01 / Guias
Como saber se o site foi hackeado
Nem todos os ataques se notam. Muitos atacantes não querem ser vistos: usam o teu servidor em silêncio para enviar spam ou redirecionar visitas. Os sinais mais comuns:
- Quem chega pelo Google ou pelo telemóvel é redirecionado para outros sites, enquanto no teu computador tudo parece normal
- Uma pesquisa no Google por site:oteudominio.pt mostra páginas com caracteres japoneses, farmácias ou casinos
- O Chrome ou o Firefox mostram um aviso vermelho de site enganador ou de site possivelmente atacado
- No WordPress aparecem administradores que ninguém criou, ou deixas de conseguir entrar
- O teu alojamento suspende o site ou avisa que há envio de emails ou carga anormal no servidor
- O Google Search Console indica um problema em Segurança e ações manuais
02 / Guias
Verificar se o site está infetado
Três verificações gratuitas dão-te uma ideia clara em poucos minutos. No Google Search Console, o relatório Problemas de segurança mostra se o Google encontrou malware, phishing ou conteúdo hackeado, muitas vezes com exemplos de URLs. O Relatório de Transparência da Google (estado do site no Navegação Segura) mostra se o teu domínio está marcado como inseguro. Um scanner externo como o Sucuri SiteCheck encontra código malicioso visível e entradas em listas negras.
Estas ferramentas só veem o que está visível de fora. Uma porta traseira discreta no servidor escapa-lhes. Um resultado limpo não quer dizer que estás seguro, se vês outros sinais.
03 / Guias
A primeira hora: o que fazer já
- 01
Não apagues nada, documenta primeiro
Tira capturas de ecrã dos avisos, redirecionamentos e conteúdos estranhos, com data e hora. Anota quando e como deste pelo ataque. É a partir desse momento que contam as 72 horas do RGPD.
- 02
Tira o site do ar
Se o site espalha malware, faz phishing ou capta dados de pagamento, tira-o do ar já. O alojamento pode fazê-lo, ou bloqueias o acesso com o ficheiro .htaccess e mostras uma página de manutenção.
- 03
Avisa o alojamento
O suporte tem os registos do servidor e as cópias de segurança, e muitas vezes vê por onde o atacante entrou. Pede as cópias anteriores ao ataque e garante que não são substituídas.
- 04
Muda as palavras-passe, a partir de um dispositivo limpo
Conta do alojamento, SFTP ou FTP, base de dados, todos os administradores do WordPress, contas de email e o registo do domínio. Ativa a autenticação de dois fatores onde for possível.
- 05
Guarda o estado atacado
Descarrega uma cópia de todos os ficheiros e da base de dados, separada das tuas cópias limpas. Vais precisar dela para descobrir por onde entraram.
- 06
Vê se há dados pessoais envolvidos
Tens contas de clientes, uma loja online, formulários que guardam pedidos ou uma lista de newsletter? Então lê a parte sobre a CNPD mais abaixo antes de passarem as 72 horas.
04 / Guias
Reparar um site WordPress hackeado: a limpeza
Repor uma cópia de segurança não chega, porque a falha por onde o atacante entrou continua aberta. É assim que trabalhamos no WordPress, e noutros sistemas a lógica é a mesma:
- 01
Encontrar uma cópia limpa
Pelos registos e pelas datas dos ficheiros, descobre quando começou o ataque e repõe uma cópia anterior. Sem cópia limpa, os passos seguintes fazem-se à mão.
- 02
Reinstalar o núcleo, os plugins e o tema
Substitui as pastas wp-admin e wp-includes por ficheiros novos do wordpress.org e reinstala plugins e temas só de fontes oficiais. Versões piratas (nulled) de temas e plugins são uma porta de entrada frequente e saem.
- 03
Procurar código escondido
Ficheiros PHP não pertencem à pasta wp-content/uploads. Verifica também o .htaccess, o wp-config.php e o index.php, e as tarefas agendadas (cron) na conta de alojamento.
- 04
Verificar a base de dados
Remove utilizadores desconhecidos da tabela wp_users, confirma os valores siteurl e home em wp_options e procura scripts injetados e links de spam nos artigos.
- 05
Renovar as chaves de segurança
Novas chaves (salts) no wp-config.php terminam todas as sessões abertas, incluindo a do atacante. Depois, volta a definir todas as palavras-passe.
- 06
Fechar a porta de entrada
Um plugin desatualizado, uma palavra-passe fraca, um site antigo esquecido na mesma conta de alojamento? Sem esta resposta, o atacante costuma voltar em poucos dias.
- 07
Atualizar e vigiar
Tudo atualizado, uma versão de PHP recente, uma firewall como o Wordfence e, nas semanas seguintes, uma verificação diária de ficheiros novos.
05 / Guias
Tirar o aviso do Google e limpar as páginas de spam
Se o Google marcou o teu site como perigoso, pede uma revisão no relatório Problemas de segurança do Search Console depois de o limpar. Explica em poucas linhas o que aconteceu e o que fizeste. A revisão demora normalmente alguns dias. Só a peças quando o site estiver mesmo limpo, senão a próxima demora mais.
Se o atacante criou milhares de páginas de spam, esses URLs devem agora devolver o código 404 ou 410. Retira-os do sitemap e volta a submeter o sitemap limpo. O Google demora algumas semanas a esquecê-los.
06 / Guias
Proteção de dados: notificação à CNPD (art. 33.º do RGPD)
Um ataque é uma violação de dados pessoais assim que o atacante pode ter acedido a nomes, emails, encomendas ou pedidos de contacto. Nesse caso aplicam-se estas obrigações:
| Obrigação | Quando | Base legal |
|---|---|---|
| Notificar a CNPD | Sem demora injustificada e, sempre que possível, até 72 horas depois de teres conhecimento. Exceção: é improvável que a violação resulte num risco para as pessoas | Art. 33.º, n.º 1, RGPD |
| Justificar um atraso | Se não conseguires cumprir as 72 horas. A informação em falta pode ser enviada por fases | Art. 33.º, n.os 1 e 4, RGPD |
| Informar as pessoas afetadas | Sem demora injustificada se houver probabilidade de risco elevado, por exemplo palavras-passe, dados de pagamento ou de saúde | Art. 34.º RGPD |
| Documentar internamente | Sempre, mesmo quando não tens de notificar: o que aconteceu, os efeitos e as medidas tomadas | Art. 33.º, n.º 5, RGPD |
Em Portugal, a autoridade de controlo é a CNPD (Comissão Nacional de Proteção de Dados), que tem um formulário próprio para notificar violações de dados. Se uma agência ou o alojamento gere o teu site como subcontratante, tem de te avisar sem demora (art. 33.º, n.º 2), mas a notificação continua a ser responsabilidade tua.
Também podes reportar o incidente ao CNCS (Centro Nacional de Cibersegurança) e apresentar queixa às autoridades. Muitos seguros de ciber-risco exigem a queixa. Esta secção é uma orientação e não aconselhamento jurídico. Em caso de dúvida, fala com o teu encarregado de proteção de dados ou com um advogado.
08 / Guias
O que dizer aos clientes
O silêncio parece pior do que o próprio ataque. Se os clientes podem ter sido afetados, informa-os de forma curta, objetiva e sem especulações:
- O que aconteceu, numa frase sem termos técnicos, com a data
- Que dados podem estar afetados e quais certamente não estão, por exemplo porque os pagamentos passam por um prestador externo
- O que já fizeste: site limpo, palavras-passe renovadas, CNPD notificada
- O que os clientes devem fazer: mudar a palavra-passe se a usam noutros sítios e desconfiar de emails em teu nome que peçam pagamentos ou dados de acesso
- Uma pessoa de contacto com email ou telefone para dúvidas
09 / Guias
O site WordPress está sempre a ser atacado?
Quando um site é atacado vezes sem conta, quase sempre a porta de entrada nunca foi encontrada ou ficou uma segunda porta traseira por remover. Depois disso, é uma questão de rotina: atualizações do núcleo, plugins e tema em poucos dias, o menor número possível de plugins, nada de versões piratas, autenticação de dois fatores para todos os administradores e cópias de segurança guardadas fora da conta de alojamento.
Se o site é antigo, cheio de plugins abandonados e já sem estrutura, um site novo e limpo sai muitas vezes mais barato do que a terceira limpeza. O nosso artigo sobre sinais de que precisas de um redesign ajuda-te a decidir. É assim que trabalhamos: num site WordPress atacado, pomo-lo de novo no ar numa urgência e salvamos os dados, e depois passamo-lo para um site programado à medida, sem o peso de dezenas de plugins, no nosso serviço de desenvolvimento web. Manter WordPress a longo prazo não é algo que ofereçamos. Também vale a pena ler como escolher uma agência, sobretudo a parte do apoio depois do lançamento.
FAQ
Perguntas frequentes
01Como sei se o meu site foi hackeado?
Os sinais típicos são redirecionamentos para outros sites (muitas vezes só para quem vem do Google ou do telemóvel), páginas de spam numa pesquisa site:oteudominio.pt, avisos do browser, administradores desconhecidos e um alerta em Problemas de segurança no Google Search Console.
02Basta repor uma cópia de segurança?
Só como primeiro passo. A cópia tem de ser anterior ao ataque e, depois, tens de fechar a falha por onde o atacante entrou. Caso contrário, o site volta muitas vezes a ser atacado em poucos dias.
03Tenho de notificar a CNPD se o site for hackeado?
Se houver dados pessoais afetados e não for improvável um risco para as pessoas, sim: sem demora injustificada e, sempre que possível, até 72 horas, segundo o art. 33.º do RGPD. Tens de documentar o incidente internamente em qualquer caso. Isto não é aconselhamento jurídico.
04Quanto tempo demora a reparar um site hackeado?
Um site WordPress típico com uma cópia limpa volta muitas vezes ao ar no próprio dia. Sem cópia, ou numa loja grande, a limpeza pode levar um a três dias. A revisão do Google depois da limpeza acrescenta alguns dias.
05Porque é que o meu site WordPress está sempre a ser atacado?
Normalmente a porta de entrada continua aberta: um plugin desatualizado ou numa versão pirata, uma palavra-passe fraca, um segundo site esquecido na mesma conta de alojamento ou uma porta traseira que ficou na limpeza.
06Quanto custa reparar um site hackeado?
Depende do tamanho do site, das cópias de segurança e dos danos. Damos-te um orçamento fixo após uma conversa curta, antes de começarmos.