Site Hackeado ou «Este Site Pode Ter Sido Invadido»: o Que Fazer Já

Descobre-se quase sempre da pior maneira: um cliente liga a dizer que o Google mostra «Este site pode ter sido invadido», o antivírus de alguém bloqueia a sua página, ou aparecem no seu site páginas de produtos que nunca vendeu, em idiomas que não fala. A primeira reação é pânico; a segunda devia ser método. Este é o método.

Primeiro, a triagem: está mesmo comprometido?

Três verificações rápidas, por esta ordem:

1. Search Console. Se tem o site registado no Google Search Console (devia), abra a secção de problemas de segurança — é onde o Google lhe diz exatamente o que encontrou e onde. Se nunca o registou, faça-o agora: é gratuito e é o canal oficial para recuperar a reputação depois da limpeza.
2. Pesquise site:oseudominio.pt no Google. Páginas nos resultados que não reconhece — farmácia, apostas, texto noutro idioma — são o sintoma clássico de spam injetado.
3. Abra o site em modo anónimo e noutro dispositivo. Alguns ataques só se mostram a visitantes vindos do Google, escondendo-se do dono que digita o endereço diretamente.

O plano de emergência, pela ordem certa

1. Contenha antes de limpar. Peça ao alojamento para pôr o site em manutenção ou restrinja o acesso. Um site comprometido no ar continua a infetar visitantes e a cavar a reputação no Google a cada hora.

2. Troque todas as chaves. Palavras-passe do alojamento, do painel do site, da base de dados, do FTP e do email associado — todas, e a partir de um computador que confie. Ative autenticação de dois fatores onde existir. Se a porta de entrada foi uma palavra-passe roubada, limpar sem trocar chaves é enxugar gelo.

3. Restaure de uma cópia limpa — ou limpe a sério. O caminho mais seguro é restaurar uma cópia de segurança anterior à invasão e corrigir de imediato a falha que a permitiu (ver passo 4). Sem cópia fiável, a limpeza manual tem de cobrir ficheiros modificados, utilizadores administradores desconhecidos, tarefas agendadas e código injetado — trabalho para quem sabe o que procura. Aqui é legítimo pagar a um profissional; é barato comparado com semanas de site marcado.

4. Feche a porta. A maioria das invasões de sites de PME entra por três sítios: plugins e temas desatualizados (a razão número um em WordPress — já explicámos porque é que "grátis" exige manutenção), palavras-passe fracas ou reutilizadas, e alojamentos partilhados contaminados. Atualize tudo, remova o que não usa, e confirme que a versão do software do site é suportada.

5. Peça a reavaliação ao Google. Com o site limpo, submeta o pedido de revisão no Search Console. O aviso vermelho não cai sozinho — cai quando o Google reverifica e confirma a limpeza. O mesmo vale para listas de bloqueio de antivírus, que geralmente seguem o veredicto do Google em poucos dias.

6. Avalie as obrigações de dados. Se o site guarda dados pessoais de clientes (formulários, encomendas, contas) e há indícios de acesso a esses dados, o RGPD pode obrigar a notificar a CNPD em prazos curtos. O nosso guia de RGPD para sites explica o essencial — e na dúvida, fale com quem o aconselha juridicamente.

Depois do incêndio: o seguro

A diferença entre quem passa por isto uma vez e quem passa todos os anos são quatro hábitos aborrecidos:

• Cópias de segurança automáticas, guardadas fora do alojamento, testadas de vez em quando — uma cópia que nunca se tentou restaurar é uma esperança, não um plano;
• Atualizações aplicadas em semanas, não em anos — sozinho ou num contrato de manutenção que o faça por si;
• Acessos mínimos: cada pessoa com a sua conta, ninguém com mais permissões do que precisa, contas de ex-colaboradores removidas no dia da saída;
• Monitorização: o Search Console configurado e alguém que realmente leia os avisos.

Uma nota estrutural, sem tribalismo: sites construídos sobre dezenas de plugins de terceiros têm, por aritmética simples, mais portas para vigiar. É uma das razões — entre outras — por que os sites que construímos têm o mínimo de peças móveis de terceiros: menos portas, menos vigias, menos sustos.

Se o seu site foi comprometido e a limpeza lhe parece maior do que as suas ferramentas, descreva a situação no nosso formulário de estimativa — dizemos-lhe com franqueza se é caso para limpar, para restaurar ou para aproveitar e construir de novo em cima de fundações sólidas.