Site hackeado: o que fazer agora (passo a passo)

Como saber se meu site foi realmente invadido?

Os sinais mais confiáveis de invasão são o aviso vermelho do Chrome ("Este site pode prejudicar seu computador"), redirecionamentos estranhos para páginas que você não criou, queda brusca de tráfego, arquivos modificados sem a sua ação e um alerta de segurança do Google Search Console. Qualquer um deles já justifica tratar o caso como incidente — não como "bug".

• Aviso vermelho no navegador: o Google Safe Browsing marcou o site como perigoso — visitantes estão sendo bloqueados agora;
• Redirecionamentos suspeitos: o site abre normalmente para você, mas leva visitantes (ou só quem vem do Google) a páginas de apostas, farmácias ou golpes;
• Queda brusca de tráfego ou de posições: invasões com spam de conteúdo derrubam o site nos resultados — tema que detalhamos no artigo sobre blacklists;
• Arquivos e usuários novos: scripts desconhecidos, datas de modificação recentes em arquivos que ninguém tocou, administradores que você não criou;
• E-mail do Google Search Console: notificação de "problema de segurança detectado" é confirmação direta do próprio Google.

O que fazer AGORA (passo a passo de contenção)

A prioridade imediata não é limpar: é conter. Esta sequência reduz o dano, preserva as evidências e impede que o invasor volte a entrar enquanto você trabalha na recuperação:

1. Troque todas as senhas — hospedagem, painel administrativo, FTP/SFTP, banco de dados e e-mails ligados ao domínio. Use senhas longas e únicas e ative a autenticação em dois fatores onde houver;
2. Tire o site do ar ou ative o modo de manutenção se ele estiver espalhando malware ou golpes para os visitantes — proteger quem acessa vem antes de manter a página no ar;
3. Faça um backup completo do estado atual (arquivos + banco de dados), mesmo comprometido: ele é a evidência para perícia e a base para descobrir como o invasor entrou;
4. Avise a hospedagem — muitos provedores têm equipe de resposta a incidentes, logs de acesso e podem isolar a conta para impedir novo acesso.

Como limpar e recuperar o site invadido?

A limpeza correta segue quatro etapas: identificar a porta de entrada, remover o malware, atualizar tudo e pedir revisão ao Google. Pular a primeira etapa é o erro mais comum — quem limpa sem fechar a brecha costuma ser invadido de novo em dias.

• Identifique a porta de entrada: analise os logs de acesso em busca do ponto explorado — plugin ou CMS desatualizado, senha vazada, formulário sem validação, upload sem restrição;
• Remova o malware: compare os arquivos com um backup limpo ou com o código-fonte original, elimine scripts injetados, backdoors e usuários administrativos falsos — de preferência restaurando um backup íntegro anterior à invasão;
• Atualize tudo: CMS, plugins, temas, dependências e versão do PHP. Remova o que não é usado — cada componente abandonado é uma porta a mais;
• Peça a revisão no Google Search Console: após a limpeza, use "Problemas de segurança" para solicitar a reavaliação e remover o aviso vermelho e a marcação de site perigoso.

Limpar sem descobrir como o invasor entrou não é recuperação — é convite para a próxima invasão.

Como impedir a próxima invasão?

Prevenção eficaz combina hardening, WAF, monitoramento e código seguro. Depois de recuperar o site, é isso que separa quem passou por um susto de quem entra num ciclo de reinfecções:

• Hardening de servidor e aplicação: permissões mínimas, cabeçalhos de segurança, desativação do que não é usado e acesso administrativo restrito;
• WAF (firewall de aplicação): filtra ataques conhecidos — SQL injection, XSS, força bruta — antes de chegarem ao seu código;
• Monitoramento e alertas: verificação de integridade de arquivos, logs centralizados e avisos imediatos de comportamento anômalo;
• Backups automáticos e testados, guardados fora do servidor principal, com restauração ensaiada;
• Código auditado pelo OWASP Top 10: validação de entrada, prepared statements, autenticação forte e sessões seguras — a base do nosso serviço de Cibersegurança, que inclui diagnóstico, correção e plano de proteção contínua.

Quando chamar um especialista?

Chame um especialista quando o site volta a ser infectado após a limpeza, quando dados de clientes podem ter vazado (o que aciona obrigações da LGPD, como comunicação à ANPD e aos titulares em casos de risco relevante), quando o aviso do Google persiste ou quando o site é crítico para o faturamento e cada hora fora do ar custa caro. Resposta a incidentes é trabalho técnico e de precisão: feita às pressas e pela metade, apenas adia o problema. Se você está passando por isso agora, fale conosco — avaliamos o cenário, contemos o incidente e entregamos o site limpo, atualizado e blindado, com um plano claro para que isso não se repita.