Você abre o site da sua empresa e encontra uma página estranha, anúncios de cassino, um aviso vermelho do navegador ou simplesmente uma tela em branco. Pior ainda: um cliente manda mensagem dizendo que o seu site está redirecionando para outro endereço. O frio na barriga é inevitável, mas a boa notícia é que um site hackeado tem solução, desde que você aja rápido e na ordem certa.
Neste guia, explico em linguagem simples o que fazer quando o site foi hackeado, o que não fazer no desespero e como evitar que isso aconteça de novo.
Como saber se o seu site foi hackeado
Nem toda invasão é escancarada. Muitas vezes o invasor quer passar despercebido para usar o seu site por meses. Fique atento a estes sinais:
- Redirecionamentos estranhos: quem entra no site, principalmente pelo celular ou pelo Google, é levado para páginas de apostas, remédios ou golpes.
- Aviso do navegador: mensagens como “Site enganoso à frente” ou “Este site pode prejudicar seu computador”.
- Resultados esquisitos no Google: ao pesquisar o nome da sua empresa, aparecem títulos em japonês, chinês ou ofertas que você nunca publicou.
- Usuários administradores que você não criou no painel do WordPress.
- Site muito lento ou fora do ar sem motivo aparente, às vezes com aviso da hospedagem sobre uso excessivo de recursos.
- E-mails da empresa caindo no spam ou clientes recebendo mensagens que você não enviou.
Se você identificou um ou mais desses sinais, siga o passo a passo abaixo.
Site hackeado: o que fazer nas primeiras horas
- Não apague nada no impulso. A vontade de sair deletando arquivos é grande, mas isso pode destruir pistas importantes e até derrubar o site de vez. Primeiro, entenda o problema.
- Avise a hospedagem. Abra um chamado informando a suspeita de invasão. Muitas empresas de hospedagem têm ferramentas de varredura e podem informar quais arquivos foram alterados.
- Troque todas as senhas. Painel do WordPress, painel da hospedagem, FTP, banco de dados e e-mails ligados ao site. Use senhas longas e diferentes entre si, e faça isso de um computador que você confia estar limpo.
- Verifique os usuários do painel. Remova qualquer administrador desconhecido e revise as permissões de quem realmente precisa de acesso.
- Faça uma cópia do estado atual. Sim, mesmo infectado. Essa cópia ajuda na análise e serve de segurança caso algo dê errado na limpeza.
- Coloque o site em manutenção, se necessário. Se ele está redirecionando clientes para golpes, é melhor exibir uma página de “voltamos em breve” do que expor quem confia na sua marca.
Restaurar o backup resolve?
Às vezes, sim. Mas há um detalhe que muita gente ignora: se o backup foi feito depois da invasão, ele também está infectado. E mesmo um backup limpo não resolve a porta de entrada. Se o invasor entrou por um plugin desatualizado, ele vai entrar de novo em poucos dias.
Por isso, restaurar backup é parte da solução, não a solução inteira. O caminho correto é:
- Identificar por onde o invasor entrou (plugin, tema, senha fraca, arquivo esquecido no servidor);
- Remover os arquivos e códigos maliciosos, inclusive os escondidos no banco de dados;
- Reinstalar o núcleo do WordPress, temas e plugins a partir de fontes oficiais;
- Corrigir a falha que permitiu a invasão;
- Só então colocar o site no ar novamente e monitorar.
As portas de entrada mais comuns
Na prática do dia a dia com sites de pequenas empresas, as invasões costumam ter origem em poucos pontos, quase sempre evitáveis:
- Plugins e temas desatualizados: falhas de segurança são descobertas o tempo todo, e as atualizações existem justamente para corrigi-las.
- Temas e plugins “pirateados”: versões pagas baixadas de graça em sites duvidosos frequentemente já vêm com código malicioso embutido.
- Senhas fracas ou repetidas: “admin123” ou a mesma senha do e-mail pessoal são convite aberto para ataques automatizados.
- Plugins abandonados: aqueles instalados para um teste e esquecidos lá, sem atualização há anos.
- Hospedagem sem isolamento: em alguns servidores mal configurados, a invasão de um site vizinho pode contaminar o seu.
Depois da limpeza: avise o Google
Se o Google marcou o seu site como perigoso, o aviso não some sozinho de imediato. Depois de limpar tudo, é preciso acessar o Google Search Console, conferir a seção de problemas de segurança e solicitar uma nova análise. Enquanto isso não acontece, muitos visitantes vão continuar vendo o alerta e desistindo de entrar.
Também vale verificar se o domínio entrou em listas de bloqueio de e-mail, principalmente se clientes reclamaram de mensagens estranhas saindo do seu endereço profissional.
Como evitar que o site seja hackeado de novo
A melhor invasão é a que não acontece. E a prevenção custa bem menos do que a limpeza, sem contar o prejuízo de ficar dias fora do ar ou com a reputação arranhada. O básico bem feito já resolve a maior parte dos riscos:
- Atualizações frequentes do WordPress, temas e plugins, sempre testando se nada quebrou depois.
- Backups automáticos guardados fora do servidor do site, com várias versões para poder voltar no tempo.
- Autenticação em duas etapas para todos os administradores.
- Firewall e limite de tentativas de login para barrar ataques de força bruta.
- Monitoramento que avise quando o site sai do ar ou quando arquivos são alterados.
- Hospedagem de qualidade, com SSL, isolamento entre contas e suporte que responde.
Se você não tem tempo (nem vontade) de cuidar disso, o ideal é contar com um plano de manutenção de sites WordPress, em que alguém acompanha atualizações, backups e segurança por você. E se a sua hospedagem atual é parte do problema, vale conhecer as opções de hospedagem profissional com foco em desempenho e segurança.
Quando vale mais a pena refazer o site
Em alguns casos, o site é tão antigo, cheio de remendos e plugins abandonados que limpar e manter sai mais caro do que começar do zero. Se o seu WordPress tem anos sem atualização, um tema que ninguém mais suporta e você nem sabe quem desenvolveu, pode ser a hora de pensar em um site novo, rápido e seguro, construído com boas práticas desde o primeiro dia.
Aproveitando: se você usa o site para gerar contatos pelo WhatsApp, um site limpo e confiável também é a base para automações como as que mostrei no post sobre atendimento 24h no WhatsApp com IA.
Seu site foi hackeado? Fale comigo agora
Cada hora com o site invadido é cliente perdido e reputação em risco. Eu faço a análise, removo o malware, corrijo a falha que permitiu a invasão e deixo o seu site protegido para não passar por isso de novo.
