Sito WordPress hackerato? Cosa fare nelle prime 24 ore

Che cos'è

La compromissione di un sito WordPress significa di solito che qualcuno ha ottenuto la possibilità di modificare file, database o account utente. Tra i segnali comuni figurano utenti amministratori sconosciuti, plugin o file non riconosciuti, JavaScript iniettato, pagine di spam indicizzate dai motori di ricerca, reindirizzamenti che colpiscono solo alcuni visitatori, invio di email di spam o avvisi di un browser o di un motore di ricerca. Punti di ingresso frequenti sono plugin e temi obsoleti o abbandonati, password deboli o riutilizzate, credenziali di hosting o FTP compromesse e permessi dei file non sicuri. Le prime 24 ore servono a confermare che cosa sta accadendo, limitare ulteriori danni, tenere traccia di quanto avviene e prepararsi a una bonifica adeguata. La bonifica dettagliata, file per file, segue come fase a sé.

Per Chi È

Questa checklist è rivolta a:

• Titolari d'azienda e team marketing che gestiscono un sito WordPress senza un team di sicurezza dedicato
• Agenzie che supportano il sito di un cliente appena segnalato come compromesso
• Personale IT interno che ha ricevuto una notifica di sospensione dall'hosting o un avviso del browser
• Chiunque debba informare con chiarezza un fornitore prima dell'avvio della bonifica

Cosa Aiuta A Chiarire

Seguire la checklist aiuta a chiarire:

• Se il sito è effettivamente compromesso o presenta un malfunzionamento di configurazione o di un plugin
• Che cosa è cambiato, quando e quali account possono essere coinvolti
• Chi gestisce hosting, dominio, DNS e backup, e chi può autorizzare le modifiche
• Se i dati dei clienti o i flussi di pagamento potrebbero essere interessati e richiedere un'attenzione separata

Cosa è incluso

• Ora 0-2: annotare che cosa è stato notato, quando e da chi; acquisire screenshot di avvisi, reindirizzamenti e pagine non riconosciute
• Ora 0-2: individuare chi controlla hosting, registrar del dominio, DNS, CDN e l'amministrazione di WordPress
• Ora 1-4: effettuare una copia completa di file e database nello stato attuale e conservarla separatamente; non sovrascrivere i backup precedenti
• Ora 1-4: valutare se mettere il sito in modalità manutenzione o chiedere al provider di hosting di limitarne l'accesso se i visitatori subiscono danni
• Ora 2-6: da un dispositivo pulito, cambiare le password di hosting, FTP/SFTP, database e amministratori WordPress; attivare la MFA ove disponibile
• Ora 2-6: esaminare gli utenti WordPress e rimuovere o disattivare gli account non riconosciuti, annotando che cosa è stato rimosso
• Ora 4-12: raccogliere i log di accesso al server disponibili e le notifiche di sicurezza dell'hosting
• Ora 6-24: informare un fornitore qualificato con le Sue note, i log e la copia di backup, e concordare un perimetro di bonifica

Cosa non è incluso

• Comandi di rimozione del malware o istruzioni per modificare i file core senza un backup
• Consulenza legale sull'eventuale obbligo di notifica di una violazione dei dati
• L'affermazione che il solo cambio delle password risolva la compromissione
• Suggerimenti per contattare l'attaccante o intraprendere ritorsioni

Quando sceglierlo

Utilizzi questa checklist non appena sospetta una compromissione, prima di iniziare a eliminare file o ripristinare backup. Se il sito elabora pagamenti o conserva dati personali dei clienti, coinvolga per tempo chi è responsabile degli obblighi in materia di privacy e legali; gli obblighi di notifica dipendono dai fatti e dalla giurisdizione, e questo articolo non costituisce consulenza legale. Se il provider di hosting ha sospeso l'account, chieda che cosa gli serve da parte Sua per ripristinare l'accesso e se dispone di log che può utilizzare.

Il nostro approccio

Dia priorità al contenimento e alla documentazione rispetto alla rapidità della pulizia visibile. Un sito che appare di nuovo normale può comunque contenere una backdoor che consente all'attaccante di tornare nel giro di pochi giorni. Ripristinare un vecchio backup senza chiudere il punto di ingresso porta spesso a una nuova infezione. Una volta completati i passaggi iniziali, la bonifica deve riguardare file, database, utenti, attività pianificate e configurazione del server, seguita dalla chiusura del punto di ingresso e dall'hardening. Il nostro servizio Incident Recovery prevede una revisione iniziale e la classificazione di un problema concordato relativo a un sito web o a WordPress, il contenimento operativo, la rimozione di codice dannoso, backdoor e utenti non autorizzati, il ripristino sicuro, la chiusura del punto di ingresso individuato e un report scritto con raccomandazioni di hardening. Si tratta di un lavoro con perimetro definito per il sito web confermato, mentre le valutazioni legali sono affidate al Suo consulente legale. Chiunque La aiuti, chieda di spiegare che cosa ha trovato e modificato, e conservi quel report insieme alle Sue note.

servizio Incident Recovery

Domande frequenti

Articoli correlati