Meu site WordPress foi invadido: o que fazer

Descobrir que o site foi invadido dá um frio na barriga. Respire: é mais comum do que parece, tem solução, e agir com método importa mais que agir rápido. Este é o roteiro que a gente segue.

Como saber se foi invadido #

• O site manda o visitante para outro endereço, ou abre pop-ups que você não colocou.
• O Google mostra, nos resultados do seu site, títulos estranhos (remédios, apostas, grifes falsas) ou escreve “este site pode ter sido invadido”.
• O navegador avisa “site enganoso” ou “site perigoso” antes de abrir.
• Apareceram usuários administradores que você não criou.
• A hospedagem suspendeu o site por vírus ou envio de spam.
• O site ficou lento do nada, ou sai do ar sem você ter mexido.

Nas primeiras horas #

1. Não apague tudo no desespero. Os arquivos são a pista de como entraram. Se puder, peça uma cópia do estado atual à hospedagem antes de limpar.
2. Avise a hospedagem. Ela costuma ter ferramentas de varredura e pode isolar o site.
3. Troque todas as senhas, de um computador limpo: administradores do WordPress, painel da hospedagem, FTP/SSH, banco de dados (a senha fica no arquivo wp-config.php) e o e-mail dos administradores. Se você usa a mesma senha em outro lugar, troque lá também.
4. Em Usuários > Todos os usuários, apague contas de administrador que você não reconhece (se a conta tem conteúdo, mude a função e a senha em vez de apagar).

Limpar #

1. Se existe uma cópia de segurança de antes da invasão, restaurar é o caminho mais rápido e seguro. Restaure e, em seguida, atualize tudo (próximo passo), porque a mesma brecha continua aberta.
2. Atualize o WordPress, o tema e todos os plugins em Painel > Atualizações. Plugin desatualizado é a porta de entrada mais comum.
3. Em Painel > Atualizações também há o botão para reinstalar a versão atual do WordPress, que troca os arquivos do núcleo sem apagar seu conteúdo.
4. Remova plugins e temas que você não usa e qualquer um “pirata” (baixado de graça de site de terceiros): é onde mora a maioria dos vírus.
5. Se o site tem muito arquivo infectado, fica difícil limpar à mão. É quando vale pedir ajuda: arquivo de vírus costuma se esconder em muitos lugares.

Avisar o Google #

Se o Google marcou o site como perigoso, entre no Search Console, abra Segurança e ações manuais e veja o que ele aponta. Quando o site estiver limpo, você pede uma nova análise por ali.

Para não acontecer de novo #

• Atualizações em dia, de preferência com cópia de segurança antes.
• Senhas fortes, únicas e um usuário para cada pessoa (nunca o mesmo login para todos).
• Verificação em duas etapas nos administradores.
• Cópia de segurança diária, guardada fora do servidor.
• Uma camada de proteção na frente do site, que barre ataques antes de chegar nele.

Em loja virtual, avise também o gateway de pagamento se houver suspeita de que dados de clientes foram acessados. Depende do caso, mas conversar com quem faz isso rápido ajuda a decidir.

O que não fazer #

• Não pague “resgate” nem responda a e-mails de quem diz ter invadido o site.
• Não instale cinco plugins de segurança de uma vez. Eles brigam entre si e pioram a lentidão.
• Não deixe o site no ar divulgando vírus enquanto resolve. Se for preciso, ative a página de manutenção e tire o site do ar por algumas horas.
• Não ignore: site invadido costuma ficar pior e pode ser usado para enviar spam em seu nome.

Todos os sites que hospedamos têm proteção contra ataques e cópia de segurança diária. Se o seu foi invadido, chame agora e mande o endereço. Chame a gente no WhatsApp.