Site invadido: como perceber, o que fazer nas primeiras horas e como não repetir

Quase ninguém descobre a invasão do próprio site olhando para ele. Quem avisa costuma ser outra pessoa: um cliente que clicou no link do Google e foi parar em uma página de apostas, o navegador que passou a mostrar uma tela vermelha de site perigoso, o provedor de hospedagem que suspendeu a conta por envio de spam. Do lado de dentro, a página inicial parece igual a sempre.

Isso acontece porque a maioria das invasões não é pessoal. Robôs varrem a internet o tempo todo atrás de sites com plataforma desatualizada, extensão vulnerável ou senha fraca, e usam o que encontram para esconder páginas de propaganda, roubar dados ou espalhar golpe. O site da empresa não precisa ser importante para ser alvo, só precisa estar desprotegido.

Este texto mostra como confirmar a suspeita, o que fazer nas primeiras horas, como limpar sem deixar a porta aberta e o que muda para não repetir.

Os sinais de que o site foi invadido

Alguns sinais são óbvios, outros só aparecem para quem procura. Os mais comuns:

• Páginas estranhas no Google com o seu domínio: títulos em outro idioma, remédios, apostas, réplicas de marcas. Uma busca por site: seguido do seu domínio mostra o que o Google conhece dele.
• Redirecionamento para outro site, muitas vezes só para quem chega pelo celular ou pelo buscador. Quem digita o endereço direto não vê nada.
• Aviso de site perigoso no navegador ou no resultado de busca.
• Usuários administradores que ninguém criou no painel do site.
• Arquivos novos ou alterados que ninguém mexeu, geralmente com nomes que imitam arquivos do sistema.
• Lentidão repentina ou consumo de recursos fora do normal na hospedagem.
• E-mail do domínio caindo em spam ou devolvido, porque o servidor passou a disparar mensagens em massa.
• Formulário de contato recebendo envios estranhos ou deixando de entregar.

A queda no tráfego de busca também pode ser sintoma. O roteiro de investigação do texto sobre o site que sumiu do Google ajuda a separar invasão de outras causas.

Como confirmar antes de agir

Antes de mexer, confirme, porque a pressa costuma apagar justamente o que mostraria o caminho do invasor. Três verificações cobrem a maior parte dos casos:

1. Search Console. A ferramenta gratuita do Google para donos de sites tem uma área de problemas de segurança. Se o Google detectou código malicioso ou conteúdo injetado, aparece ali, muitas vezes com exemplos de páginas afetadas.
2. Teste de fora. Abra o site em uma janela anônima, pelo celular com dados móveis e clicando a partir de um resultado de busca. Redirecionamento que só acontece para visitante novo vindo do Google é um padrão clássico.
3. Painel e servidor. Confira a lista de usuários administradores, as datas de alteração dos arquivos e os registros de acesso da hospedagem. Quem cuida do site consegue ver se houve login de lugar e horário estranhos.

Se houver confirmação, ou suspeita forte, passe para o plano. Esperar para ver piora tudo: cada hora a mais é mais visitante exposto, mais página indexada com lixo e mais risco de bloqueio do domínio.

As primeiras horas: conter antes de limpar

A primeira tarefa não é consertar, é impedir que o estrago continue. A ordem que funciona:

1. Avise quem cuida do site e a hospedagem. Eles têm acesso aos registros e conseguem agir no servidor. Se a empresa não sabe quem tem acesso a quê, o inventário de acessos descrito em hospedagem, backup e site fora do ar faz falta exatamente agora.
2. Coloque o site em manutenção ou tire do ar temporariamente, se ele estiver redirecionando visitantes ou distribuindo arquivo malicioso. Um site fora do ar por um dia prejudica menos que um site que infecta clientes.
3. Preserve uma cópia do estado atual, com arquivos e banco de dados, antes de apagar qualquer coisa. Ela serve para descobrir por onde o invasor entrou.
4. Troque as senhas do painel do site, da hospedagem, do FTP, do banco de dados e do registro do domínio, a partir de um computador confiável.
5. Remova os usuários que ninguém reconhece e revise os que ficaram.

Anote também, desde o primeiro minuto, o que foi visto e feito, com data e hora: quem percebeu, qual sinal apareceu, quais senhas foram trocadas, o que foi retirado do ar. Esse registro parece burocracia no meio da pressa, mas é ele que permite reconstruir a linha do tempo depois, descobrir quanto tempo o invasor ficou lá dentro e responder com segurança a perguntas de clientes, do provedor e, se houver dados pessoais envolvidos, da autoridade de proteção de dados.

Trocar as senhas logo é importante, mas não resolve sozinho. Se a porta de entrada foi uma falha na plataforma, o invasor volta por ela, com ou sem senha nova.

Limpar de verdade: restaurar ou reconstruir

Existem dois caminhos, e a escolha depende do backup.

Restaurar um backup limpo

É o caminho mais rápido quando existe uma cópia anterior à invasão. A dificuldade é saber qual cópia está limpa: invasões costumam ficar escondidas por semanas antes de alguém notar, e o backup da semana passada pode já estar contaminado. Por isso é tão importante ter vários pontos de retorno, guardados fora do servidor do site. Depois de restaurar, a plataforma e as extensões precisam ser atualizadas imediatamente, senão a mesma falha reabre a porta.

Limpar e reconstruir

Quando não há backup confiável, o trabalho é reinstalar a plataforma a partir da fonte oficial, reinstalar cada extensão a partir do fornecedor, revisar o banco de dados atrás de conteúdo injetado e reaproveitar só o que é conteúdo da empresa: textos, imagens e cadastros conferidos. Apagar o arquivo suspeito que aparece primeiro raramente basta, porque invasores costumam deixar mais de uma porta escondida, justamente para voltar depois da limpeza.

Em qualquer dos dois caminhos, a pergunta que precisa de resposta é por onde entraram. Sem ela, a limpeza é temporária.

Por onde os invasores costumam entrar

Na grande maioria dos sites de empresas pequenas e médias, a entrada é uma destas:

• Plataforma ou extensão desatualizada. Falhas conhecidas são publicadas e exploradas em massa em poucos dias. Extensão abandonada pelo autor é a pior delas, porque nunca vai receber correção.
• Senha fraca ou repetida, descoberta por tentativa automática ou vazada em outro serviço.
• Acesso de ex-fornecedor ou ex-funcionário que nunca foi retirado.
• Tema ou extensão pirata, baixado de site não oficial, que já vem com código malicioso embutido.
• Computador infectado de quem administra o site, que entrega a senha no momento do login.
• Hospedagem compartilhada mal isolada, em que a invasão de um site vizinho alcança o seu.

Quase todos esses pontos são de manutenção, não de tecnologia sofisticada. É o tipo de trabalho que não aparece quando é feito, como mostra o texto sobre quanto custa manter um site, e aparece muito quando não é.

Recuperar a confiança do Google e dos clientes

Com o site limpo, ainda falta desfazer as consequências. No Search Console, depois de corrigir o problema, é possível pedir uma revisão de segurança; quando o Google confirma a limpeza, o aviso de site perigoso deixa de aparecer. As páginas falsas criadas pelo invasor devem responder como inexistentes, para saírem do índice, e a ferramenta de remoção ajuda a acelerar os casos mais visíveis.

Se o domínio foi usado para enviar spam, a reputação do e-mail também foi afetada. Vale conferir os registros de autenticação do domínio e acompanhar a entrega nas semanas seguintes, como explicado em o e-mail da empresa caindo em spam.

Com clientes, transparência funciona melhor do que silêncio. Se alguém relatou ter visto algo estranho, responda dizendo o que aconteceu e o que foi feito. E se o invasor usou o nome da empresa para aplicar golpe, como cobrança falsa, avise a base de clientes pelos canais oficiais, do mesmo jeito que se faz no caso do boleto falso em nome da empresa.

Quando a invasão envolve dados pessoais

Se o site guarda dados de clientes, como cadastros, formulários, pedidos ou área de login, a invasão pode ser também um incidente de segurança com dados pessoais. A LGPD exige que a empresa avalie o risco e, quando o incidente puder causar dano relevante aos titulares, comunique a ANPD e as pessoas afetadas, dentro do prazo definido em regulamento.

Isso pede três cuidados: registrar o que aconteceu, quando foi descoberto e o que foi feito; descobrir quais dados podem ter sido acessados; e envolver quem responde pela proteção de dados na empresa. O texto sobre LGPD no site da empresa mostra por que guardar menos dados no site reduz esse risco antes de qualquer incidente.

O que muda para não acontecer de novo

Uma invasão resolvida e esquecida costuma se repetir. A prevenção é uma rotina, não uma compra:

• Atualizações em dia da plataforma, do tema e das extensões, com responsável definido e frequência combinada.
• Menos extensões. Cada uma é uma porta. Retire as que não são usadas e evite as abandonadas.
• Login individual com verificação em duas etapas para todos que administram o site, sem senha compartilhada, no mesmo princípio do controle de acesso no sistema da empresa.
• Revisão de acessos sempre que um fornecedor ou funcionário sai.
• Backup automático e fora do servidor, com vários pontos de retorno e restauração testada.
• Monitoramento de disponibilidade, de alterações em arquivos e dos alertas do Search Console, para descobrir em horas e não em semanas.
• Hospedagem com isolamento entre sites e suporte que responda quando o problema aparecer.

As contas precisam estar no nome da empresa

Uma invasão mostra de forma dura quem realmente controla o site. Se o domínio está registrado no CPF de um ex-fornecedor, se a hospedagem está no cartão de um sobrinho e se a única senha do painel ficou com quem fez o site há cinco anos, a empresa não consegue nem começar a resposta. Cada hora gasta tentando recuperar um acesso é uma hora a mais de site comprometido.

Antes de qualquer incidente, confira que o domínio está no nome da empresa, como explica o texto sobre titularidade e renovação do domínio, que a conta da hospedagem é dela, que existe uma lista de quem tem acesso a quê e que o backup pode ser baixado por alguém de dentro. É esse controle que transforma uma invasão de crise em incômodo.

Perguntas frequentes

Quer o site da empresa protegido e sob seu controle?

A NSWeb cria e mantém sites com atualizações em dia, backup fora do servidor, monitoramento e acessos organizados no nome da sua empresa, e ajuda a recuperar sites invadidos. Fale com a gente e conte como o seu site está hoje.