LILLUSTRATOREDi solito te ne accorgi da una di queste tre cose: apri il tuo sito e finisci su una pagina che non c’entra niente; Google o il browser mostrano un avviso rosso, «il sito che stai per visitare potrebbe essere stato compromesso»; oppure te lo dice un cliente, ed è il modo peggiore. Il primo istinto è cancellare, reinstallare, «fare qualcosa». Fermati due minuti: le prime due ore decidono quanto costa uscirne.
Prima di tutto, una domanda
Vuoi solo tornare online, o pensi di denunciare? Sembra strana, ma cambia tutto. Se c’è di mezzo una denuncia — un ex collaboratore, un concorrente, dati rubati — le prove vanno congelate prima di pulire: chi ripara il sito cancella, per forza di cose, le tracce di chi è entrato. In quel caso non toccare niente, chiedi al tuo hosting di salvare uno snapshot del server e cerca un perito forense. Se invece vuoi solo il sito indietro, come il 95 % di chi si trova in questa situazione, vai avanti a leggere.
Le prime due ore
- Cambia le password, tutte e subito: pannello dell’hosting, FTP, amministrazione del sito, e la casella email collegata (spesso l’ingresso è passato da lì). Da un dispositivo pulito, non dal computer che usi sempre, finché non sei sicuro che non c’entri lui.
- Metti il sito in manutenzione se il pannello dell’hosting lo permette: meglio una pagina «torniamo subito» che un sito che infetta i visitatori o manda spam a tuo nome.
- Non cancellare niente. I file infetti sono anche la mappa per capire da dove sono entrati: si toglie l’infezione dopo aver capito la falla, se no domani sei di nuovo qui.
- Recupera le copie di backup — dell’hosting o tue — e guarda le date: serve una copia di prima dell’attacco, e capire quando è successo aiuta anche in questo.
- Se il sito raccoglieva dati delle persone — moduli, prenotazioni, account — segnatelo e dillo a chi ti segue: in certi casi la legge dà 72 ore per avvisare il Garante, e far finta di niente costa più dell’attacco.
Cosa non fare
Non pagare nessun riscatto, mai. Non reinstallare «sopra» sperando che passi: l’infezione quasi sempre sopravvive e la falla resta aperta. E non aspettare: ogni giorno con l’avviso rosso è un giorno in cui Google e i clienti imparano a non fidarsi del tuo indirizzo — e disimparano lentamente.
Come si sistema davvero
Il lavoro fatto bene ha quattro passi, in quest’ordine: capire da dove sono entrati; pulire o ripristinare da una copia sana; chiudere la falla (aggiornamenti, permessi, plugin abbandonati); e riabilitare il sito agli occhi di Google, che è la parte che quasi tutti dimenticano — l’avviso rosso non sparisce da solo, va chiesto il riesame.
È esattamente il servizio che faccio: si chiama Pronto soccorso sito, con la diagnosi a prezzo fisso in 24 ore, i costi scritti chiari prima di partire e, alla fine, una relazione scritta in italiano: cosa è successo, cosa è stato fatto, cosa rischiavi.
Cosa fare adesso
- Cambia le password di hosting, FTP, sito ed email — anche se ti sembra che l’attacco sia «piccolo».
- Cerca i backup e guardane le date prima di toccare i file: senza una copia sana, tutto costa il doppio.
- Fatti la domanda della denuncia prima di far pulire qualsiasi cosa: dopo, le prove non ci sono più.
Se sei in mezzo al problema adesso, scrivimi su WhatsApp: ti dico entro poche ore se posso prendermelo e quando.
