Sito hackerato, cosa fare nella prima ora

WindowsMacAggiornato 2026-10-23

La guida di Google al recupero di un sito hackerato parte dal tuo fornitore di hosting. Poi viene la messa offline del sito, se tu o l'hosting potete farla, il cambio di tutte le password che danno accesso al sito, il controllo degli account amministratore che non hai creato, l'aggiornamento del software e il ripristino di un backup precedente all'attacco. Dati personali e denuncia vengono alla fine. Questa guida è aggiornata al 23 ottobre 2026.

Risposta breve

Contatta l'hosting e chiedi aiuto per mettere il sito offline. Cambia le password di hosting, amministrazione, database e FTP. Elimina gli amministratori che non riconosci. Aggiorna PHP e WordPress o il tuo CMS, poi ripristina un backup pulito. Controlla il report Problemi di sicurezza di Search Console. Se sono coinvolti dati personali di clienti, segui le regole del Garante privacy sul data breach.

Cosa devo fare per prima cosa se il mio sito è stato hackerato?

Contatta l'hosting. Secondo Google, l'hosting può verificare che gli altri suoi clienti non siano stati colpiti e potrebbe aiutarti a recuperare il sito. WordPress aggiunge che su un hosting condiviso un attacco potrebbe aver riguardato più del tuo sito.

Annota cosa vedi e quando te ne sei accorto. WordPress lo indica come il primo passo concreto.
Avvisa l'hosting che il sito è stato compromesso e chiedi quali backup conserva.
Chiedi di mettere il sito offline, o di aiutarti a farlo. Google spiega che così i file dannosi non arrivano ai visitatori, e che un blocco con robots.txt non basta, perché ferma solo i motori di ricerca.
Decidi se puoi sistemarlo da solo. Google dice che servono la capacità di leggere codice e di usare strumenti da riga di comando sul server. Altrimenti rivolgiti all'hosting o a un professionista.

Quali password cambiare, e cosa fare con gli utenti amministratori?

Tutte quelle che danno accesso al sito. Google cita gli accessi FTP, al database, degli amministratori di sistema e del sistema di gestione dei contenuti, e consiglia di controllare se l'attaccante ha creato un account. WordPress aggiunge cPanel o qualsiasi altro pannello di hosting, per ogni utente che ha accesso.

Cambia la password dell'account di hosting e del pannello di controllo.
Cambia le password FTP o SFTP.
Cambia la password del database. WordPress ricorda che la nuova va inserita anche in wp-config.php.
Apri l'elenco degli utenti del sito (in WordPress, la voce Utenti della Bacheca). Annota gli account che non riconosci, poi eliminali.
Reimposta la password di ogni amministratore rimasto.
Cambiale tutte di nuovo quando il sito è pulito. WordPress consiglia di cambiare una seconda volta, dopo la pulizia, le password cambiate quando hai scoperto l'attacco.

WordPress suggerisce anche di controllare il tuo computer con un antivirus, perché alcuni attacchi iniziano rubando le credenziali FTP o di amministrazione dal computer del proprietario.

Devo ripristinare un backup?

Sì, se ne hai uno precedente all'attacco. L'aiuto di Search Console indica tra le soluzioni la sostituzione dei file interessati con l'ultimo backup valido. WordPress suggerisce di fare prima un'ultima copia del sito infetto, come riferimento se qualcosa va storto.

Fai prima quella copia del sito com'è adesso.
Scegli un backup fatto prima della data in cui hai notato il problema.
Ripristinalo, o chiedi all'hosting di farlo.
Aggiorna tutto subito, prima di rimettere il sito online. Un backup ripristinato contiene ancora il vecchio software, che potrebbe aver fatto entrare l'attaccante.

Devo aggiornare PHP e WordPress?

Sì. Il 21 ottobre 2026 PHP ha corretto due vulnerabilità critiche, CVE-2026-109618 e CVE-2026-109619, che possono permettere l'esecuzione di codice da remoto senza autenticazione, e dice che aggiornare è l'unica scelta sicura. Al 23 ottobre 2026 il CSIRT Italia segnala proof of concept disponibili in rete, e l'avviso di QNAP del 22 ottobre riporta tentativi di sfruttamento contro PHP segnalati pubblicamente.

Controlla che il sito usi una versione corretta di PHP. La guida per verificare la versione di PHP ha l'elenco.
Con PHP 8.1 o precedente non ci sono più aggiornamenti dal progetto PHP. Parla con l'hosting del passaggio a una versione supportata.
Aggiorna WordPress all'ultima versione. WordPress scrive che le versioni vecchie sono più esposte agli attacchi.
Aggiorna anche temi e plugin.

Aggiornare chiude la falla, ma non toglie ciò che un attaccante ha già lasciato. Il CSIRT Italia raccomanda di analizzare i log e gli eventi di sicurezza, cercando per esempio richieste HTTP anomale, errori ricorrenti di esaurimento della memoria, interruzioni inattese dei processi PHP, processi non previsti, modifiche non autorizzate ai file dell'applicazione o connessioni di rete anomale.

Come faccio a togliere l'avviso di Google?

Il report Problemi di sicurezza di Search Console mostra cosa ha trovato Google quando il sito risulta compromesso o potenzialmente dannoso per i visitatori.

Apri il report Problemi di sicurezza in Search Console.
Trova le pagine coinvolte e correggi il problema su tutto il sito. Google precisa che risolverlo solo in alcune pagine non garantisce un reintegro parziale nei risultati di ricerca.
Quando il sito è pulito, la falla chiusa e il sito di nuovo online, seleziona Richiedi esame.
Descrivi cosa hai trovato e cosa hai fatto. Google dice che la maggior parte degli esami richiede diversi giorni o settimane, e di aspettare la decisione prima di inviare una nuova richiesta.

E se sono coinvolti dati dei clienti?

Se il sito conserva dati personali di clienti, come nomi, e-mail o ordini, e qualcuno potrebbe averli visti, si tratta potenzialmente di una violazione di dati personali (data breach). Il Garante per la protezione dei dati personali spiega cosa deve fare il titolare del trattamento, che può essere anche un'impresa o un professionista:

Notificare la violazione al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando ne è venuto a conoscenza, a meno che sia improbabile che comporti un rischio per i diritti e le libertà delle persone. Le notifiche oltre le 72 ore vanno accompagnate dai motivi del ritardo.
Inviare la notifica con la procedura telematica sul portale dei servizi online del Garante. Il Garante mette a disposizione anche uno strumento di autovalutazione.
Se il rischio per le persone è elevato, comunicare la violazione a tutti gli interessati, salvo che abbia già preso misure che ne riducono l'impatto.
Documentare tutte le violazioni, anche quelle non notificate, per esempio con un apposito registro.

In Svizzera l'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) mette a disposizione dei titolari del trattamento un modulo online per le segnalazioni.

Altre domande

Devo denunciare un sito hackerato alla polizia?

Puoi. La Polizia Postale spiega che una denuncia si presenta, a voce o per iscritto, al pubblico ministero o a un ufficiale di polizia giudiziaria, presso Questure, Commissariati o Carabinieri. Per un accesso illecito a un sistema informatico elenca cosa portare: i file di log degli accessi con data, ora e indirizzo IP, il fuso orario dell'orologio del server, il tipo di rete, il sistema operativo e le applicazioni principali, il nome del responsabile tecnico e le operazioni compiute dall'intruso. In Svizzera l'Ufficio federale della cibersicurezza (UFCS) riceve segnalazioni volontarie di ciberincidenti, ma non accetta denunce penali.

Posso segnalare online un sito modificato da un attacco?

Sì. Il modulo Segnalazioni della Polizia Postale ha un argomento Defacement con il campo per l'indirizzo della pagina modificata. La Polizia Postale precisa che il modulo non serve per denunce e non sostituisce il pronto intervento: per le urgenze, 112 o 113.

Posso semplicemente ripristinare un backup e andare avanti?

No. Un backup toglie ciò che l'attaccante ha aggiunto, ma non la debolezza che ha sfruttato. WordPress consiglia di aggiornare il software una volta pulito il sito e di cambiare di nuovo le password, e Google di chiedere l'esame solo dopo aver chiuso la vulnerabilità.

Come capisco se il mio sito è stato hackerato?

WordPress indica alcuni segnali chiari: il sito è segnalato da Google o Bing, l'hosting l'ha disattivato, è segnalato per malware, l'antivirus dei visitatori lo blocca, oppure ci sono modifiche che nessuno ha autorizzato, come nuovi utenti.

Dove trovo aiuto gratuito per un sito WordPress hackerato?

WordPress rimanda ai suoi forum di supporto, che hanno sezioni dedicate agli attacchi e al malware. Google cita il forum della community di Google Search Central.