Descobrir que o site da empresa foi invadido dá um frio na barriga. Pode ser um cliente avisando que o site abriu uma página estranha, o Google mostrando um alerta ou o navegador bloqueando o acesso. A reação instintiva é apagar tudo ou sair mexendo, mas agir com calma e na ordem certa evita que o problema fique maior.
Sinais de que o site foi invadido
Nem toda invasão é óbvia. Fique atento a:
- Redirecionamentos: o visitante entra no seu site e é levado para páginas de apostas, remédios, golpes ou conteúdo adulto, às vezes só no celular ou só quem vem do Google.
- Alerta do navegador ou do Google, como “site enganoso” ou “este site pode prejudicar seu computador”.
- Resultados estranhos no Google: páginas com títulos em outro idioma ou sobre produtos que você não vende, aparecendo com o seu domínio.
- Usuários administradores desconhecidos no painel do site.
- Arquivos ou páginas que você não criou.
- E-mails do domínio caindo em spam ou avisos de envio em massa que ninguém fez.
- Aviso da hospedagem de conta suspensa por conteúdo malicioso ou uso abusivo.
- Site muito lento de repente, sem motivo aparente.
Primeiras horas: o que fazer
1. Não entre em pânico e não apague nada ainda
Apagar arquivos por impulso pode destruir pistas importantes e até partes boas do site. Primeiro, contenha o problema.
2. Avise quem cuida do site e da hospedagem
Entre em contato com o responsável técnico e com o suporte da hospedagem. Informe o que você viu, quando percebeu e, se possível, envie prints.
3. Troque as senhas, a partir de um computador seguro
Troque as senhas de:
- painel administrativo do site;
- hospedagem;
- acesso FTP ou SFTP e banco de dados;
- registrador do domínio;
- e-mails ligados a esses acessos.
Use senhas longas e diferentes para cada serviço. Ative autenticação em dois fatores onde houver. Se houver suspeita de que o computador de alguém da equipe está infectado, faça a troca em outro equipamento.
4. Considere colocar o site em manutenção
Se o site está enviando visitantes para páginas maliciosas, pode ser melhor exibir uma página temporária de manutenção enquanto a limpeza é feita. Isso protege seus clientes e sua reputação.
5. Guarde uma cópia do estado atual
Antes de limpar, o responsável técnico deve guardar uma cópia do site como está. Ela ajuda a entender por onde a invasão entrou.
Limpeza e recuperação
Esta é a parte que exige conhecimento técnico. O processo seguro costuma seguir estes passos:
- Identificar a porta de entrada: plugin ou tema desatualizado, senha fraca ou vazada, arquivo de upload sem proteção, acesso de ex-fornecedor que nunca foi removido.
- Restaurar uma versão limpa, se houver backup anterior à invasão. É por isso que manter várias versões de backup é tão importante: o mais recente pode já estar contaminado.
- Se não houver backup limpo, fazer a limpeza manual: comparar arquivos com as versões originais, remover códigos injetados, revisar o banco de dados e excluir usuários desconhecidos.
- Atualizar tudo: sistema, tema e plugins. Remover o que não é usado.
- Corrigir a porta de entrada. Sem isso, a invasão volta.
- Revisar o site por completo: páginas, formulários, redirecionamentos e arquivos.
Restaurar o backup sem corrigir a falha costuma resultar em nova invasão em pouco tempo.
Depois da limpeza: Google e reputação
Se o Google marcou o site como perigoso ou indexou páginas falsas:
- Use o Google Search Console para ver os alertas de segurança e as páginas afetadas.
- Depois da limpeza, solicite a revisão do site pelo próprio Search Console.
- Remova as páginas falsas que aparecem nos resultados e confirme que elas retornam erro de página inexistente.
- Verifique se o domínio entrou em listas de bloqueio de e-mail e, se entrou, peça a remoção após resolver.
Se o site perdeu posições nas buscas depois do incidente, a recuperação pode levar um tempo. Veja também por que meu site não aparece no Google.
Tabela: o que fazer e o que evitar
| Faça | Evite |
|---|---|
| Trocar todas as senhas e ativar dois fatores | Reaproveitar senhas antigas |
| Guardar uma cópia antes de limpar | Apagar arquivos sem critério |
| Restaurar de um backup anterior à invasão | Confiar só no backup mais recente |
| Descobrir e corrigir a porta de entrada | Só “limpar” e seguir a vida |
| Revisar usuários e acessos de ex-fornecedores | Manter contas antigas ativas |
| Pedir revisão ao Google após a limpeza | Esperar que os alertas sumam sozinhos |
Se houver dados de clientes
Se o site guarda informações pessoais, como cadastros ou mensagens de formulários, uma invasão pode envolver esses dados. Nesse caso, a situação também tem implicações legais e pode exigir comunicação aos titulares e à autoridade de proteção de dados. Procure orientação jurídica. Explicamos o básico em LGPD para sites de empresas.
Como reduzir o risco de nova invasão
Nenhum site é 100% imune, mas algumas práticas reduzem muito o risco:
- Atualizações frequentes do sistema, tema e plugins.
- Menos plugins: cada um é uma possível porta.
- Senhas fortes e dois fatores para todos os acessos.
- Remover acessos de quem não trabalha mais no site.
- Backups automáticos fora do servidor, com várias versões.
- Monitoramento de alterações e de disponibilidade.
- Hospedagem confiável, com isolamento entre contas e proteção no servidor.
Próximo passo
Na manutenção de sites, cuidamos de atualizações, backups, monitoramento e resposta a incidentes. Se o seu site está com sinais de invasão agora, fale com a gente e descreva o que está acontecendo.