Perché occorre agire con metodo
Scoprire che il proprio sito WordPress è stato violato provoca spesso reazioni impulsive: eliminare file, cambiare la sola password dell’admin o ripristinare a caso. Tali azioni possono peggiorare la situazione compromettendo dati o eliminando tracce utili per l’analisi. Un intervento metodico aumenta le probabilità di recupero senza perdita e limita la finestra di esposizione.
Gli obiettivi sono neutralizzare il codice malevolo, ripristinare l’integrità del sito e impedire reinfezioni. Per siti WooCommerce o integrazioni con PrestaShop, preservare i dati dei clienti e lo storico ordini richiede particolare attenzione: non manipolare il database di produzione senza backup completo e verificato.
Isolare il sito e proteggere gli utenti
Prima di ogni cambiamento, attiva la modalità manutenzione e, se possibile, limita accessi via IP. Su hosting condiviso usa regole .htaccess o configurazioni NGINX per bloccare il traffico indesiderato. Per e‑commerce avvisa i clienti in modo discreto e sospendi temporaneamente i pagamenti.
Cambia immediatamente password critiche (pannello hosting, FTP/SFTP, database, account WordPress admin) da un dispositivo sicuro. Se l’attaccante ha accesso agli account, il cambio password da un host compromesso può essere inutile; usa sempre una macchina e una rete fidate.
Backup: la rete di sicurezza
Esegui un backup completo (file e database) prima di cancellare qualsiasi cosa. Anche una copia compromessa è fondamentale per analisi forensi, recupero dati e confronto dopo il ripristino. Conserva le copie su supporti esterni o cloud sicuri e mantieni più versioni storiche.
Individua il backup precedente alla compromissione. Se possibile ripristinare a quello stato, pianifica l’operazione in modo da non perdere contenuti o ordini legittimi creati dopo la data della copia.
Rilevazione e inventario dei sintomi
Cerca segnali tipici: file modificati di recente, nuovi utenti admin, redirect sospetti, contenuti iniettati, invii massivi di email o rallentamenti marcati. Per WordPress verifica temi e plugin: controlla date di modifica e confronta checksum con le versioni ufficiali.
Esegui scanner di sicurezza e controlli di integrità da una workstation pulita per ottenere report. I log server (access.log, error.log) e i log FTP sono essenziali per ricostruire la sequenza dell’attacco. Se sono stati sottratti dati clienti, verifica gli obblighi normativi come il GDPR.
Pulizia sicura dei file infetti
Non cancellare a casaccio. Elenca prima i file modificati e confrontali con i pacchetti originali. Per WordPress reinstalla temi e plugin dalle fonti ufficiali invece di modificare file sospetti manualmente. Rimuovi plugin deprecati o inutilizzati che potrebbero essere vettori di attacco.
Gli upload possono nascondere backdoor, soprattutto nella cartella wp‑content/uploads. Mantieni i media legittimi ma rimuovi file eseguibili inattesi. Limita i tipi di file caricabili e elimina i file PHP dalle cartelle di upload.
Correzione del database e degli account
Controlla wp_users per identificare account admin sospetti. Evita di eliminare account senza backup e tracciamento dell’attività: rinomina provvisoriamente o cambia la password e forza il logout. Cerca codice ofuscato (base64) in wp_options o nei contenuti.
Non eseguire query SQL dirette senza competenza: esporta il database, lavora offline, valida le modifiche e poi importa. Nei siti WooCommerce presta attenzione a ordini e metadati per non compromettere la cronologia transazioni.
Individuare la causa dell’intrusione
Capire il vettore è fondamentale per evitare reinfezioni: plugin vulnerabile, tema mal programmato, credenziali FTP compromesse, versione PHP obsoleta o password deboli. Usa i log e la cronologia dei file per ricostruire l’accesso. Controlla banche dati di vulnerabilità (CVE, WPScan) e sostituisci componenti non mantenuti.
Hardening e prevenzione post‑incidente
Dopo il ripristino, rafforza il sito: attiva l’autenticazione a due fattori per account privilegiati, applica il principio del minimo privilegio, imposta permessi file corretti (644 per file, 755 per cartelle), abilita TLS e header di sicurezza. Implementa un WAF o un servizio CDN con filtraggio.
Pianifica aggiornamenti regolari e testali in staging prima di applicarli in produzione. Per i negozi, integra controlli antifrode e monitora pattern anomali negli ordini.
Monitoraggio continuo e quando chiamare un professionista
Mantieni un controllo stretto per almeno 30 giorni: verifica log, attiva allarmi per modifiche file e accessi admin, esegui scan automatici. Se trovi prove di esfiltrazione di dati, backdoor persistenti o accesso a livello server, coinvolgi subito un team di risposta agli incidenti o forense.
Securantis offre strumenti e consulenza per migliorare la sicurezza di WordPress e WooCommerce, ma a volte è necessario un intervento forense esterno per incidenti complessi.
Checklist prioritaria (eseguire in ordine)
-
Eseguire un backup completo e conservarlo fuori dal server prima di qualunque modifica.
-
Isolare il sito (manutenzione, restrizione IP) e informare gli stakeholder.
-
Cambiare password critiche da un dispositivo sicuro e revocare le sessioni.
-
Inventario: scanner, elenco file modificati, nuovi utenti e revisione dei log.
-
Reinstallare temi/plugin da fonti ufficiali e rimuovere componenti non necessari.
-
Controllare e correggere il database in ambiente sicuro offline.
-
Applicare patch, aggiornamenti e misure di hardening (2FA, WAF, permessi).
-
Monitorare intensamente dopo il ripristino e pianificare un audit se necessario.
Conclusione
Ripulire un sito WordPress compromesso senza perdere i dati richiede rigore: isolare, salvare prove, analizzare, pulire e rinforzare. Le copie di sicurezza e i log sono risorse vitali per il recupero e la prevenzione. Reinstallare componenti da fonti affidabili e validare correzioni al database limita il rischio di perdita accidentale.
La prevenzione è la strategia più efficace: aggiornamenti regolari, gestione attenta degli account, backup frequenti e monitoraggio riducono notevolmente rischi e impatti. Quando l’incidente è complicato o coinvolge dati sensibili, rivolgersi a specialisti per una risposta forense è la scelta più prudente.
