Svolgimento di un intervento: audit, pulizia e manutenzione per sito PrestaShop compromesso

But e perimetro

Questo articolo descrive in modo preciso lo svolgimento di un intervento Securantis su un negozio PrestaShop compromesso: diagnostica, backup mirati, ricerca della porta d’ingresso, pulizia controllata (file, moduli, tema, overrides), verifiche sugli operatori e sugli ordini, indurimento e rapporto finale. L’intervento mira a ripristinare uno stato sicuro e documentato; qualsiasi azione distruttiva (cancellazione definitiva, ripristino da backup) richiede una decisione umana esplicita.

Prerequisiti prima dell’intervento

1. Accesso back‑office PrestaShop (profilo amministratore) e recapiti della persona decisionale.
2. Accesso FTP/SFTP o accesso al file manager dell’hosting (o accesso al pannello tipo Plesk/cPanel se necessario).
3. Backup esistenti: indicare se è disponibile un backup recente (database e file).
4. In caso di intervento a pagamento, validazione e trasmissione sicura degli accessi tramite lo spazio cliente dopo il pagamento (non richiediamo mai password via email o chat).
5. Possibilità di blocco temporaneo del sito in produzione a seconda del rischio (modalità manutenzione o restrizione d’accesso); prevedere una finestra di interruzione se necessario.

Fasi dettagliate dell’intervento (ordine tipico)

1. Diagnostica iniziale e backup mirato

• Stato iniziale: raccolta delle informazioni (versione PrestaShop, versione PHP, moduli attivi, stato SSL, ultime modifiche note).
• Backup mirato: export del database (o copia parziale se il DB è voluminoso) e copia delle directory sensibili (modules, tema, overrides). L’obiettivo è preservare ordini, clienti e catalogo prima di qualsiasi modifica.

2. Analisi dei sintomi e identificazione delle aree compromesse

• Verifica frontale: ricerca di redirect, script iniettati nelle pagine, pagine prodotto o contenuti spam.
• Controllo dei moduli: individuazione di estensioni sconosciute, file aggiunti in moduli noti, moduli obsoleti o vulnerabili.
• Tema e JavaScript: analisi dei template e degli script esterni integrati nel front.
• Overrides: esame delle sovrascritture di classi e controller che possono alterare il comportamento del negozio.
• Account dipendenti: revisione degli account back‑office (utenti amministratori, cronologia accessi, IP recenti).
• Pagamenti & webhooks: verifica dei moduli di pagamento sensibili e delle impostazioni di webhooks o notifiche.

3. Ricerca della porta d’ingresso

• Prioritizzazione: il vettore più probabile (modulo vulnerabile, tema compromesso, dipendente fraudolento, accesso FTP o pannello compromesso, estensione non ufficiale).
• Prove: raccolta di indizi (file aggiunti di recente, tracce di ordini modificati, timestamp, log di accesso). Questi elementi vengono documentati nel rapporto.

4. Pulizia controllata

• Quarantena: isolamento dei file sospetti e messa in quarantena. Securantis non elimina automaticamente: ogni elemento quarantinato è elencato per decisione.
• Rimozione ripristinabile: rimozione di backdoor e script malevoli identificati, sostituzione o riparazione dei file corrotti quando possibile.
• Moduli e tema: disattivazione temporanea dei moduli compromessi; proposta di aggiornamento o sostituzione con una versione pulita e compatibile.
• Overrides: ripristino o neutralizzazione delle sovrascritture pericolose, privilegiando la preservazione del catalogo e degli ordini.

5. Verifiche operative (ordini & pagamenti)

• Integrità degli ordini: controllo di modifiche sospette (indirizzi, importi, stati).
• Pagamenti: verifica dei log di integrazione pagamenti e dei webhooks per assicurarsi che non sia stato installato alcun redirezionatore o perdita di dati.
• Notifiche clienti: revisione degli invii mail automatizzati se sono state rilevate campagne fraudolente.

6. Indurimento e misure preventive

• Aggiornamenti: applicazione degli aggiornamenti compatibili con PrestaShop e dei moduli sicuri.
• Accessi: rotazione delle password amministrative, FTP, database e, se necessario, chiavi API (trasmissione degli accessi tramite lo spazio cliente sicuro dopo validazione commerciale).
• Protezione: raccomandazione di attivare le protezioni Securantis disponibili (pare‑fuoco WAF, 2FA sugli account amministratori, reCAPTCHA per moduli sensibili, quarantena manuale).
• Cron & token: verifica e rigenerazione dei token di automazione se compromessi.

7. Test finali e rapporto

• Percorso d’ordine: test completo d’acquisto dal carrello alla conferma per assicurarsi dell’assenza di redirect o iniezioni.
• Test back‑office: accesso, modifica prodotto, creazione ordine, invio mail.
• Rapporto dettagliato: sintesi delle azioni, prove raccolte, file messi in quarantena, raccomandazioni e piano di indurimento. Il rapporto elenca inoltre gli elementi che richiedono una decisione manuale (ripristini, cancellazioni definitive).

Risultato atteso

• Negozio funzionante senza redirect né script malevoli visibili.
• Moduli e tema verificati o sostituiti con versioni pulite e compatibili.
• Account dipendenti legittimi confermati; accessi compromessi revocati.
• Rapporto esaustivo che descrive la causa probabile, le azioni effettuate e le raccomandazioni operative.

Impostazioni prudenti e decisioni umane

• Qualsiasi cancellazione definitiva di un file o ripristino da backup è soggetta a validazione.
• L’eventuale messa offline temporanea può essere proposta se il rischio è elevato; la decisione spetta al responsabile del sito.
• Proponiamo correzioni non distruttive in via prioritaria per limitare l’impatto operativo.

Errori frequenti e punti di attenzione

• Ignorare gli overrides: le sovrascritture possono nascondere backdoor. Verificate sistematicamente gli overrides.
• Aggiornare senza testare: un aggiornamento di modulo o del core non testato può rompere personalizzazioni. Testate sempre in preproduzione se possibile.
• Non cambiare gli accessi: lasciare account/FTP compromessi senza rotazione espone a recidiva immediata.

Pronto intervento (se il problema persiste)

• Se i redirect persistono: verificare le regole server (htaccess/nginx) e la cache CDN/Edge.
• Se il back‑office è bloccato: revocare le sessioni amministrative e forzare il reset delle password tramite canali sicuri.
• Se gli ordini sono alterati: ripristinare la copia mirata del database dopo validazione e confrontarla con il dump iniziale per isolare le modifiche malevole.

Precauzioni legali e operative

• Non chiediamo mai l’invio di password via email. Trasmettete gli accessi solo tramite lo spazio cliente sicuro dopo accordo commerciale.
• Se dati clienti sensibili sembrano compromessi, seguite gli obblighi legali locali (notifica alle autorità competenti/GDPR se applicabile) e conservate i log d’intervento.

Quando contattare il supporto Securantis

• Prima dell’intervento se avete vincoli di accesso o finestre di manutenzione.
• Immediatamente se osservate nuove iniezioni dopo l’intervento.
• Per qualsiasi decisione relativa a cancellazione definitiva o ripristino da backup: contattate il supporto per pianificare e documentare l’operazione.

Informazioni aggiuntive utili da fornire all’avvio

• Versione di PrestaShop (1.7.x, 8.x, 9.x).
• Elenco dei moduli di pagamento e moduli di terze parti installati.
• Disponibilità di un backup completo recente e finestra di manutenzione possibile.

Conclusione

L’intervento Securantis su PrestaShop segue un approccio metodico: diagnostica, backup, quarantena, pulizia controllata, verifiche operative e indurimento. Privilegiamo la sicurezza operativa e la preservazione dei dati di business. Qualsiasi azione distruttiva è soggetta a decisione umana e documentata nel rapporto finale. Per avviare un intervento o ottenere un preventivo, contattate il supporto tramite lo spazio cliente.