di entrare — Google ha già rilevato il problema. Il traffico crolla nel giro di ore. La segnalazione non sparisce da sola: serve la bonifica e poi una richiesta di riesame in Search Console.
## 4. Non riesci più ad accedere alla bacheca
Password che non funziona più, utenti amministratori nuovi che non hai creato tu, email di reset che non arrivano. Gli attaccanti spesso cambiano le credenziali o creano utenze proprie con nomi anonimi (“admin2”, “support”, “wp_user”).
## 5. Il tuo hosting ti scrive (o ti sospende)
I provider scansionano i server: se rilevano malware o invio massivo di spam dal tuo spazio, ti avvisano — o sospendono il sito direttamente. Non ignorare mai queste email: raramente sono falsi allarmi.
## 6. Crollo improvviso delle visite (o picco anomalo)
Un crollo può indicare la blacklist di Google; un picco strano può indicare che il tuo sito sta servendo contenuti spam indicizzati. In entrambi i casi, Search Console è il posto dove guardare: pagine indicizzate che non riconosci sono una conferma quasi certa.
## 7. File modificati che non riconosci
Il segnale più tecnico ma più affidabile. Se hai accesso FTP o al file manager dell’hosting, ordina i file per data di modifica: file PHP toccati di recente in cartelle dove non hai fatto nulla (soprattutto `wp-content/uploads`, che dovrebbe contenere solo media) sono il classico nascondiglio delle backdoor.
## Cosa fare (e cosa NON fare) se riconosci questi segnali
**Da fare subito:**
– Cambia le password (WordPress, FTP, hosting, database) da un dispositivo pulito
– Metti da parte un backup dello stato attuale: servirà per l’analisi forense e per recuperare i contenuti
– Annota tutto quello che hai notato e quando: aiuta a datare l’attacco
**Da NON fare:**
– **Non ripristinare semplicemente un backup.** Se la falla resta aperta, l’attacco si ripete in giorni. E se il backup è successivo all’infezione, contiene già il malware.
– **Non cancellare i file sospetti a mano.** Le backdoor sono sempre più di una: eliminarne una avvisa l’attaccante e lascia le altre al loro posto.
– **Non aspettare.** Ogni ora aumenta il danno: blacklist, spam inviato a tuo nome, dati esposti.
## La bonifica seria: come funziona
Una bonifica professionale non si limita a pulire: individua il punto di ingresso (quasi sempre un plugin non aggiornato con vulnerabilità nota, o credenziali deboli), rimuove malware e **tutte** le backdoor, recupera i contenuti originali, chiude la falla e mette in sicurezza l’installazione. Solo a quel punto ha senso la richiesta di riesame a Google.
È esattamente il lavoro che facciamo con la [riparazione siti WordPress hackerati](https://fixotron.it/riparazione-sito-hackerato): presa in carico in poche ore, diagnosi gratuita, preventivo chiaro prima di iniziare. E dopo la bonifica, [messa in sicurezza](https://fixotron.it/sicurezza-wordpress) e [manutenzione](https://fixotron.it/manutenzione-wordpress) per non tornare mai più in questa pagina.
**Il tuo sito mostra uno di questi segnali? Non aspettare domani: [richiedi un intervento urgente](https://fixotron.it/riparazione-sito-hackerato).**