Site hackeado ou fora do ar: o que fazer nas primeiras horas

Você abre o site da empresa e aparece uma página de cassino. Ou o Google mostra um aviso vermelho dizendo que o site é perigoso. Ou o site simplesmente não abre, e o telefone começa a tocar. A primeira reação é apagar o que parece estranho e torcer para não voltar. Quase sempre volta.

Invasão de site é mais comum do que parece, e o erro mais caro acontece nas primeiras horas. No relatório de sites invadidos da Sucuri, publicado em 2024 com dados de 39.594 sites limpos pela equipe da empresa em 2023, 49,21% dos sites tinham pelo menos uma porta dos fundos instalada. Porta dos fundos (backdoor) é um arquivo escondido que deixa o invasor voltar quando quiser. Apagar só o que aparece na tela não tira esse arquivo. Este guia mostra a ordem certa.

Hora 1: pare o dano antes de investigar

O objetivo da primeira hora não é consertar. É impedir que a coisa piore.

• Ponha o site em manutenção ou tire do ar. Uma página simples de “voltamos em breve” protege quem visita e evita que o Google continue indexando conteúdo do invasor.
• Troque todas as senhas. Painel do site, hospedagem, banco de dados, FTP, e-mail do domínio e conta do registro do domínio. Use senhas novas e ative a verificação em duas etapas onde der.
• Revogue acessos que você não reconhece. Usuários administradores criados nos últimos dias, chaves de acesso antigas, ex-fornecedores que ainda entram no painel.
• Avise quem precisa saber. Atendimento, comercial e quem cuida do e-mail. Se clientes ligarem, todos dizem a mesma coisa.

Se você não tem acesso a nada disso porque tudo está no nome de um fornecedor antigo, esse é o primeiro problema a resolver. Nós já escrevemos sobre como recuperar código e acessos quando o freelancer some, e a lógica é a mesma aqui.

Hora 2: guarde provas antes de limpar

Parece contraintuitivo, mas antes de apagar qualquer coisa, faça uma cópia do estado atual. Arquivos, banco de dados e registros de acesso do servidor (os logs).

Essa cópia serve para três coisas:

1. Descobrir por onde o invasor entrou.
2. Saber se ele chegou a dados de clientes.
3. Ter registro, caso precise comunicar a ANPD ou responder a um cliente.

Guarde a cópia fora do servidor invadido. E não confunda com backup: essa cópia está contaminada e não deve ser usada para restaurar nada.

Por onde o invasor entrou

Limpar sem descobrir a porta de entrada é trocar o tapete com a janela aberta. As entradas mais comuns em sites de empresa são:

• Sistema desatualizado. Segundo a Sucuri, 39,1% dos sites invadidos rodavam um gerenciador de conteúdo (CMS) desatualizado no momento da infecção.
• Plugins e temas abandonados. Um plugin que ninguém atualiza há anos é uma porta conhecida por quem ataca.
• Senha fraca ou vazada. Principalmente no painel de administração e na hospedagem.
• Acesso esquecido. Um ex-fornecedor, um usuário de teste, uma chave de API que nunca foi revogada.

O mesmo relatório mostra o que o invasor costuma fazer depois de entrar. 20,3% dos sites limpos tinham spam de SEO: páginas falsas de remédio, cassino ou texto em japonês criadas dentro do seu domínio para aproveitar a reputação dele no Google. É por isso que às vezes o site parece normal para você e estranho para quem chega pela busca.

Um detalhe do relatório: 95,5% dos sites infectados que a Sucuri limpou eram WordPress. A própria empresa avisa que isso reflete a base de clientes dela e não prova que uma plataforma é mais insegura que outra. O que pesa é manutenção, não a marca do sistema.

Limpe o site inteiro, não só a página que apareceu

Com a porta de entrada identificada, a limpeza tem quatro partes:

1. Fechar a falha. Atualizar o sistema, remover plugins abandonados, corrigir a configuração que deixou a porta aberta.
2. Remover tudo o que o invasor colocou. Arquivos alterados, portas dos fundos, usuários falsos, páginas de spam e redirecionamentos.
3. Conferir o banco de dados. Spam e scripts maliciosos também ficam gravados ali, não só nos arquivos.
4. Restaurar só o que for comprovadamente limpo. Backup serve se for anterior à invasão. Se você não sabe quando ela começou, o backup também pode estar contaminado.

A ajuda do Google Search Console é clara num ponto: corrigir só algumas páginas não devolve o site à busca. O problema precisa sair de todas.

O aviso do Google: como tirar

Se o Google marcou o site como perigoso, quem busca vê um alerta antes de entrar, e muita gente desiste ali. Para tirar o aviso:

• Abra o relatório de problemas de segurança no Search Console. Ele mostra o tipo de problema, quando foi detectado e exemplos de páginas afetadas.
• Corrija todos os problemas listados, em todas as páginas.
• Clique em solicitar revisão e explique o problema, o que foi feito e o resultado.

Segundo o próprio Google, a revisão pode levar de alguns dias a algumas semanas. E o Google pede para não reenviar o pedido antes de receber a resposta. O guia de revisão do web.dev reforça: pedir revisão com o problema ainda no ar só prolonga o tempo em que o site fica marcado.

Ou seja: uma limpeza malfeita não custa só o retrabalho. Custa mais semanas com o aviso vermelho na frente de quem procura a sua empresa.

Se houve dados pessoais, o relógio da LGPD já está correndo

Formulário de contato, cadastro de clientes, área logada, pedidos. Se o site guarda dados pessoais e o invasor pode ter chegado a eles, existe prazo legal.

Segundo a página de incidentes de segurança da ANPD, a Resolução CD/ANPD nº 15/2024 determina que o controlador comunique a ANPD e os titulares afetados em até 3 dias úteis, quando o incidente puder causar risco ou dano relevante. A cópia que você guardou na hora 2 é o que permite responder com precisão o que vazou e o que não vazou.

Nessa parte, envolva o seu advogado ou o encarregado de dados da empresa. A decisão sobre comunicar é jurídica. O papel do time técnico é dar a resposta certa sobre o que foi acessado.

Limpar ou refazer o site

Depois da emergência, vem a pergunta que ninguém quer fazer: vale manter esse site?

Limpar e atualizar resolve quando:

• O site é recente e a base está em dia.
• A falha foi pontual, como uma senha vazada.
• Existe alguém responsável pelas atualizações daqui para frente.

Refazer faz mais sentido quando:

• O sistema e os plugins estão anos atrasados.
• Ninguém sabe quem fez nem como o site foi montado.
• A invasão é a segunda ou a terceira.

Se o site já mostrava outros sinais de idade, vale ler os sinais de que chegou a hora de refazer o site da empresa antes de pagar por uma limpeza que vai se repetir.

Como não passar por isso de novo

A maioria das invasões começa por algo que alguém deixou de fazer. O mínimo:

• Atualizações aplicadas com frequência, não só quando algo quebra.
• Backups automáticos, guardados fora do servidor e testados.
• Contas, domínio e hospedagem em nome da empresa, com verificação em duas etapas.
• Alguém olhando o site todo dia. É a ideia por trás de monitorar o sistema para saber do erro antes do cliente.

Como fazemos no Studio

Num resgate, começamos pelos acessos: código, arquivos e contas passam a ficar em nome do cliente. Depois fazemos o diagnóstico, que separa o que dá para limpar do que precisa ser refeito. Só então fechamos preço e prazo, com o prazo escrito no contrato. A equipe de devs é do próprio Studio.

E todo sistema que entregamos sai com um agente de IA que roda todo dia, aponta falhas, sugere melhorias e confere se os dados fazem sentido. É o tipo de olhar diário que faz uma invasão ser percebida em horas, e não pelo telefonema de um cliente.

Se o site da sua empresa foi invadido ou caiu e você precisa colocar tudo de volta no ar com segurança, o resgate de projeto do Studio começa pelo diagnóstico.