# Site comprometido, o que fazer? Assistência de emergência remota

> Site comprometido? Preservamos os vestígios, contemos o ataque, limpamos o servidor e documentamos o incidente. Assistência de emergência remota para empresas.

Fonte: https://phpsos.de/pt/leistungen/website-gehackt-notfallhilfe/  
Atualizado em: 25/10/2026  
Prestador: PHP SOS, Assistência de emergência PHP e segurança de servidores. Ajuda imediata por WhatsApp: https://wa.me/491736494914?text=Ol%C3%A1%2C%20PHP%20SOS%2C%20precisamos%20de%20ajuda%20com%20o%20nosso%20servidor%20PHP.%20Empresa%3A%20%E2%80%A6%20Site%3A%20%E2%80%A6

**Em resumo:** quando o seu site foi comprometido, a pergunta mais importante é “o que fazer sem destruir vestígios?”. Assumimos remotamente a contenção, preservamos registos e ficheiros, removemos o código malicioso, fechamos a porta de entrada e documentamos tudo. As decisões continuam consigo; nós fornecemos os factos técnicos.

## Site comprometido: o que fazer na primeira hora?

Os primeiros passos decidem se o incidente poderá ser esclarecido de forma limpa mais tarde. A calma é mais importante do que a rapidez a qualquer preço. Estes pontos pode executá-los de imediato por si:

- **Não apagar nada:** não remover ficheiros, não reinstalar por cima do estado antigo, não repor uma cópia de segurança antes de a preservar.
- **Isolar:** colocar o site em modo de manutenção ou desligá-lo temporariamente da rede, se os visitantes estiverem em risco ou se puderem estar a sair dados.
- **Guardar os registos:** pedir ao seu fornecedor de alojamento que não sobrescreva os registos de acesso e de erros. No caso do PHP2Shell, a imprensa especializada aconselha a conservar os registos do servidor desde 20/10/2026.
- **Anotar os acessos:** quem tem acessos de administração, FTP, SSH e painel? Alterar as palavras-passe só depois de combinado, e a partir de um dispositivo limpo.
- **Informar os envolvidos:** a administração, o encarregado da proteção de dados e, havendo apólice, a seguradora.

> **Agir de imediato:**
> Parta do princípio de que um atacante com acesso ao servidor web pôde ler também credenciais de ficheiros de configuração. Os acessos à base de dados, ao correio e a APIs devem por isso constar da lista de segredos a alterar.

Os sinais que indicam um comprometimento são descritos na página [Já estou comprometido?](https://phpsos.de/pt/php2shell/bin-ich-gehackt-anzeichen/).

## Como ajuda concretamente a PHP SOS?

1. **Panorama da situação:** esclarecemos consigo o que foi observado, que sistemas podem estar afetados e que dados lá se encontram. Daí resulta uma breve avaliação com os passos seguintes.
2. **Preservar e conter:** preservamos ficheiros, base de dados e registos antes de qualquer alteração. Depois contemos o ataque, por exemplo bloqueando acessos suspeitos, desativando funções infetadas ou isolando temporariamente o sistema.
3. **Encontrar e fechar a porta de entrada:** verificamos a versão do PHP e o nível de patch, o CMS, as extensões e os acessos. Se a entrada via PHP2Shell for plausível, aplicamos o patch e reiniciamos todos os processos PHP.
4. **Limpar e recuperar:** webshells, backdoors e ficheiros manipulados são removidos, ou o estado é reconstruído a partir de fontes fiáveis. Os pormenores constam de [Remoção de malware e webshells](https://phpsos.de/pt/leistungen/malware-entfernung/).
5. **Encerramento e relatório:** recebe a documentação do incidente e recomendações de hardening. Se for necessário um esclarecimento com valor probatório em tribunal, recorremos a parceiros especializados em perícia forense.

## O que recebe de nós

- uma cronologia do incidente, na medida em que os vestígios a permitam comprovar
- uma lista dos componentes maliciosos encontrados e removidos
- a descrição da provável porta de entrada, claramente separada em comprovado, provável e desconhecido
- uma lista de todos os acessos e segredos alterados
- recomendações sobre o que deve ser protegido de forma duradoura

O relatório ajuda nas conversas com o encarregado da proteção de dados, a seguradora e, se for o caso, a polícia. Para o enquadramento jurídico, por exemplo a [obrigação de notificação do RGPD no prazo de 72 horas](https://phpsos.de/pt/compliance/dsgvo-meldepflicht-72-stunden/), não substitui o aconselhamento de especialistas.

## O que precisamos de si

- **Acessos:** ao servidor (SSH ou painel), ao backend do CMS e à base de dados ou, em alternativa, a autorização para falarmos diretamente com o seu fornecedor de alojamento
- **Interlocutor:** uma pessoa contactável com poder de decisão sobre desligar, reiniciar e alterar palavras-passe
- **Informações:** desde quando o problema é visível, que alterações houve recentemente, quem teve acesso
- **Cópias de segurança:** onde estão e que idade têm
- **Contacto com prestadores de serviços:** a agência, o programador ou o fornecedor de alojamento que conhecem o sistema

## O que não prometemos

Não podemos prometer que todo o ataque seja totalmente reconstituível. Se faltarem registos ou já tiverem sido sobrescritos, ficam lacunas, e nós assinalamo-las abertamente. Também não prometemos que um site limpo permaneça seguro para sempre. Trabalhamos no incidente até estar concluído e documentado e dizemos-lhe o que ainda há a fazer depois.

Não prestamos aconselhamento jurídico. As questões sobre obrigações de notificação, responsabilidade ou cobertura do seguro devem ser tratadas com o encarregado da proteção de dados, um advogado e a seguradora. Para um tratamento estruturado após o incidente, ajuda a nossa [lista de verificação após um ataque](https://phpsos.de/pt/ratgeber/checkliste-nach-dem-hack/).

## Quando é necessário um tratamento de incidente mais amplo

Alguns incidentes vão além de um único site: vários servidores, dados de clientes extraídos, extorsão ou um atacante que se desloca pela rede. Nesse caso, passamos a uma [resposta a incidentes](https://phpsos.de/pt/leistungen/incident-response/) estruturada, com funções definidas, pontos de situação e comunicação coordenada. Falamos consigo sobre a transição assim que ela se vislumbrar.

Mesmo depois de um incidente menor, vale a pena olhar em frente. Um site limpo, sem hardening, atualizações e vigilância, continua a ser um alvo óbvio, porque os atacantes voltam muitas vezes a verificar vítimas conhecidas. Por isso, é aconselhável definir, depois do encerramento, quem passa a ser responsável por atualizações, cópias de segurança e controlo. Muitas vezes, o incidente revela precisamente aí uma lacuna: ninguém se sentia responsável, ou os acessos estavam com um prestador de serviços que já não era contactável. Esclarecemos estas questões consigo na conversa final, para que o incidente conduza a uma operação melhor.


## Perguntas frequentes

**Devo apagar de imediato o site comprometido e reinstalá-lo?**  
Por favor, não precipitadamente. Quem apaga tudo destrói os vestígios que mostram como o atacante entrou e se houve fuga de dados. É melhor desligar o site da rede ou isolá-lo e, primeiro, preservá-lo.

**Como reconheço que o meu site foi comprometido?**  
Sinais típicos são redirecionamentos estranhos, páginas de spam no índice do Google, contas de administrador desconhecidas, ficheiros PHP novos ou avisos do navegador, do fornecedor de alojamento ou do Google. Também uma carga do servidor muito mais elevada ou tráfego de saída invulgar podem ser indícios.

**Tenho de notificar um ataque informático?**  
Se puderem estar em causa dados pessoais, pode existir a obrigação de notificar a autoridade de controlo no prazo de 72 horas. Se isso se aplica no seu caso, esclareça-o com o seu encarregado da proteção de dados ou com um advogado.

**A assistência de emergência também ajuda se o servidor estiver num fornecedor de alojamento?**  
Sim. Trabalhamos com o acesso de que dispõe e, se necessário, articulamo-nos com o seu fornecedor de alojamento. O que podemos verificar depende dos direitos que nos puder conceder.

## Fontes

- [BSI: Gabinete Federal Alemão para a Segurança da Informação](https://www.bsi.bund.de/)
- [RGPD Art. 33: notificação à autoridade de controlo](https://dsgvo-gesetz.de/art-33-dsgvo/)
- [Ajuda do Google Search Console](https://support.google.com/webmasters/)
- [Polícia: pontos de contacto centrais para o cibercrime](https://www.polizei.de/)