Mantieni la calma e segui il piano d’emergenza
Un intervento frettoloso può peggiorare la situazione. Annota ora e sintomi (pagine manomesse, redirect, file sconosciuti) e procedi con ordine.
Conservare le prove
-
Esegui screenshot datati e salva le pagine compromesse.
-
Esporta i log (server, PHP, database).
-
Fai una copia completa del sito e del database e salvala separatamente per l’analisi forense.
Queste prove servono per analisi, ripristino e, se necessario, segnalazioni legali.
Limitare immediatamente l’esposizione
-
Attiva la modalità manutenzione o una pagina statica.
-
Cambia password FTP/SFTP, SSH, database e accesso hosting da una macchina pulita.
-
Revoca e rigenera chiavi API esposte.
-
Ferma eventuali job cron sospetti o processi dannosi.
Contatta l’host o un professionista
L’hosting può isolare l’account e fornire log. Se non sei sicuro, coinvolgi un esperto in incident response per evitare errori.
Usa una postazione pulita per le operazioni critiche
Solo da un PC aggiornato e senza malware modifica password e chiavi. Evita reti pubbliche.
Individuare il punto d’ingresso
-
Controlla i log per IP sospette e tentativi di brute force.
-
Ispeziona file modificati di recente e upload anomali.
-
Per WordPress: verifica plugin/tema vulnerabili, utenti admin non riconosciuti e wp-config.php.
-
Per PrestaShop 1.7–9: controlla override, moduli terzi e settings.inc.php.
Non cancellare subito file sospetti senza un’analisi: i backdoor possono restare attivi.
Ripristinare da backup verificati
-
Usa un backup testato e precedente all’incidente. Non ripristinare backup potenzialmente compromessi.
-
Se possibile, ripristina in staging e verifica la rimozione della vulnerabilità.
-
Dopo il ripristino, cambia tutte le credenziali e revoca sessioni e token.
Correggere la causa e rafforzare il sito
-
Applica aggiornamenti a CMS, plugin, temi e dipendenze.
-
Rimuovi estensioni non manutenute.
-
Abilita l’autenticazione a più fattori per gli admin.
-
Applica il principio del minimo privilegio ai permessi dei file e agli account.
-
Integra WAF e rate limiting.
Monitoraggio e comunicazione
-
Attiva logging e monitoraggio continuo (integrità file, alert accessi).
-
Notifica gli utenti se dati sensibili sono stati esposti, rispettando obblighi legali.
-
Pianifica un audit post‑incidente per migliorare procedure.
Checklist pratica
-
Screenshot e export dei log
-
Isolamento del sito
-
Cambio credenziali da postazione pulita
-
Contatto host o esperto
-
Identificazione del punto d’ingresso
-
Ripristino da backup testato
-
Aggiornamenti e rimozione plugin pericolosi
-
MFA e permessi ridotti
-
Monitoraggio rinforzato e audit post‑incidente
Conclusione
Affrontare un sito violato richiede metodo: conservare prove, limitare danni, ripristinare da backup sicuro, correggere la vulnerabilità e monitorare. Quando necessario, affidati a professionisti. Backup regolari e aggiornamenti sono la miglior prevenzione.