Reindirizzamenti anomali
Il sito porta gli utenti verso domini o pagine che non appartengono all’azienda.
Emergenza sito compromesso
Sito hackerato? Interveniamo per analizzare e contenere il problema
Se il sito mostra contenuti anomali, reindirizza verso altre pagine, invia spam o risulta bloccato, è necessario limitare l’incidente e identificare l’origine della compromissione.
- Analisi dei file, dei log e degli accessi disponibili
- Individuazione di codice e modifiche sospette
- Contenimento e pulizia dell’ambiente compromesso
- Ripristino e rafforzamento delle configurazioni
Sito bloccato
Browser, motori di ricerca o provider segnalano contenuti pericolosi o sospetti.
Accessi sconosciuti
Compaiono utenti, file o modifiche che nessuno riconosce.
Prime azioni
Cosa fare quando scopri che il sito è stato compromesso
L’obiettivo iniziale è evitare ulteriori danni, preservare le informazioni disponibili e impedire che utenti e clienti continuino a essere esposti al contenuto malevolo.
Limita l’accesso al sito
Quando possibile, metti temporaneamente offline le funzionalità compromesse o l’intero sito.
Conserva una copia dello stato attuale
File, database e log possono contenere elementi utili all’analisi dell’incidente.
Proteggi gli accessi
Le credenziali devono essere cambiate, ma preferibilmente da dispositivi ritenuti affidabili.
Raccogli la cronologia
Annota quando è stato notato il problema e quali modifiche, aggiornamenti o accessi lo hanno preceduto.
Errori da evitare
Azioni affrettate possono nascondere il problema senza risolverlo
Rimuovere un singolo file sospetto o installare un nuovo plugin non garantisce che l’accesso utilizzato dall’attaccante sia stato chiuso.
Cancellare tutto
Può eliminare tracce, log e informazioni utili alla ricostruzione.
Ripristinare senza analisi
La vulnerabilità utilizzata può essere ancora presente anche nella copia ripristinata.
Aggiungere strumenti casuali
Plugin e script installati durante l’emergenza possono aumentare la complessità.
Ignorare gli altri accessi
Hosting, FTP, SSH, email e database possono condividere credenziali compromesse.
Analisi dell’incidente
Cosa verifichiamo in un sito hackerato
L’analisi viene adattata alla tecnologia utilizzata, al livello di accesso disponibile e allo stato dell’infrastruttura.
File modificati
Cerchiamo codice estraneo, file aggiunti, script offuscati e modifiche non riconosciute.
Database
Verifichiamo utenti, contenuti, configurazioni e valori sospetti memorizzati.
Log disponibili
Accessi web, autenticazioni ed errori possono aiutare a individuare richieste anomale.
Utenti e credenziali
Controlliamo account amministrativi, accessi tecnici e autorizzazioni inattese.
Possibili punti di ingresso
La compromissione può dipendere da componenti e accessi differenti
La presenza di malware è l’effetto dell’incidente: per ridurre il rischio di una nuova intrusione occorre cercarne anche la causa.
Software vulnerabile
CMS, plugin, temi o librerie non aggiornati.
Credenziali compromesse
Password deboli, riutilizzate o sottratte da dispositivi infetti.
Permessi eccessivi
File e utenti con autorizzazioni superiori a quelle necessarie.
Ambiente condiviso
Un altro sito o account sullo stesso spazio può essere stato compromesso.
Contenimento e pulizia
Rimuovere il codice malevolo e chiudere gli accessi individuati
Le operazioni dipendono dal livello della compromissione, dalla disponibilità di copie affidabili e dalla tecnologia utilizzata.
Rimozione degli elementi sospetti
File e modifiche individuati vengono rimossi o sostituiti con versioni considerate affidabili.
Aggiornamento dei componenti
Software obsoleto può essere aggiornato o sostituito dopo le verifiche di compatibilità.
Eliminazione degli accessi estranei
Account, chiavi e credenziali non autorizzati vengono revocati.
Rafforzamento delle configurazioni
Permessi, accessi e componenti non necessari vengono riesaminati.
Ripristino del servizio
Il sito torna online dopo le verifiche necessarie
La riapertura dipende dalla possibilità di ottenere un ambiente coerente, aggiornato e privo degli elementi individuati.
Valutazione dei backup
Le copie disponibili vengono confrontate con il periodo dell’incidente.
Verifiche funzionali
Pagine, form, accessi e funzioni principali vengono controllati.
Nuova scansione
L’ambiente viene riesaminato prima della riapertura al pubblico.
Rimessa online
Il servizio viene riattivato dopo i controlli concordati.
Dopo l’emergenza
Ridurre il rischio di una nuova compromissione
Nessun sistema può essere dichiarato inattaccabile, ma aggiornamenti, controlli e configurazioni adeguate possono ridurre l’esposizione.
Aggiornamenti periodici
CMS, componenti e dipendenze devono essere mantenuti e verificati.
Accessi più sicuri
Credenziali uniche, permessi limitati e autenticazione aggiuntiva dove possibile.
Backup separati
Le copie devono essere conservate fuori dall’ambiente principale.
Monitoraggio
Disponibilità, modifiche ed eventi significativi possono essere controllati.
Come interveniamo
Dal contenimento al ripristino del sito
L’ordine delle attività viene adattato alla gravità dell’incidente e agli accessi tecnici disponibili.
Contenimento e analisi
Limitiamo l’esposizione, raccogliamo le informazioni e individuiamo gli elementi sospetti.
Pulizia e correzione
Rimuoviamo il codice malevolo e interveniamo sui punti di accesso individuati.
Verifica e ripristino
Controlliamo il sito, riattiviamo il servizio e riepiloghiamo le attività svolte.
Richiedi un intervento urgente
Il tuo sito mostra segnali di compromissione?
Indicaci dominio, tecnologia utilizzata, messaggi visualizzati e momento in cui è stato scoperto il problema.