O meu site foi pirateado: plano de ação

Um site pirateado é incómodo, mas com um plano de ação fixo consegue limpá-lo e evitar que volte a acontecer. O mais importante: restaurar apenas uma cópia de segurança não é suficiente. Se não souber como o intruso entrou, a porta continua aberta.

Como perceber que o seu site foi pirateado?

• Os visitantes acabam noutro site, muitas vezes só a partir do Google ou só num telemóvel.
• O Google mostra no seu site Este site pode estar pirateado, ou aparecem páginas estranhas do seu domínio nos resultados de pesquisa.
• O seu navegador ou antivírus alerta para o seu próprio site.
• Há ficheiros ou administradores no WordPress que não reconhece.
• Recebe uma notificação nossa, ou o Imunify360 encontrou malware.
• A sua caixa de correio envia spam, ou atinge de repente o limite de envio (ver O que fazer se o seu endereço de e-mail foi utilizado indevidamente).

Passo 1: manter a calma e registar tudo

Não elimine tudo de imediato. Anote o que observa, quando começou, e faça capturas de ecrã. Vai precisar dessa informação para descobrir a causa, e nós também, caso peça ajuda.

Passo 2: alterar todas as palavras-passe

Parta do princípio de que um intruso conhece uma palavra-passe. Altere todas, de preferência a partir de outro computador que não o que utiliza normalmente, caso este esteja infetado:

1. A palavra-passe do Mijn WebOké. O código extra ao iniciar sessão está sempre ativado; se preferir uma aplicação autenticadora em vez do código por e-mail, configure-a em A minha administração e Dados de acesso.
2. A sua palavra-passe do DA (ver Definir ou alterar a sua palavra-passe do DA). Isto aplica-se também à conta de FTP predefinida.
3. As palavras-passe de contas de FTP adicionais (ver Criar e gerir contas de FTP). Elimine as contas que já não utiliza.
4. Todos os administradores no WordPress ou noutro CMS. Elimine os administradores que não reconhece.
5. A palavra-passe do utilizador da base de dados (ver Utilizadores de bases de dados, permissões e palavras-passe). Depois, atualize-a também no ficheiro de configuração do seu site, como o wp-config.php.
6. Uma caixa de correio está a enviar spam? Altere também essa palavra-passe (ver Alterar a palavra-passe de um endereço de e-mail).

Depois, ative no DirectAdmin a Autenticação de dois fatores (ver Configurar a Autenticação de Dois Fatores).

Passo 3: analisar com o Imunify360

Abra no DirectAdmin, em Recursos extras, o Imunify360 Plugin. Aí vê quais os ficheiros identificados como infetados e pode pedir uma nova análise ao seu pacote. Como funciona e o que significam as mensagens, pode ler em Imunify360: analisar o seu website em busca de malware.

Passo 4: descubra como o intruso entrou

As causas mais comuns, da mais frequente para a mais rara:

1. Software desatualizado. Uma versão antiga do WordPress, de um plugin ou de um tema com uma falha conhecida. Verifique no Installatron ou no WordPress quais os componentes desatualizados (ver Atualizações e atualizações automáticas).
2. Um plugin ou tema de uma fonte não fiável. Versões gratuitas de plugins pagos (nulled) contêm frequentemente uma porta das traseiras propositada.
3. Uma palavra-passe fraca ou exposta. Verifique em Histórico de login no painel quem iniciou sessão no DirectAdmin e quando (ver Histórico de login no painel: quem iniciou sessão e quando?).
4. Um computador infetado onde estejam guardadas palavras-passe de FTP.

Locais úteis para procurar:

• No Gerenciador de arquivos, ordene por data de alteração. Os ficheiros alterados ao mesmo tempo, sobretudo em pastas de uploads, merecem atenção.
• No registo de acessos em Estatísticas e logs dos domínios vê quais os endereços mais solicitados, muitas vezes com pedidos POST a um único ficheiro (ver Estatísticas e logs dos domínios: o log de erros e o log de acesso).

Passo 5: limpar ou restaurar uma cópia de segurança limpa

Tem duas opções:

• Restaurar uma cópia de segurança anterior ao ataque. Com o WebOké Backups no Mijn WebOké, escolhe um momento dos últimos 30 dias (ver Isto também é possível em Mijn WebOké? WebOké Backups). Escolha um momento anterior ao aparecimento dos primeiros ficheiros estranhos. Atualize tudo imediatamente a seguir (passo 6), pois a falha também está presente na cópia de segurança.
• Limpar você mesmo. Deixe o Imunify360 limpar os ficheiros infetados, elimine os ficheiros desconhecidos e reinstale o WordPress e todos os plugins a partir da fonte oficial.

Atenção: Em caso de dúvida, no WebOké Backups escolha primeiro Como cópia ao lado da atual. Assim, nada muda no que está atualmente ativo e pode comparar com calma.

Passo 6: atualizar e limpar tudo

• Atualize o WordPress (ou outro CMS), todos os plugins e temas para a versão mais recente.
• Elimine plugins e temas que não utiliza. Mesmo os plugins desativados podem conter uma falha de segurança.
• Elimine cópias antigas e instalações de teste em subpastas.
• Utilize uma versão atual do PHP (ver Escolher a versão do PHP (Select PHP version)).

Passo 7: acompanhamento

• O Google mostra um aviso? Depois de limpar, peça uma nova avaliação no Google Search Console.
• A sua caixa de correio enviou spam? Leia O que fazer se o seu endereço de e-mail foi utilizado indevidamente e Verzenden geweigerd: blacklists en limieten.
• Mantenha a Web Applicatie Firewall ativada (ver Firewall de Aplicações Web).
• Verifique de vez em quando, nas próximas semanas, o Imunify360 e a sua lista de administradores do WordPress.

Precisa de ajuda?

Não consegue resolver sozinho, ou trata-se de uma loja online com dados de clientes? Então crie um ticket e explique o que já fez (ver Pedir ajuda: o que deve indicar ao suporte). Se estiverem envolvidos dados pessoais, poderá ter de comunicar uma violação de dados à Autoriteit Persoonsgegevens.