Site hackeado? O que fazer na primeira hora

WindowsMacAtualizado 2026-10-23

O guia do Google para recuperar um site invadido começa pela sua hospedagem. Depois vem tirar o site do ar, se você ou a hospedagem puderem, trocar todas as senhas ligadas a ele, procurar contas de administrador que você não criou, atualizar o software e restaurar um backup anterior à invasão. Dados pessoais e registro de ocorrência ficam para o fim.

Resposta rápida

Fale com a hospedagem e peça ajuda para tirar o site do ar. Troque as senhas da hospedagem, do administrador, do banco de dados e do FTP. Apague usuários admin que você não reconhece. Atualize o PHP e o WordPress ou outro CMS, e restaure um backup limpo. Veja o relatório Problemas de segurança no Google Search Console e, se dados de clientes estiverem envolvidos, siga as regras da ANPD.

O que fazer primeiro se o meu site foi hackeado?

Fale com a empresa de hospedagem. O guia de recuperação do Google diz que a hospedagem pode verificar se outros clientes dela foram afetados e talvez ajudar a recuperar o site. O WordPress acrescenta que, em hospedagem compartilhada, uma invasão pode ter atingido mais do que o seu site.

Anote o que você está vendo e quando percebeu. O WordPress chama isso de primeiro passo prático.
Avise a hospedagem que o site foi comprometido e pergunte quais backups ela guarda.
Peça que ela tire o site do ar, ou ajude você a fazer isso. O Google diz que isso impede que arquivos nocivos cheguem aos visitantes, e que bloquear pelo robots.txt não basta, porque só afasta os mecanismos de busca.
Decida se consegue resolver sozinho. O Google diz que isso exige saber ler código e usar ferramentas de servidor pela linha de comando. Se não for o seu caso, peça ajuda à hospedagem ou a um profissional qualificado.

Quais senhas trocar, e o que fazer com os usuários admin?

Todas as que dão acesso ao site. O guia do Google cita os acessos de FTP, banco de dados, administradores do sistema e do sistema de gerenciamento de conteúdo, e diz para verificar se o invasor criou alguma conta. O WordPress inclui o cPanel ou qualquer outro painel da hospedagem, e diz que isso vale para todos os usuários com acesso.

Troque as senhas da conta de hospedagem e do painel de controle.
Troque as senhas de FTP ou SFTP.
Troque a senha do banco de dados. O WordPress lembra que a nova também precisa ir para o wp-config.php.
Abra a lista de usuários do site (no WordPress, Usuários no painel). Anote as contas que você não reconhece e depois apague-as.
Redefina as senhas de todas as contas de administrador que ficarem.
Troque todas de novo quando o site estiver limpo. O WordPress diz que as senhas trocadas na descoberta devem ser trocadas uma segunda vez depois da limpeza.

O WordPress também sugere passar um antivírus no seu computador, porque alguns ataques começam pelo roubo de senhas na máquina do dono.

Devo restaurar um backup?

Sim, se você tiver um de antes da invasão. A ajuda do Search Console cita a substituição dos arquivos afetados pelo último backup válido como uma forma de limpar o site. O WordPress sugere tirar antes uma cópia do site infectado, como referência caso algo dê errado.

Tire essa cópia do site atual primeiro.
Escolha um backup feito antes da data em que você notou o problema.
Restaure, ou peça à hospedagem que restaure.
Atualize tudo logo em seguida, antes de colocar o site de volta no ar. Um backup restaurado ainda tem o software antigo que pode ter deixado o invasor entrar.

Preciso atualizar o PHP e o WordPress?

Sim. Em 21 de outubro de 2026, o projeto PHP anunciou duas falhas críticas, a CVE-2026-109618 e a CVE-2026-109619, que podem permitir a execução remota de código sem login, e disse que atualizar é a única escolha segura. O alerta 93/2026 do CTIR Gov, o centro de resposta a incidentes do governo federal, recomenda aplicar as atualizações imediatamente. Em 23 de outubro de 2026, a QNAP registra que tentativas de exploração contra o PHP foram relatadas publicamente.

Pergunte à hospedagem qual versão do PHP o site usa e confira se ela já está corrigida, com o guia como verificar a versão do PHP do seu site.
Se o site está no PHP 8.1 ou anterior, o projeto PHP não lança mais atualizações oficiais para ele. Pergunte à hospedagem sobre migrar para uma versão com suporte.
Atualize o WordPress para a versão mais recente. O WordPress diz que versões antigas são mais vulneráveis a invasões do que as novas.
Atualize também temas e plugins. O WordPress pede atenção redobrada na pasta wp-content, onde ficam os arquivos de temas e plugins.

Para um sistema PHP que não pôde ser atualizado logo, o NCSC britânico orienta procurar sinais de invasão e portas dos fundos antes de atualizar. Atualizar fecha a brecha, mas não remove o que o invasor já deixou.

Como tirar o aviso do Google de site invadido?

O relatório Problemas de segurança do Search Console mostra se o Google encontrou conteúdo invadido, malware ou engenharia social no seu site, com exemplos de URLs. Páginas afetadas podem aparecer com um aviso nos resultados da pesquisa ou no navegador.

Abra o relatório Problemas de segurança no Search Console.
Use os exemplos de URLs para achar as páginas afetadas e corrija o problema no site todo. O Google diz que corrigir só algumas páginas não ajuda.
Quando todos os problemas estiverem corrigidos em todas as páginas, selecione Solicitar revisão.
Descreva o problema, o que você fez e o resultado. O Google diz que a maioria das revisões leva vários dias ou semanas, e que você não deve enviar outro pedido antes de receber a decisão final.

E se dados de clientes estiverem envolvidos?

Se o site guarda dados pessoais de clientes, como nomes, e-mails ou pedidos, e eles podem ter sido acessados, entram as regras de comunicação de incidentes da ANPD, a Autoridade Nacional de Proteção de Dados. A ANPD diz que nem todo incidente precisa ser comunicado: a comunicação é exigida quando o incidente foi confirmado, envolve dados pessoais sujeitos à LGPD e pode acarretar risco ou dano relevante aos titulares.

Nesse caso, a ANPD diz que o controlador deve comunicar a ANPD e os titulares no prazo de três dias úteis, salvo prazo previsto em legislação específica.
A comunicação aos titulares deve ser feita de forma individual e direta, sempre que possível.
O envio à ANPD é feito por peticionamento eletrônico no sistema SEI da ANPD, com o formulário de incidente de segurança, preliminar ou completo.

A ANPD cita como base a Resolução CD/ANPD nº 15, de 24 de abril de 2024. Confira a página dela antes de agir.

Para leitores em Portugal: a CNPD diz que o responsável deve notificar uma violação de dados no prazo de 72 horas depois de tomar conhecimento dela, salvo se ela não for suscetível de resultar num risco para os direitos e liberdades das pessoas. A CNPD tem um formulário próprio para essa notificação e diz que todas as violações devem ser documentadas, mesmo as não notificadas.

Mais perguntas

Devo registrar boletim de ocorrência?

Se houve prejuízo financeiro ou uso indevido de dados, o CERT.br recomenda registrar um boletim de ocorrência, que na maioria dos casos pode ser feito online, e incluir as evidências. Guarde mensagens, capturas de tela, datas e números de protocolo.

Posso avisar o CERT.br?

Sim. O CERT.br atende o público por e-mail, em cert@cert.br. Ele pede logs completos ou outras evidências, com data, horário e fuso horário da atividade.

Basta restaurar um backup e seguir em frente?

Um backup remove o que o invasor acrescentou, mas não a falha que ele usou. O WordPress diz para atualizar o software depois da limpeza e trocar as senhas de novo. O Google diz para pedir revisão só depois de corrigir os problemas.

Como saber se o meu site foi hackeado?

O WordPress lista sinais claros: o site é marcado pelo Google ou pelo Bing, a hospedagem o desativou, ele aparece como tendo malware, o antivírus dos visitantes avisa sobre ele, ou há mudanças que ninguém autorizou, como usuários novos.