Site pirateado: o que fazer nas primeiras 24 horas, por ordem

Como perceber que o teu site foi pirateado

Raramente descobres um ataque por ti. Quase sempre é um cliente que te manda uma mensagem: “o teu site abriu uma página de apostas”, “o Google diz que o teu site pode ser perigoso”, “recebi um email teu muito estranho”. Às vezes é pior: dás com o problema semanas depois, quando reparas que as visitas do Google caíram a pique sem explicação.

No trabalho que faço como consultor de SEO, um site atacado é das urgências que mais interrompem um projeto. Quem me procura por consultoria SEO em Portugal quer aparecer mais no Google, e um site pirateado faz exatamente o contrário: afasta visitas, assusta clientes e pode levar o Google a esconder as tuas páginas.

E quando o negócio tem morada e vive de clientes da zona, o estrago estende-se ao mapa. O Perfil de Empresa no Google aponta para o teu site. Todo o trabalho de SEO local que te faz aparecer no Google Maps passa a enviar pessoas para uma página comprometida, e quem clica em “Website” pode cair num aviso vermelho ou num site que nada tem a ver contigo.

Os sinais que tu próprio consegues ver

Antes de entrares em pânico, confirma o diagnóstico. Estes são os sinais mais comuns:

• Redirecionamentos estranhos. Abres o site no telemóvel e vais parar a outra página. Muitas vezes só acontece a quem chega pelo Google, por isso testa também a partir de uma pesquisa.
• Páginas que não criaste. Pesquisa no Google por site: seguido do teu domínio. Se aparecerem páginas em japonês, de produtos de farmácia ou de apostas, alguém as pôs lá.
• Avisos no browser. Uma página vermelha a dizer que o site pode ser perigoso, antes de deixar entrar.
• Contas que não conheces. Um utilizador administrador novo no WordPress, com um nome genérico.
• Emails que não escreveste. Clientes a receber mensagens do teu domínio, ou o teu email a cair no spam de um dia para o outro.

Os sinais que o Google te mostra

O Google também te avisa, se souberes onde olhar. Nos resultados, pode aparecer a frase “Este site pode ter sido pirateado” por baixo do teu título. Na Search Console, a ferramenta gratuita do Google para donos de sites, existe um relatório de problemas de segurança que lista o que foi detetado e dá exemplos de páginas afetadas.

Se reconheces pelo menos um destes sinais, tens um site pirateado. O que fazer a seguir está no plano abaixo.

Site pirateado: o que fazer nas primeiras 24 horas

Com um site pirateado, o que fazer primeiro não é limpar, é conter. Pensa num cano rebentado em casa: antes de secares o chão, fechas a água. A ordem abaixo existe para não estragares provas, não deixares o atacante voltar a entrar e não teres de fazer tudo duas vezes.

1. Conter o problema

   Na primeira hora. Pede ao alojamento que coloque o site em modo de manutenção ou o desligue temporariamente. Tira uma cópia do estado atual, mesmo infetado, para se perceber depois por onde entraram.

2. Mudar todas as chaves

   Nas primeiras quatro horas. Troca as palavras-passe do WordPress, do alojamento, do FTP, da base de dados e do email. Apaga administradores desconhecidos e ativa a verificação em dois passos.

3. Limpar ou repor

   Até ao fim do dia. Repõe uma cópia de segurança anterior ao ataque ou faz uma limpeza completa. Atualiza o WordPress, o tema e os plugins, e remove o que não usas.

4. Avisar o Google e os clientes

   Quando o site estiver limpo. Pede a revisão na Search Console, avisa quem possa ter recebido emails falsos e confirma se há dados pessoais envolvidos.

Primeira hora: fechar a água

Liga ao teu alojamento ou a quem gere o site e explica o que se passa. Os bons alojamentos têm procedimentos para isto e podem isolar o site. Se não tens os acessos ao alojamento, ou não sabes sequer onde o site está, é aqui que percebes a importância de ter tudo em teu nome. Expliquei como resolver isso no guia para recuperar acesso ao site quando a agência ou o freelancer desaparece.

Faz também uma cópia do site no estado em que está. Parece estranho guardar um site infetado, mas é essa cópia que mostra que ficheiros foram alterados e quando. Sem ela, quem limpar o site anda às cegas.

Primeiras horas: mudar as chaves todas

Um atacante que entrou uma vez deixa quase sempre uma porta aberta para voltar. Muda as palavras-passe de tudo o que toca no site, a partir de um computador que saibas estar limpo: painel do WordPress, painel do alojamento, acessos de transferência de ficheiros, base de dados e contas de email do domínio. Se o teu domínio também ficou exposto, confirma em nome de quem está registado, como explico no artigo sobre quem é o dono do domínio.

No WordPress, vai a Utilizadores e apaga qualquer administrador que não reconheças. Aproveita para remover as contas de antigos colaboradores e de agências com quem já não trabalhas. Cada conta esquecida é uma porta a mais.

Até ao fim do dia: limpar ou repor

Aqui decides entre duas estradas, e a escolha depende sobretudo de uma coisa: tens ou não uma cópia de segurança limpa e recente?

Limpar o site ou repor uma cópia de segurança?

Repor uma cópia anterior ao ataque é quase sempre o caminho mais rápido. Mas só funciona se a cópia existir, estiver guardada fora do alojamento atacado e for de uma data em que o site ainda estava limpo. E atenção: repor sem corrigir a falha que deixou o atacante entrar é convidá-lo a voltar na semana seguinte.

Se o site já não atualizava antes do ataque, é muito provável que tenha sido por aí que entraram. Nem sempre isso significa fazer um site novo. Expliquei como distinguir as duas situações no artigo sobre o WordPress que não atualiza.

O que nunca fazer quando o site é atacado

Com um site pirateado, o que fazer importa tanto como o que evitar. Estes são os erros que transformam um susto de um dia num problema de meses:

• Apagar tudo e começar do zero sem perceber como entraram. O site novo fica com a mesma fraqueza e perdes as provas.
• Mudar as palavras-passe a partir de um computador infetado. Se o problema começou no teu computador, quem te atacou vê as palavras-passe novas.
• Pagar a quem te contacta a oferecer “limpeza imediata” depois do ataque, sem saberes quem é. Há quem aproveite o momento de aflição.
• Pedir a revisão ao Google antes de o site estar limpo. Um pedido rejeitado atrasa a recuperação.
• Ignorar porque “o site ainda abre”. Muitos ataques são invisíveis para o dono e só aparecem a quem vem do Google.
• Esconder o problema dos clientes quando há emails falsos a circular em teu nome.

Site pirateado: o que fazer para não perderes as posições no Google

Esta é a parte que liga o susto ao SEO. O Google quer proteger quem pesquisa. Quando deteta um site pirateado, pode mostrar avisos, retirar páginas dos resultados ou baixar a confiança no domínio. Não é um castigo pessoal; é uma forma de evitar que pessoas caiam em páginas perigosas.

A boa notícia é que o caminho de volta está bem definido:

1. Confirma na Search Console que o site está verificado em teu nome e abre o relatório de problemas de segurança.
2. Corrige todos os exemplos listados e procura outros semelhantes, porque a lista mostra só uma amostra.
3. Remove as páginas de spam que foram criadas e garante que os endereços delas devolvem erro, em vez de redirecionarem para a página inicial.
4. Pede a revisão através do próprio relatório, explicando o que foi feito. A Google descreve bem como pedir uma revisão depois de limpar um site.
5. Acompanha o desempenho nas semanas seguintes, para veres as páginas a voltar.

Quanto mais depressa fizeres isto, menor o estrago. Um site limpo em 24 horas e com a revisão pedida no próprio dia recupera, na maioria dos casos, sem marcas visíveis. Um site que fica semanas com avisos perde visitas, avaliações de confiança e, por arrasto, contactos. Por isso, quando alguém me procura como consultor de SEO e segurança de sites para pequenas empresas em Lisboa, a primeira coisa que verifico é se o site está saudável aos olhos do Google, antes de falar de palavras-chave.

E se o ataque também afetou o email?

É frequente. Quem entra no site usa muitas vezes o servidor para enviar spam em teu nome, e o resultado é o teu email começar a cair no lixo dos clientes. Depois de limpares o site, confirma se os teus emails continuam a chegar. Se não chegarem, os passos são os do artigo sobre emails que vão para o spam.

Os dados dos teus clientes e o RGPD

Se o site tem formulários de contacto, uma loja online ou uma área de clientes, um ataque pode ter exposto dados pessoais: nomes, emails, telefones, moradas, encomendas. Nesse caso, o Regulamento Geral sobre a Proteção de Dados pode obrigar-te a notificar a autoridade de proteção de dados no prazo de 72 horas depois de teres conhecimento e, em certas situações, as pessoas afetadas.

Não entres em pânico com isto, mas não o ignores. Regista o que aconteceu, quando deste por isso e o que fizeste. Se houver dúvidas sobre a obrigação de notificar, fala com um advogado ou com o teu encarregado de proteção de dados. Esta parte é informativa e não substitui aconselhamento jurídico.

Porque é que os sites são pirateados

Quase nunca é um ataque pessoal. A grande maioria dos ataques é automática: programas que percorrem a internet à procura de sites com uma fraqueza conhecida. Se o teu site tem essa fraqueza, entra na lista, seja de uma multinacional ou de uma pastelaria.

As portas de entrada mais comuns são sempre as mesmas:

• Plugins e temas desatualizados, sobretudo os abandonados pelos criadores.
• Palavras-passe fracas ou repetidas, usadas noutros serviços que já foram expostos.
• Contas esquecidas de antigos colaboradores, agências ou freelancers.
• Plugins piratas, versões pagas descarregadas de sites duvidosos, que já vêm com código malicioso.
• Alojamento sem manutenção, com versões antigas de software no servidor.

Um cenário que se repete: um pequeno negócio de Lisboa notou que as visitas do Google tinham caído para metade em três semanas. O site parecia normal a quem lá entrava diretamente. Mas quem chegava pelo Google era enviado para uma loja de produtos falsificados. A porta de entrada era um plugin de formulários que não era atualizado há dois anos. Com uma cópia de segurança limpa, o site foi reposto no próprio dia, o plugin foi substituído e a revisão foi pedida. As posições voltaram ao fim de umas semanas.

A checklist para não voltar a acontecer

Depois do susto, vem a parte que realmente protege o negócio. É menos trabalhosa do que parece e evita quase todos os ataques automáticos:

• Atualizações regulares do WordPress, do tema e dos plugins, com uma verificação depois de cada atualização.
• Plugins reduzidos ao essencial, sem versões piratas e sem extensões abandonadas.
• Palavras-passe únicas guardadas num gestor de palavras-passe, nunca partilhadas por email.
• Verificação em dois passos no WordPress, no alojamento, no registador do domínio e no email.
• Contas revistas todos os trimestres, apagando quem já não trabalha contigo.
• Cópias de segurança automáticas guardadas fora do alojamento e testadas de vez em quando.
• Search Console ativa com os alertas a chegar a um email da empresa que alguém lê.
• Tudo em nome da empresa: domínio, alojamento e acessos de administrador.

Se não tens tempo nem paciência para isto, não és o único. É precisamente o que entra numa manutenção WordPress séria: atualizações, cópias de segurança, revisão de contas e alertas de segurança, feitos com regularidade e não só depois de um susto.

Conclusão: um dia mau não tem de virar um mês mau

Site pirateado, o que fazer? Contém primeiro, muda todas as chaves, limpa ou repõe uma cópia de segurança, corrige a porta de entrada e só então avisa o Google. Feito por esta ordem, o mais provável é que os clientes mal deem por isso e que as posições voltem ao sítio.

E depois, trata da prevenção. Um site atualizado, com contas arrumadas e cópias fora do alojamento, é um site que o Google confia e que os clientes encontram sem sustos.