Sito hackerato: cosa controllare se compaiono pagine o reindirizzamenti sconosciuti

Una pagina estranea è un segnale da ricostruire

Annota l’indirizzo completo comparso nella ricerca, il testo visibile e quando è stato notato. Se la segnalazione arriva da un cliente, chiedi quale collegamento ha aperto e che cosa è successo, senza invitarlo a ripetere un percorso sospetto. Un risultato con parole inconsuete, un download inatteso e un reindirizzamento sono informazioni diverse: serve descrivere il comportamento prima di attribuirgli una causa.

Un titolo sbagliato su Google, da solo, non dimostra un attacco. Potrebbe riguardare contenuti precedenti o la generazione del risultato. Quando invece compaiono pagine, collegamenti o funzioni mai autorizzati, la verifica deve comprendere il sito e la sua gestione. La guida ai titoli e alle descrizioni errati su Google riguarda il primo problema; qui consideriamo il secondo.

Prepara una nota condivisa con il referente tecnico. Una descrizione precisa evita che persone diverse lavorino su problemi apparentemente uguali ma osservati in condizioni differenti.

Conservare ciò che serve prima di intervenire

Condividi schermate già disponibili, URL, messaggi ricevuti e una cronologia delle ultime modifiche autorizzate. Comunica anche eventuali accessi non riconosciuti o avvisi del fornitore. Non pubblicare questi materiali: potrebbero contenere dati o dettagli utili soltanto a chi segue l’incidente.

Chiedi al responsabile tecnico di preservare le evidenze pertinenti prima delle operazioni che potrebbero sovrascriverle. La conservazione dei registri e dei dati utili all’analisi è un principio richiamato nei playbook di risposta agli incidenti di CISA. Anche una copia del sito sospetto può avere uno scopo di analisi: deve restare separata e chiaramente identificata rispetto ai backup candidati al ripristino.

Evita tentativi in sequenza senza registrare cosa è stato fatto. Installare strumenti, eliminare cartelle o ripristinare una copia alla cieca può rendere più difficile capire l’accaduto. La priorità operativa va concordata con chi può valutare contemporaneamente il rischio per i visitatori e le informazioni da conservare.

Dare all’assistenza un perimetro e un referente

Individua chi gestisce hosting, applicazione, dominio e account amministrativi. Potrebbero essere fornitori differenti. Assegna un referente aziendale che raccolga gli aggiornamenti e possa chiarire quali funzioni sono essenziali: ricezione delle richieste, prenotazioni, consultazione di documenti o accessi dei clienti.

Concorda come verranno comunicate le decisioni di contenimento e il successivo ripristino. Se viene limitato temporaneamente l’accesso al sito, prepara con il referente un modo attendibile per indirizzare le richieste dei clienti. Non diffondere promesse di riapertura prima di avere una valutazione tecnica.

La homepage corretta non esclude altri problemi

La verifica deve coprire gli indirizzi segnalati e i punti che possono influenzare il loro comportamento. Aprire soltanto la homepage non chiarisce se esistano altre pagine estranee, account aggiunti o modifiche alla configurazione. Chiedi che la relazione tecnica distingua ciò che è stato osservato da ciò che resta da accertare.

Il report Problemi di sicurezza di Search Console può fornire categorie e URL di esempio. Questi esempi aiutano a orientare l’analisi; non costituiscono l’inventario completo del sito. Anche l’assenza di un avviso non sostituisce una verifica tecnica quando esistono segnalazioni concrete.

In un esempio ipotetico, un’azienda vede la homepage corretta ma riceve una segnalazione relativa a una pagina prodotto aperta dalla ricerca. Il confronto utile riguarda quell’URL, la provenienza della visita e le condizioni osservate. Liquidare il problema perché il sito “da noi funziona” lascerebbe senza risposta proprio l’evidenza da esaminare.

Ripristinare contenuti verificati e correggere la causa

Chiedi quale copia verrà usata, perché è ritenuta attendibile e quali contenuti recenti potrebbero mancare. La data di un backup, da sola, non dimostra che sia pulito. Se occorre recuperare materiali più recenti, il referente deve spiegare come saranno controllati prima di rientrare nel sito operativo.

La documentazione di Google su pulizia e manutenzione dei siti compromessi collega il recupero dei contenuti alla correzione della vulnerabilità, alla gestione degli accessi e alla verifica del software. Rimettere online le pagine corrette senza affrontare la causa lascerebbe aperto il problema che ha consentito l’incidente.

Come azienda, chiedi un resoconto leggibile: ambito esaminato, interventi eseguiti, verifiche completate e aspetti ancora aperti. Il documento dovrebbe permettere di capire anche chi manterrà i controlli successivi. Per organizzare questa continuità puoi fare riferimento alla guida sulla manutenzione del sito.

Gestire le pagine estranee rimaste su Google

Il recupero tecnico e l’aggiornamento della ricerca non avvengono necessariamente insieme. Distingui le pagine aziendali legittime che erano state alterate dagli URL creati senza autorizzazione. Le prime devono tornare a offrire il contenuto corretto; per i secondi occorre una gestione coerente con la loro effettiva rimozione.

La guida di Google alla pulizia dei siti descrive questa distinzione e l’eventuale uso delle rimozioni dalla ricerca. Nascondere un risultato non risolve la compromissione. Evita inoltre di interpretare il numero dei risultati mostrati da una singola ricerca come una misura completa del recupero.

Se Search Console segnala un problema di sicurezza, l’eventuale richiesta di esame va presentata dopo avere verificato le correzioni, descrivendo il lavoro svolto. L’esito dell’esame e il ritorno della visibilità sono questioni distinte: non è possibile fissare una data certa di recupero dei posizionamenti.

Chiudere l’intervento con prove comprensibili

Prima di considerare concluso il lavoro, concorda una prova delle funzioni che l’azienda utilizza. Verifica navigazione, documenti pubblici e percorso dei contatti con dati di test. La prova di un modulo termina quando il messaggio raggiunge il referente previsto, non quando appare una conferma sullo schermo.

• Le segnalazioni iniziali hanno una risposta documentata.
• Le funzioni essenziali sono state provate dopo il ripristino.
• Sono definiti responsabili e canali per nuove anomalie.
• Gli eventuali passaggi ancora aperti su Google sono elencati separatamente.

Conserva il resoconto insieme ai riferimenti dei fornitori. Se ricompare un’anomalia, poter confrontare il nuovo comportamento con quanto verificato rende il successivo confronto più preciso. Un rapporto conclusivo utile descrive il perimetro delle verifiche; una formula generica come “tutto sicuro” non aiuta a capire il lavoro effettuato.

Domande frequenti

Devo acquistare un nuovo dominio se il sito è stato compromesso?

Non è una conseguenza automatica. Cambiare indirizzo non chiarisce né corregge la causa dell’incidente e aggiunge un progetto di migrazione. La decisione sul dominio va separata dalla verifica dell’ambiente, degli account e dei contenuti coinvolti.

Posso continuare a usare i moduli mentre si verifica il problema?

Dipende dall’ambito della compromissione e dalle indicazioni del responsabile tecnico. Segnala quali dati raccolgono e quali processi servono. Se la loro attendibilità non è verificata, concorda un canale alternativo controllato senza chiedere ai clienti di aggirare eventuali avvisi.

Basta una scansione senza segnalazioni per chiudere l’intervento?

Il risultato di uno strumento è una delle evidenze disponibili. La chiusura deve considerare anche le anomalie iniziali, il lavoro sulla causa, gli accessi e le funzioni ripristinate. Chiedi quali verifiche sono state svolte e quali limiti hanno.