Site hackeado: o que fazer agora, sem piorar a situação

Resposta direta: se o seu site foi invadido, não apague nada às pressas. Primeiro tire o acesso do invasor: troque as senhas do painel da hospedagem, do WordPress e do FTP a partir de um computador limpo e ative a verificação em duas etapas. Depois faça uma cópia do site como está, para investigar. Só então limpe e feche a brecha que permitiu a entrada. Restaurar um backup sem descobrir como o invasor entrou costuma trazer o problema de volta em poucos dias.

Resposta rápida

1. Confirme os sinais.
2. Troque as senhas e ative a verificação em duas etapas.
3. Faça uma cópia do estado atual.
4. Descubra por onde o invasor entrou.
5. Limpe (ou restaure com critério).
6. Atualize tudo.
7. Peça a revisão ao Google, se houver alerta.

Sinais de que o site foi invadido

• O site redireciona sozinho para apostas, farmácias, golpes ou anúncios, às vezes só no celular ou só para quem vem do Google.
• O Chrome mostra a tela vermelha “Site enganoso à frente” ou “Este site pode prejudicar seu computador”.
• No Google aparecem páginas suas com títulos em outro idioma, de produtos que você não vende.
• Surgem usuários administradores que ninguém criou ou arquivos .php com nomes estranhos.
• A hospedagem avisa sobre malware ou suspende a conta.
• Os e-mails do domínio começam a ser recusados ou cair no spam, porque o servidor está enviando spam.
• O site ficou lento ou fora do ar sem motivo claro.

Causas mais comuns

1. Plugin ou tema desatualizado com falha conhecida. É a porta de entrada mais frequente em sites WordPress.
2. Plugin ou tema “pirata” (versão paga baixada de graça), que muitas vezes já vem com código malicioso.
3. Senha fraca ou repetida no painel, no FTP ou no WordPress, sem verificação em duas etapas.
4. Computador infectado de quem administra o site, com senhas roubadas.
5. Permissões de arquivo abertas demais ou hospedagem compartilhada mal isolada.
6. Versão antiga do PHP ou do próprio WordPress.

Passo a passo seguro nas primeiras horas

Siga a ordem. Não peça a ninguém que envie senhas por mensagem e não envie as suas.

1. Confirme de fora. Abra o site no celular usando os dados móveis e em janela anônima, para ver o que um visitante vê. Na nossa ferramenta de segurança passiva, verifique se o HTTPS está correto, se há conteúdo carregado de outros domínios e se a página expõe versões de software.
2. Troque as senhas a partir de um computador confiável: painel da hospedagem, usuários administradores do WordPress, FTP/SFTP e banco de dados (pelo painel da hospedagem). Ative a verificação em duas etapas onde houver. Remova administradores desconhecidos, mas anote o nome deles antes.
3. Faça uma cópia do estado atual. Baixe os arquivos e um backup do banco de dados como estão. Essa cópia serve para investigar, não para restaurar.
4. Veja se o Google detectou. No Google Search Console, abra Segurança e ações manuais → Problemas de segurança. Ali aparecem os tipos de problema e exemplos de URLs afetadas.
5. Ponha um aviso, se precisar. Se o site está enviando visitantes para golpes, colocar uma página de manutenção temporária protege seus clientes enquanto você resolve.
6. Não limpe no escuro. Apagar só os arquivos “estranhos” costuma deixar para trás uma porta dos fundos (backdoor), e o invasor volta. A limpeza correta compara os arquivos com as versões oficiais, revisa o banco de dados, o .htaccess, as tarefas agendadas e os usuários.
7. Se for restaurar um backup, escolha uma cópia anterior à invasão e, logo em seguida, atualize WordPress, plugins, temas e PHP e troque as senhas de novo. Sem isso, a mesma falha continua aberta.
8. Peça a revisão ao Google. Depois de limpar, use “Solicitar uma revisão” em Problemas de segurança no Search Console, explicando o que foi feito. O alerta só sai depois que o Google confirmar.

Quando chamar um especialista (e o risco de limpar errado)

Chame ajuda profissional se:

• o site voltou a ser invadido depois de uma limpeza;
• é uma loja ou um site com dados de clientes (aí pode haver obrigação de avaliar um incidente com dados pessoais, de acordo com a LGPD);
• o Google mostra alerta vermelho ou a hospedagem suspendeu a conta;
• você não sabe dizer por onde o invasor entrou.

O que pode dar errado numa limpeza malfeita:

• reinfecção em poucos dias;
• perda de pedidos e cadastros por restaurar uma cópia antiga demais;
• o site preso no alerta do Google por mais tempo;
• e, no pior caso, o servidor usado para atacar outros sites ou enviar spam com o nome da sua empresa.

Como a Site Firme resolve

A Site Firme atende de forma remota, por Teams, Zoom ou Google Meet, em todo o Brasil, sempre com autorização por escrito do dono do site:

1. Contenção: troca de acessos com você, bloqueio do invasor e página de manutenção, se necessário.
2. Cópia para investigar e análise de arquivos, banco de dados, usuários e registros de acesso, para achar a porta de entrada.
3. Limpeza e correção da falha, com atualização de tudo e reforço do servidor e do WordPress.
4. Pedido de revisão no Google Search Console e acompanhamento até o alerta sair.
5. Relatório do que foi encontrado e do que mudar para não se repetir.

A equipe tem as certificações CompTIA Security+ e AWS Cloud Practitioner. Não prometemos “segurança 100%”, porque ninguém pode prometer isso com honestidade. O que entregamos é redução de risco com evidência. O valor é sob consulta. Veja também segurança de sites e manutenção. Pedir ajuda agora.

Perguntas frequentes

Como saber se meu site foi hackeado?

Os sinais mais comuns são redirecionamento para outros sites, alerta vermelho do Google, páginas estranhas aparecendo na busca, usuários administradores desconhecidos, arquivos novos que ninguém criou e aviso da hospedagem. Veja também a seção Problemas de segurança do Google Search Console.

Meu site foi hackeado. O que fazer primeiro?

Troque as senhas da hospedagem, do WordPress e do FTP a partir de um computador confiável, ative a verificação em duas etapas e faça uma cópia do estado atual. Só depois investigue e limpe. Não apague arquivos às pressas.

Meu site está redirecionando sozinho. É vírus?

Na maioria das vezes, sim: é código malicioso inserido em arquivos, no banco de dados ou no .htaccess, muitas vezes só ativo para quem vem do Google ou do celular. Por isso o dono, logado, nem sempre vê. Veja site redirecionando sozinho.

Como tirar o aviso “site enganoso” do Google?

Primeiro limpe o site e corrija a falha. Depois, no Search Console, abra Problemas de segurança e clique em Solicitar uma revisão, descrevendo o que foi feito. O Google analisa e remove o aviso se não encontrar mais problemas. Veja site enganoso.

Restaurar o backup resolve?

Resolve só a sujeira, não a causa. Se o invasor entrou por um plugin desatualizado ou por uma senha vazada, ele volta pelo mesmo caminho. Restaure uma cópia anterior à invasão e, logo em seguida, atualize tudo e troque as senhas.

Como deixar meu site WordPress mais seguro?

Mantenha WordPress, plugins, temas e PHP atualizados, remova o que não usa, não instale plugins piratas, use senhas únicas com verificação em duas etapas e tenha backup automático fora do servidor. Um plano de manutenção cuida disso para você.