Sito web hackerato? Riconoscere i segnali e reagire correttamente

Una sito web compromesso si riconosce spesso da nuovi file o file modificati, account utente sconosciuti, reindirizzamenti verso pagine esterne o pagine spam nei risultati di Google. Chi sospetta un attacco dovrebbe agire in quest’ordine: mettere in sicurezza le tracce, scollegare il sito dalla rete, cambiare gli accessi, individuare e chiudere la causa, ripristinare in modo pulito. Se sono coinvolti dati personali, l’autorità per la protezione dei dati deve essere informata di norma entro 72 ore.

Dopo vulnerabilità critiche come PHP2Shell gli aggressori cercano in massa e in modo automatizzato di prendere il controllo di server non aggiornati. Spesso in questo processo creano una cosiddetta Webshell a partire da: un piccolo file tramite cui possono controllare il server in un secondo momento – anche dopo un aggiornamento.

Segnali di un attacco

• Nuovi file PHP o file PHP modificati di recente che nessuno ha creato, soprattutto nelle cartelle di upload o cache.
• Amministratori o utenti sconosciuti nel CMS.
• Reindirizzamenti a siti pubblicitari, di casinò o farmaceutici, spesso solo per i visitatori provenienti da Google o da dispositivi mobili.
• Pagine estranee nei risultati di Google sotto il vostro dominio (ricerca „site:ihre-domain.de“).
• Avvisi di Google, del vostro host o del vostro browser.
• Messaggi di errore frequenti o crash, improvviso aumento del carico del server.
• Sul server: shell, strumenti di download come curl o wget o altri processi avviati dal server web.

Il BSI indica per PHP2Shell proprio questi indicatori generali: processi sospetti del server web, file PHP nuovi o modificati e possibili web shell, nonché richieste di upload anomale nei log, seguite da errori di memoria o da errori ripetuti con codice 500.

Cosa dovete fare subito

1. Mantenere la calma e documentare: Cosa è stato notato, quando, da chi?
2. Mettere in sicurezza le tracce: Salvare i file di log e una copia dei file prima che qualcosa venga eliminato. Serviranno per individuare la causa.
3. Mettere offline il sito web oppure attivare una modalità di manutenzione, in modo che non si verifichino ulteriori danni.
4. Modificare tutti gli accessi: amministratori CMS, hosting, FTP/SFTP, database, e-mail. Idealmente da un dispositivo pulito.
5. Individuare e chiudere la causa: PHP, plugin o tema obsoleti? Senza questo, l’aggressore tornerà.
6. Ripristinare in modo pulito: da un backup precedente all’attacco, quindi installare tutti gli aggiornamenti. Eliminare solo il codice dannoso raramente basta.
7. Osservare: Nelle settimane successive tenere sotto controllo log e file.

Obbligo di notifica ai sensi del GDPR

Se gli aggressori hanno potuto accedere a dati personali – ad esempio dati dei clienti nello shop, moduli di contatto o candidature –, potrebbe trattarsi di una violazione della protezione dei dati. Ai sensi dell’Art. 33 GDPR deve essere notificata senza ingiustificato ritardo e, possibilmente, entro 72 ore all’autorità di controllo competente, salvo che sia improbabile che comporti un rischio per gli interessati. Coinvolgete tempestivamente il vostro responsabile della protezione dei dati. Questo contributo non sostituisce una consulenza legale.

Prevenire è più conveniente

La maggior parte degli attacchi ai siti web delle PMI sfrutta falle note in software obsoleto. Aggiornamenti regolari, backup separati e pochi accessi ben protetti prevengono la maggior parte degli incidenti. Le misure più importanti sono riportate in Sicurezza del sito web per le PMI: 10 misure.

Non siete sicuri se il vostro sito web, il vostro negozio online o i vostri dispositivi siano interessati? Contattateci.Controlliamo i vostri sistemi, installiamo gli aggiornamenti e vi diciamo con sincerità cosa fare – anche se dovesse risultare che va tutto bene. Per iniziare è sufficiente un breve colloquio.

Domande frequenti

Come riconosco che il mio sito web è stato hackerato?

Da file o utenti sconosciuti, reindirizzamenti verso pagine esterne, pagine spam nei risultati di Google, avvisi di Google o dell’hosting e processi insoliti sul server.

Basta eliminare il codice dannoso?

Raramente. Gli aggressori lasciano spesso più backdoor. Più sicuro è il ripristino da un backup pulito, la chiusura della causa e la modifica di tutti gli accessi.

Devo segnalare un attacco hacker?

Se possono essere coinvolti dati personali, in genere sì: all’autorità di controllo competente per la protezione dei dati, senza ritardo e possibilmente entro 72 ore dalla scoperta (art. 33 GDPR). In caso di reati, può essere utile anche una denuncia alla polizia.

Stato: ottobre 2026. Nessuna consulenza legale. Fonte indicatori: Avviso di sicurezza BSI su PHP2Shell.