In breve: quando il Suo sito web è stato hackerato, la domanda più importante è «che cosa fare senza distruggere le tracce?». Ci occupiamo da remoto del contenimento, salviamo log e file, rimuoviamo il codice dannoso, chiudiamo la porta d'ingresso e documentiamo tutto. Le decisioni restano a Lei, i fatti tecnici li forniamo noi.
Sito web hackerato: che cosa fare nella prima ora?
I primi passi decidono se l'incidente potrà poi essere chiarito in modo pulito. La calma conta più della velocità a ogni costo. Questi punti può svolgerli subito da solo:
- Non cancellare nulla: nessun file da rimuovere, nessuna reinstallazione sopra lo stato precedente, nessun ripristino di un backup prima che sia stato effettuato il salvataggio.
- Isolare: mettere il sito web in modalità manutenzione o scollegarlo temporaneamente dalla rete, se i visitatori sono in pericolo o se possono fuoriuscire dei dati.
- Conservare i log: chiedere al Suo hoster di non sovrascrivere i registri di accesso e di errore. Per PHP2Shell la stampa specializzata consiglia di conservare i log del server a partire dal 20/10/2026.
- Annotare gli accessi: chi ha accessi admin, FTP, SSH e al pannello? Le password si cambiano solo dopo averlo concordato, e da un dispositivo pulito.
- Informare gli interessati: la direzione, i responsabili della protezione dei dati e, se esiste una polizza, l'assicuratore.
Parta dal presupposto che un aggressore con accesso al server web abbia potuto leggere anche credenziali contenute nei file di configurazione. Gli accessi a database, posta e API vanno quindi inseriti nell'elenco dei segreti da modificare.
Quali segni indichino una compromissione è descritto alla pagina Sono già stato compromesso?.
Come aiuta concretamente PHP SOS?
- Quadro della situazione: chiariamo con Lei che cosa è stato osservato, quali sistemi potrebbero essere interessati e quali dati vi si trovano. Ne nasce una breve valutazione con i passi successivi.
- Salvare e contenere: salviamo file, database e log prima che venga modificato qualcosa. Poi conteniamo l'attacco, ad esempio bloccando accessi sospetti, disattivando le funzioni infette o isolando temporaneamente il sistema.
- Trovare e chiudere il punto d'ingresso: verifichiamo versione di PHP e stato delle patch, CMS, estensioni e accessi. Se l'ingresso tramite PHP2Shell appare plausibile, applichiamo la patch e riavviamo tutti i processi PHP.
- Bonificare e ripristinare: web shell, backdoor e file manipolati vengono rimossi, oppure lo stato viene ricostruito da fonti attendibili. I dettagli sono alla pagina Far rimuovere malware e web shell.
- Chiusura e rapporto: riceve una documentazione dell'incidente e raccomandazioni per l'hardening. Se è necessario un chiarimento valido in tribunale, coinvolgiamo partner specializzati in analisi forense.
Che cosa riceve da noi
- una linea temporale dell'incidente, nella misura in cui è dimostrabile dalle tracce
- un elenco dei componenti dannosi trovati e rimossi
- la descrizione del probabile punto d'ingresso, distinta con chiarezza in provato, probabile e sconosciuto
- un elenco di tutti gli accessi e i segreti modificati
- raccomandazioni su che cosa mettere in sicurezza in modo duraturo
Il rapporto è utile nelle conversazioni con i responsabili della protezione dei dati, l'assicuratore e, se del caso, la polizia. Per l'inquadramento giuridico, ad esempio l'obbligo di notifica GDPR entro 72 ore, non sostituisce la consulenza di professionisti.
Che cosa ci serve da Lei
- Accessi: al server (SSH o pannello), al backend del CMS e al database, in alternativa l'autorizzazione a parlare direttamente con il Suo hoster
- Referente: una persona raggiungibile con potere decisionale per spegnimenti, riavvii e cambi di password
- Informazioni: da quando il problema è evidente, quali modifiche ci sono state di recente, chi aveva accesso
- Backup: dove si trovano i salvataggi e quanto sono vecchi
- Contatti con fornitori di servizi: agenzia, sviluppatore o hoster che conoscono il sistema
Che cosa non promettiamo
Non possiamo promettere che ogni attacco sia ricostruibile per intero. Se mancano i log o sono già stati sovrascritti, restano delle lacune, e le indichiamo apertamente. Non promettiamo neppure che un sito bonificato resti sicuro per sempre. Lavoriamo sull'incidente finché non è concluso e documentato, e Le diciamo che cosa resta da fare dopo.
Non forniamo consulenza legale. Le domande su obblighi di notifica, responsabilità o copertura assicurativa spettano a responsabili della protezione dei dati, avvocati e assicuratori. Per un'elaborazione strutturata dopo l'incidente è utile la nostra checklist dopo un hack.
Quando serve una gestione più ampia dell'incidente
Alcuni incidenti vanno oltre un singolo sito web: più server, dati dei clienti sottratti, estorsione o un aggressore che si muove nella rete. In tal caso passiamo a un'incident response strutturata, con ruoli definiti, riunioni sulla situazione e comunicazione concordata. Il passaggio lo discutiamo con Lei non appena si profila.
Anche dopo un incidente minore vale la pena guardare avanti. Un sito web bonificato, senza hardening, aggiornamenti e monitoraggio, resta un bersaglio evidente, perché gli aggressori spesso ricontrollano le vittime già note. Ha quindi senso stabilire, a chiusura, chi sarà in futuro responsabile di aggiornamenti, backup e controlli. Spesso l'incidente mostra proprio lì una lacuna: nessuno si sentiva responsabile, oppure gli accessi erano in mano a un fornitore non più raggiungibile. Chiariamo queste questioni con Lei nel colloquio conclusivo, in modo che dall'incidente nasca una gestione migliore.
Domande frequenti
Devo cancellare subito il sito web hackerato e reinstallarlo?
Meglio non farlo in fretta. Chi cancella tutto distrugge le tracce che mostrano come è entrato l'aggressore e se sono stati sottratti dei dati. È meglio scollegare il sito dalla rete o isolarlo e prima di tutto effettuare un salvataggio.
Da che cosa capisco che il mio sito web è stato hackerato?
Segni tipici sono reindirizzamenti verso siti estranei, pagine di spam nell'indice di Google, account admin sconosciuti, nuovi file PHP o avvisi da parte di browser, hoster o Google. Anche un carico del server improvvisamente aumentato o un traffico in uscita anomalo possono essere indizi.
Devo denunciare un attacco informatico?
Se possono essere coinvolti dati personali, può sussistere l'obbligo di notifica all'autorità di controllo entro 72 ore. Se ciò valga nel Suo caso, lo chiarisca per favore con il Suo responsabile della protezione dei dati o con un avvocato.
L'assistenza urgente serve anche se il server si trova presso l'hoster?
Sì. Lavoriamo con l'accesso di cui dispone e, se necessario, ci coordiniamo con il Suo hoster. Che cosa possiamo verificare dipende dai privilegi che può concederci.