Site invadido: os sinais de alerta e o que fazer nas primeiras horas

Um cliente avisa que, ao clicar no seu link, foi parar num site de apostas. Ou o Google mostra um aviso vermelho antes de abrir a sua página. A primeira reação é um frio na barriga, e é normal. Mas descobrir que tem um site WordPress invadido não é o fim do mundo. É um problema sério, com caminho conhecido pra resolver.

Neste artigo, você vai ver os sinais mais comuns de invasão e o que fazer nas primeiras horas, com calma e na ordem certa. Agir com pressa costuma atrapalhar mais do que ajudar.

Sinais de que seu site WordPress foi invadido

Nem toda invasão é escancarada. Muitas são feitas pra passar despercebidas, porque o invasor quer usar o seu site por bastante tempo. Fique de olho nestes sinais:

• Redirecionamento estranho: o visitante cai em outro site, às vezes só no celular ou só quando vem do Google. Por isso, você pode não ver acessando direto.
• Alerta do Google: aviso de “site enganoso” no navegador, ou mensagem de problema de segurança no Search Console (a ferramenta gratuita do Google pra donos de site).
• Páginas em outro idioma: ao pesquisar o seu domínio no Google, aparecem páginas em japonês, russo ou de produtos que você não vende.
• Administradores desconhecidos: usuários com perfil de administrador que ninguém da equipe criou.
• Lentidão súbita: o site fica pesado de uma hora pra outra, sem mudança da sua parte. Pode ser o servidor sendo usado pra outra coisa.
• Spam saindo do servidor: seus e-mails começam a cair no lixo eletrônico dos clientes, ou a hospedagem avisa sobre envio em massa.

Um sinal sozinho nem sempre é invasão. Lentidão pode ser um plugin novo, por exemplo. Mas dois ou mais juntos merecem investigação imediata.

O que fazer nas primeiras horas

Respira. A ordem dos passos importa mais do que a velocidade.

1. Não apague nada ainda. Anote o que você viu, com prints e horários.
2. Avise a sua hospedagem e o responsável técnico pelo site.
3. Troque as senhas: WordPress, hospedagem, FTP, banco de dados e e-mail.
4. Restaure um backup de antes da invasão, de preferência numa cópia separada primeiro.
5. Descubra e feche a porta de entrada.
6. Com o site limpo, peça revisão ao Google.

Não apague tudo no impulso

A vontade é deletar o site inteiro e subir de novo. Só que os arquivos alterados e os registros de acesso são as pistas que mostram por onde o invasor entrou. Sem elas, você limpa, reinstala e é invadido de novo pela mesma brecha.

Troque as senhas, todas

Não só a do WordPress. Troque a do painel da hospedagem, do FTP, do banco de dados e das contas de e-mail ligadas ao site. Remova os administradores que você não reconhece. Se puder, ative a verificação em duas etapas (aquele código extra que chega no celular).

Avise a hospedagem

Quem cuida do servidor tem acesso a registros que você não vê, e pode ajudar a conter o problema. Se o servidor está enviando spam, eles provavelmente já perceberam. Avisar cedo evita que a conta seja suspensa sem conversa.

Restaure um backup limpo

Aqui entra o histórico de backups. A cópia de ontem pode já estar contaminada, porque muita invasão fica escondida por dias antes de aparecer. Você precisa de uma versão de antes do problema. Por isso ter várias datas guardadas faz tanta diferença.

Ache a porta de entrada

Esse é o passo que mais se pula, e o que mais importa. As portas mais comuns são plugin ou tema desatualizado, plugin pirata (os “nulled”, baixados de graça de sites duvidosos), senha fraca ou repetida e acesso de algum ex-colaborador que nunca foi removido. Restaurar sem fechar a porta é só adiar a próxima invasão.

Peça revisão ao Google

Se apareceu alerta, o Search Console tem uma área de problemas de segurança onde você solicita a revisão depois de limpar o site. Peça só quando tiver certeza de que está tudo resolvido. A análise leva um tempo, e o aviso sai depois que o Google confirma.

Como evitar a próxima

A maioria das invasões em WordPress não é ataque pessoal. São robôs procurando sites com falhas conhecidas. Fechar essas portas simples já tira o seu site da lista de alvos fáceis.

Esse último item merece explicação. Muitos sites mostram, sem querer, a versão exata do WordPress que usam, a lista de nomes de usuário e outras portas que facilitam a vida de quem procura brechas. Uma delas é o xmlrpc, um recurso antigo de comunicação do WordPress que muitas vezes fica ligado sem uso e vira alvo de tentativas de senha em massa. Outra são os cabeçalhos de segurança, instruções que o servidor manda ao navegador pra dificultar certos ataques.

Quer saber como o seu site está nesses pontos? O diagnóstico gratuito da Jooy confere versão exposta, usuários expostos, xmlrpc, cabeçalhos de segurança e mais, num total de 60 verificações. O relatório chega em PDF no seu WhatsApp.

Quando chamar alguém

Se o site é simples, você tem um backup limpo e sabe exatamente como o invasor entrou, dá pra resolver por conta. Na prática, quase nunca é assim. Achar a porta de entrada e ter certeza de que não ficou nenhum arquivo escondido exige experiência, e cada hora de site comprometido pesa na confiança dos seus clientes.

No Jooy Suporte, a gente cuida da limpeza, investiga a origem e deixa o site protegido pra frente, com atualizações, backup e monitoramento na rotina. E você fala com gente de verdade, que explica o que aconteceu sem tecniquês. Se preferir, é só chamar no atendimento.

Resumindo

Site invadido assusta, mas tem conserto. Observe os sinais, não apague nada no impulso, troque as senhas, avise a hospedagem, restaure uma cópia limpa e, principalmente, feche a porta por onde o invasor entrou. Depois, mantenha a rotina de prevenção. É ela que faz o seu site sair da lista dos alvos fáceis.