Meu site foi invadido: o que fazer (guia para WordPress)

Site redirecionando para páginas de apostas ou remédios, aviso vermelho de "site perigoso", página em branco: são sinais típicos de invasão. O WordPress é a plataforma mais usada na web, presente em mais da metade dos sites cujo gerenciador de conteúdo é conhecido (W3Techs), e por isso é um dos alvos mais visados por ataques automatizados. Abaixo está o roteiro que usamos para recuperar sites, como no caso dos 25 sites WordPress restaurados.

Sinais de que o site foi invadido

Visitantes são redirecionados para outro endereço, às vezes só no celular ou só quem vem do Google.
O navegador ou o Google mostram aviso de site perigoso ou enganoso.
Aparecem páginas, links ou usuários administradores que ninguém criou.
Página em branco, erro 500/503 ou site fora do ar sem mudança recente.
A hospedagem suspende a conta por envio de spam ou uso excessivo.

Para conferir se o Google já marcou o domínio, use a consulta de status do site da Navegação segura.

1. Conter: os primeiros passos

Troque as senhas a partir de um aparelho limpo: painel do WordPress, hospedagem, FTP/SFTP, banco de dados e e-mail do administrador.
Remova usuários administradores que você não reconhece.
Guarde uma cópia dos arquivos e do banco como estão agora. Ela ajuda a descobrir por onde entraram.
Não reinstale nem apague tudo às pressas: o malware costuma ficar em temas, plugins, uploads e no banco, e volta se a causa não for corrigida.
Se o site recebe pagamentos ou cadastros, considere colocá-lo em manutenção até a limpeza.

2. Limpar e restaurar

Compare os arquivos do núcleo do WordPress com uma cópia original da mesma versão e substitua o que foi alterado.
Revise temas e plugins: remova os que não usa, reinstale os demais a partir da fonte oficial e desconfie de versões "nulled" (piratas).
Procure código estranho em wp-config.php, .htaccess, pasta de uploads e no banco (scripts injetados em posts e opções).
Restaure de um backup de antes da invasão, se houver, e só depois atualize tudo.
Se a hospedagem é instável ou já foi comprometida, migre para um servidor novo, reapontando o DNS.

3. Voltar a ser confiável para o Google

Com o site limpo, entre no Google Search Console, abra o relatório de problemas de segurança e peça a revisão. O aviso de site perigoso só sai depois que o Google confirma a limpeza. Confira também se não foram criadas páginas de spam indexadas com o seu domínio.

4. Evitar uma nova invasão

WordPress, temas e plugins atualizados, com atualizações automáticas quando possível.
Backup automático fora da hospedagem, com restauração testada.
Senhas fortes e autenticação em dois fatores no painel; uma conta por pessoa.
WAF (firewall de aplicação), como o do Cloudflare, para filtrar robôs e requisições maliciosas antes de chegarem ao servidor. Saiba mais em segurança de sites.
HTTPS ativo e registros de DNS revisados.

E a LGPD?

Se o site guardava dados pessoais (formulários, cadastros, pedidos) e houve acesso indevido, a empresa precisa avaliar o risco aos titulares. Se for relevante, a comunicação à ANPD deve ser feita em até 3 dias úteis, conforme a Resolução CD/ANPD nº 15/2024. Registre o que aconteceu, quando e quais medidas foram tomadas.

Precisa de ajuda?

A Codlinx recupera sites invadidos ou fora do ar: remoção de malware, restauração, migração de hospedagem e WAF no Cloudflare. O atendimento é de segunda a sexta, das 8h às 20h, com retorno em até 24 horas úteis. Fale com a gente.

Perguntas frequentes

Como saber se o meu site foi invadido?

Os sinais mais comuns são redirecionamento para outros endereços, aviso de site perigoso no navegador ou no Google, páginas e usuários que ninguém criou, página em branco ou erro 500/503 e suspensão da conta pela hospedagem.

Posso só reinstalar o WordPress e pronto?

Não é suficiente. O código malicioso costuma ficar em temas, plugins, uploads e no banco de dados, e reinstalar às pressas pode apagar a cópia que ajudaria a entender a invasão. Guarde uma cópia, limpe e restaure a partir de arquivos íntegros.

O Google marcou meu site como perigoso. Como tiro o aviso?

Depois de limpar o site, peça a revisão no relatório de problemas de segurança do Google Search Console. O aviso só sai depois que o Google confirma que o site está limpo.

O backup da hospedagem resolve?

Ajuda, se for de antes da invasão e estiver íntegro. Mesmo assim, é preciso corrigir a falha que permitiu o ataque, ou o site é invadido de novo.

Um WAF evita novas invasões?

Reduz bastante o risco, filtrando robôs e requisições maliciosas antes de chegarem ao servidor. Mas não substitui atualizações, backup e senhas fortes.

Preciso avisar a ANPD?

Se o site guardava dados pessoais, como cadastros, formulários ou pedidos, e o incidente puder causar risco ou dano relevante aos titulares, a comunicação à ANPD deve ser feita em até 3 dias úteis (Resolução CD/ANPD nº 15/2024).