Se hai appena scoperto che il sito è stato violato, prima di cancellare qualunque cosa fanne una copia così com'è, infezione compresa, e scrivi l'ora. Password e pulizia possono aspettare qualche ora; la copia e l'ora, più tardi, non si recuperano.
Prima di pulire, copia file, database e log
L'istinto è entrare nel pannello, cancellare i file strani e ripristinare il backup di ieri. Così però sparisce la traccia di come sono entrati, e un sito rimesso online senza saperlo viene violato di nuovo dalla stessa strada.
La guida ufficiale di WordPress mette al primo posto la documentazione (cosa hai visto, a che ora, in quale fuso orario, cosa è cambiato di recente) e chiede un'ultima copia completa dell'ambiente prima della pulizia, anche se è infetta. In concreto: i file scaricati via SFTP, l'esportazione del database, i log del server con accessi ed errori.
Dei tre, i log sono i più urgenti. La Polizia Postale scrive che una delle prime cose che fa chi viola un server è alterarli o cancellarli. E se l'hosting li tiene pochi giorni, domani potrebbero non esserci più. Chiedi all'hosting quanti giorni ne conserva e se ha copie sue, magari di prima dell'attacco.
Nella stessa pagina la Polizia Postale elenca cosa serve per la denuncia: i log degli accessi illeciti con data, ora, durata della connessione e indirizzo IP, il fuso orario del server (e lo sfasamento dell'orologio, se c'era), il sistema operativo e i programmi installati, le operazioni fatte da chi è entrato.
Intanto il sito va tolto dal pubblico. La guida di Google sui siti compromessi consiglia una risposta 503 servita da fuori, dall'hosting o da un altro server, non dalle cartelle infette. Sempre secondo Google, spegnerlo per il tempo del ripristino difficilmente incide sul posizionamento.
L'ora della scoperta fa partire le 72 ore
Se dal sito passano dati personali (clienti, ordini, iscritti alla newsletter, anche i messaggi del modulo contatti), la violazione va notificata al Garante senza ingiustificato ritardo e, se possibile, entro 72 ore da quando ne sei venuto a conoscenza, come prevede l'articolo 33 del GDPR. Si può non notificare solo se è improbabile un rischio per le persone, e anche allora la violazione va scritta nel registro interno.
Quando si è «venuti a conoscenza» lo chiariscono le linee guida 9/2022 dell'EDPB: quando hai una ragionevole certezza che un incidente ha compromesso dati personali. Prima è ammesso un breve periodo di verifica, a patto che cominci appena arriva il segnale. Chi aspetta e poi scopre che la violazione c'era, per l'EDPB rischia di aver già mancato la notifica.
Gli orari da annotare quindi sono due. Il primo è quello del segnale, che sia l'email di un cliente o l'avviso dell'hosting. Il secondo è quello della conferma, per esempio quando trovi un amministratore che nessuno ha creato e che aveva accesso agli ordini. Le 72 ore partono dal secondo, e il primo dimostra che la verifica non è rimasta in sospeso. Se il sito lo gestisce un fornitore, lo stesso articolo 33 lo obbliga ad avvisarti senza ingiustificato ritardo appena se ne accorge.
La notifica si fa sul portale del Garante, anche in più fasi. Con un rischio alto, per esempio password o dati di pagamento esposti, vanno avvisate anche le persone coinvolte (articolo 34). Chi è soggetto a NIS2 ha anche la pre-notifica allo CSIRT Italia entro 24 ore e la notifica completa entro 72, e per l'ACN il termine parte allo stesso modo, da quando hai elementi oggettivi.
Password e accessi
Cambia le password di hosting, SFTP, database, amministrazione di WordPress e caselle email del dominio, da un computer che sai pulito: la guida di WordPress ricorda che spesso l'infezione parte dal PC di chi gestisce il sito. Annota gli amministratori che non riconosci, poi rimuovili. Rigenera le chiavi segrete in wp-config.php per chiudere le sessioni aperte, e le chiavi dei servizi esterni come pagamenti e invio email; nell'articolo su OpenCode spieghiamo come farlo senza fermare tutto.
Ripulire o ripristinare il sito
Ripristinare significa tornare a una copia di prima dell'infezione, e funziona se sai quando è cominciata. Se chi è entrato è lì da una settimana, il backup di ieri contiene già la porta che ha lasciato. La data si ricava dai log più che dalle date dei file, che si possono modificare. Riporta indietro anche il database: gli ordini e le iscrizioni arrivati dopo quel giorno vanno recuperati a mano dalla copia infetta.
E rimette al suo posto la versione del plugin da cui sono entrati. Nel 2025 il 91% delle nuove vulnerabilità di WordPress stava nei plugin, e circa metà di quelle ad alto impatto è stata sfruttata entro 24 ore dalla pubblicazione, secondo il rapporto 2026 di Patchstack. Quel plugin va aggiornato o tolto prima di riaprire.
Ripulire significa tenere il sito com'è e togliere quello che è stato aggiunto. Il core si reinstalla nella stessa versione caricando i file via SFTP: la guida di WordPress sconsiglia il pulsante di reinstallazione della bacheca, che sovrascrive i file esistenti ma lascia quelli nuovi messi da chi è entrato. wp-admin e wp-includes si sostituiscono per intero. In wp-content si lavora a mano, a partire da .htaccess, index.php e dai file del tema header.php, footer.php e functions.php. Plugin e temi si reinstallano dalle fonti ufficiali, e a lavoro finito le password si cambiano un'altra volta.
Per noi in tutti e due i casi vale la stessa cosa: se non hai trovato da dove sono entrati, il sito non torna online. Le cause più comuni sono nell'articolo sulle vulnerabilità di WordPress.
Denuncia e avviso di Google
L'accesso abusivo a un sistema informatico è un reato. La segnalazione online della Polizia Postale non vale come denuncia, e la pre-denuncia online per ora è in sperimentazione solo in alcuni uffici del Lazio, fra cui le questure di Rieti e Frosinone. Quasi ovunque si va di persona, con la copia della prima ora.
Se Google ha segnalato il sito, l'avviso non sparisce da solo. In Search Console il report Problemi di sicurezza elenca le pagine colpite; quando le hai corrette tutte, richiedi un esame e spiega cosa è successo e cosa hai fatto. Google parla di qualche giorno o qualche settimana, e chiede di non mandare un'altra richiesta finché quella attiva non ha avuto risposta.
Cosa tenere scritto prima che serva
Meglio fuori dal sito, che quel giorno sarà spento: chi chiamare, dove sono i backup e quando hai provato l'ultimo ripristino, chi ha gli accessi, per quanti giorni l'hosting tiene i log. Per Effetto, il nostro programma per le cambiali, abbiamo pubblicato un security.txt che dice a chi segnalare un problema di sicurezza, perché con il Cyber Resilience Act una vulnerabilità sfruttata va segnalata entro 24 ore da quando lo sappiamo.
Se il tuo sito è stato violato, o hai il dubbio, scrivici. Partiamo dalla copia dello stato attuale, cerchiamo il punto di ingresso e ti diciamo cosa pulire e chi avvisare.