Sito web colpito da un attacco hacker? Indicatori e possibili soluzioni

Esistono vari modi per accorgersi se un sito web è stato violato da un hacker. Ad esempio, potreste ricevere un avviso insolito sul browser o sul software antivirus, potreste non riuscire ad accedere alla vostra casella di posta elettronica, ricevere e-mail di spam, o ancora il sito potrebbe non caricare o aver subito dei reindirizzamenti indesiderati. In presenza di uno di questi indicatori, con molta probabilità si tratta di un attacco hacker. In questo caso è importante reagire con tempestività: informare l’host, modificare i dati di accesso e individuare le falle di sicurezza del sito.

Verificare se il proprio sito web è stato violato da un hacker

Un attacco hacker al proprio sito web è un pericolo decisamente realistico, a cui un webmaster non può farsi trovare impreparato. Qualora il vostro sito sia ben protetto, un hacker capace può comunque sfruttare le falle di sicurezza presenti sul vostro sito, app e account e-mail per sferrare degli attacchi informatici. Di seguito elenchiamo i possibili scenari che sfruttano le vulnerabilità di un sito per infiltrare malware o realizzare furti di dati:

• Sicurezza del cloud insufficiente
• Un exploit zero day
• Attacchi informatici DoS e DDoS
• Phishing

Se in passato questi rischi riguardavano principalmente le grandi aziende, oggi a causa della crescente digitalizzazione anche le piccole e medie imprese sono interessate da un numero di pericoli informatici in costante crescita. Inoltre, gli attacchi che prevedono la violazione di WordPress sono attualmente in aumento, poiché numerosi siti si basano su questo CMS. Se vi sembra quindi che la vostra pagina web presenti delle anomalie, vi consigliamo di valutare attentamente la situazione e agire con la dovuta cautela.

La prima domanda che dovete porvi è: come posso riconoscere se il mio sito web ha subito un attacco hacker? Anche se alcuni attacchi specifici, come ad esempio l’attacco man in the middle, sono difficili da riconoscere, altri presentano una serie di tratti in comune.

Per scoprire se il vostro sito ha subito un attacco hacker, fate attenzione alla presenza dei seguenti indizi per aiutarvi a riconoscere e rimuovere i malware:

Avvisi del browser

I browser moderni, come Microsoft Edge, Google Chrome o Mozilla Firefox, sono tutti dotati di funzioni di sicurezza in grado di riconoscere i siti web non sicuri. In particolare, presentano la funzione “HTTPS only”: questa blocca automaticamente l’accesso ai siti senza protocollo SSL o TLS o visualizza un avviso. La funzione “safe browsing”, invece, blocca il download di file infetti o di software maligni. Se quando visitate il vostro sito web compare un avviso sul browser, con molta probabilità vi trovate in presenza di un problema di sicurezza, che potrebbe essere legato a un attacco hacker o a certificati non più validi.

Avvisi sui software antivirus

Usate un software antivirus e mantenetelo sempre aggiornato. Questi avvisi rappresentano un chiaro indizio che il vostro computer o sito web è in pericolo o infetto.

Sito web non raggiungibile

È possibile che vi accorgiate di aver subito un attacco hacker solo dopo che il sito web è stato disattivato dal vostro provider. I servizi di hosting reagiscono alle notifiche del proprio sistema di sicurezza informatica oppure agli avvisi degli utenti del sito. Può darsi che il vostro sito venga disattivato senza che ne riceviate notifica.

I dati di accesso non funzionano

Se le vostre credenziali di accesso non funzionano più, probabilmente qualcuno si è impossessato dell’account del sito o ha rimosso gli utenti registrati.

Avvisi di tentativi di accesso

Nel caso di attacchi con il metodo forza bruta, i criminali cercano di indovinare le credenziali di accesso. Se ricevete degli avvisi riguardanti tentativi di accesso non autorizzati, il vostro account web è in pericolo.

Defacing

Nel caso del defacing, i criminali informatici sostituiscono il vostro sito web o il vostro index.html con un’altra pagina contenente una rivendicazione del gruppo hacker di appartenenza. In questo modo gli aggressori vi impediscono di accedere al vostro sito web. Spesso si tratta di azioni di protesta a sfondo politico o di attivismo contro siti web commerciali.

Hijacking

Nel caso dell’hijacking, i criminali informatici aggiungono al vostro sito web una pagina contenente un codice maligno. In questo modo, chi accede al sito scarica inavvertitamente un malware o altri programmi simili. Anche se i software antivirus o il browser dovrebbero notificare il problema, spesso l’infezione viene riconosciuta troppo tardi. Le falle di sicurezza sono spesso riconducibili a password FTP troppo deboli o a una PHP injection.

Attacchi ransomware

In alcuni casi, i ransomware possono rivelarsi un incubo per le aziende. A seconda del grado di raffinatezza del virus, è possibile che questo renda inaccessibili e quindi inservibili tutti i dati dell’azienda e il relativo sito web. L’obiettivo dei criminali che lo usano è chiedere un riscatto in cambio del ripristino del codice. Pertanto, le aziende dovrebbero concentrare i propri sforzi nelle misure di protezione dai ransomware.

Avvisi di Google

Google Search Console è uno strumento gratuito messo a disposizione da Google per monitorare l’ottimizzazione per i motori di ricerca del proprio sito web. Qualora doveste rilevare avvisi relativi a malware o backlink sospetti, è importante che verifichiate la sicurezza del vostro sito.

Il sito web compare nella Blocklist di Google

Qualora Google classifichi il vostro sito web come sospetto o pericoloso, potreste finire nella Blocklist. Di conseguenza il sito non comparirà più nella lista dei risultati di ricerca. Per sapere se il vostro sito è stato inserito nella Blocklist, controllate sulla Google Search Console.

Tempi di caricamento del sito insoliti

Se il sito carica in modo molto più lento rispetto al solito potrebbe essere interessato da un attacco informatico. Infezioni ai siti web come il cryptojacking potrebbero comportare un utilizzo della CPU insolitamente elevato. Nel caso del cryptojacking, i criminali informatici infettano il computer con un malware o installano sul sito un programma di mining, ad esempio Coinhive. In questo modo la potenza di calcolo dei computer o dei visitatori del sito web interessato viene sfruttata per azioni di mining di criptovalute illegali.

E-mail di spam, reindirizzamenti o pop-up

Se gli abbonati alla vostra newsletter vi hanno segnalato di ricevere un gran numero di e-mail di spam da uno dei vostri indirizzi e-mail, questo indica la presenza di un malware. Inoltre, la presenza di reindirizzamenti involontari, quando si apre il sito web, o di pop-up o pubblicità sconosciuta indicano anch’essi che il sito è stato colpito da un attacco hacker.

Come procedere se il vostro sito web è stato colpito da un attacco hacker?

Nel peggiore dei casi tutti gli indizi confermano che i criminali informatici hanno sfruttato una falla di sicurezza per sferrare un attacco hacker al vostro sito. Seguite i sette passaggi illustrati qui sotto per risolvere il problema e ripristinare non solo la sicurezza aziendale, ma anche quella della vostra clientela:

Primo passaggio: mantenete la calma

Anzitutto la cosa più importante: mantenere la calma. Azioni impulsive possono portare a danni ancora maggiori. Se anche i vostri dispositivi sono stati infettati, dovreste guardarvi bene dall’inserire le credenziali di accesso di e-mail esterne o di account aziendali sui computer in questione. In caso di un attacco hacker, usate solo computer e account esterni per la comunicazione. Nel dubbio rivolgetevi a personale informatico esperto. In più, le aziende dovrebbero segnalare immediatamente l’accaduto al reparto di sicurezza informatica (se presente nella propria impresa).

Secondo passaggio: modificate le credenziali di accesso e le autorizzazioni

Qualora riceviate avvisi relativi a tentativi di accesso non autorizzati o se i file di log mostrano accessi non autorizzati, vi consigliamo di modificare le vostre credenziali. Assicuratevi di usare solamente password sicure composte da lettere maiuscole e minuscole, numeri, caratteri speciali e lunghe almeno dodici caratteri. Modificate le seguenti credenziali di accesso:

• Dati di accesso per admin o utenti autorizzati
• Password dell’account di hosting
• Account FTP primari e secondari
• Password e credenziali di accesso dei database
• Account e-mail collegati

Se necessario, verificate e modificate i privilegi di accesso e l’assegnazione dei ruoli per tutte le persone in possesso dei permessi di amministratore. Solitamente è possibile farlo dalla console admin o tramite il server FTP. Inoltre, è necessario verificare i permessi di accesso e di modifica dei file nella root.

Terzo passaggio: attivate la modalità di manutenzione sul sito

Se disponete di questa opzione, vi consigliamo di mettere il sito web in modalità di manutenzione mentre state provando a risolvere il problema. In questo modo non metterete l’utenza in pericolo e allo stesso tempo proteggerete l’immagine della vostra azienda.

Quarto passaggio: realizzate un backup del sito

Per far fronte a un eventuale attacco hacker sul vostro sito web, vi consigliamo di realizzare un backup preventivo dei dati. In questo modo potrete ripristinare il sito web a uno stato precedente. In più, assicuratevi di creare più di un backup e di salvarne almeno due su diversi supporti di archiviazione.

Quinto passaggio: verificate i file di log del sito web

Qualora abbiate accesso alla console di controllo, verificate i file di log del vostro sito web. In questo modo dovrebbe essere possibile risalire all’ora e alla modalità di attacco, localizzando messaggi di errore e protocolli di accesso. Partendo da qui è possibile poi risolvere le falle di sicurezza e rimuovere malware, codici, plugin e temi dannosi o altri software di terze parti. Qualora non abbiate accesso ai file di log del sito, contattate il servizio di hosting.

Sesto passaggio: ripristinate il file .htaccess

Il file .htaccess è un bersaglio comune degli attacchi informatici, poiché contiene importanti configurazioni relative ai siti web e ai web server Apache. La compromissione dei file .htaccess può comportare reindirizzamenti a malware, file PHP maligni, furto di dati, figerprinting del browser o cosiddetti attacchi watering hole. Ripristinando il file .htaccess e limitando le autorizzazioni di accesso, in molti casi è possibile chiudere le falle di sicurezza.

Settimo passaggio: rilevate eventuali malware o codice maligno sul sito web

Se il vostro sito web si basa su WordPress, potete ricorrere a plugin di sicurezza per Wordpress gratuiti o a pagamento. In tal modo è possibile scansionare i file, le app e i plugin del sito e verificare l’eventuale presenza di malware o codice maligno. Fra i plugin di sicurezza più noti ci sono:

• WPScan
• Jetpack
• Sucuri Security
• BulletProof Security

Per i siti web realizzati e gestiti tramite altri CMS e alternative a WordPress, esistono strumenti simili in grado di eseguire scansioni di sicurezza, monitorare il sito web e ottimizzare la sicurezza del sito e della rete:

• SiteGuarding
• Intruder
• HostedScan Security
• Detectify
• ImmuniWeb

Qualora non desideriate usare altri strumenti di terze parti, avete anche la possibilità di controllare manualmente i dati del sito con il vostro software antivirus.

Perché i siti sono spesso bersaglio di attacchi hacker?

I motivi per cui un sito web può essere colpito da un attacco hacker sono numerosi. Nella maggior parte dei casi, gli hacker cercano un modo per arricchirsi, impossessandosi di informazioni sensibili quali dati bancari, aziendali o degli utenti. I dati così ottenuti vengono poi usati direttamente dagli hacker stessi o venduti ad altri criminali. Gli attacchi ransomware rappresentano un’ulteriore forma di arricchimento finanziario, poiché sono spesso accompagnati da una richiesta di riscatto per ripristinare i dati aziendali. Gli attacchi hacker possono anche avere un movente politico: ad esempio possono bloccare l’accesso al sito web di un’azienda, di un partito, di un personaggio pubblico o di un’istituzione.

Altre volte gli attacchi possono avvenire nell’ambito di una guerra cibernetica militare. In questo caso dei gruppi di hacker sostenuti dallo stato sferrano attacchi sistematici alle infrastrutture digitali, rubano dati, fanno spionaggio o portano i sistemi al collasso. Dietro ad altri attacchi può nascondersi anche la brama di ricchezza e di fama: a volte un gruppo di hacker o singoli criminali considerano una grande azienda o un personaggio famoso come un trofeo da sfoggiare.

Come prevenire un attacco hacker?

Di seguito vi presentiamo le misure di sicurezza e le regole che aiutano a proteggere il vostro sito web dai malware:

• Usate solamente password sicure che corrispondano alle raccomandazioni attuali in materia di sicurezza.
• Usate un password manager per poter mantenere il controllo quando le password iniziano a diventare numerose.
• Modificate regolarmente le password e i dati di accesso e non salvateli nell’area admin né sul computer.
• Usate una versione di PHP aggiornata: la più recente è PHP 8.
• Aggiornate regolarmente plugin, app e altri software collegati al sito.
• Usate un software antivirus aggiornato.
• Assicuratevi di usare un servizio di hosting affidabile che presti particolare attenzione alla protezione dei dati.
• Usate un plugin di sicurezza per monitorare il sito web.
• Assicuratevi che i certificati SSL siano sempre aggiornati.
• Puntate al trasferimento sicuro di file tra il vostro sito e i computer collegati mediante server FTP o SFTP tramite password sicure.
• Attivate la segnalazione di accessi non autorizzati e l’autenticazione a due fattori.
• Eseguite regolarmente backup di dati presenti sul sito.
• Servitevi di strumenti di sicurezza professionali o di esperti informatici per verificare la presenza di falle di sicurezza.
• Monitorate gli accessi, i permessi e i ruoli utente.
• Usate anche un firewall sicuro per il sito web (ad esempio Sucuri o Cloudflare).
• Le aziende più grandi dovrebbero disporre di un proprio reparto di sicurezza.

Sito web sotto attacco hacker? Comunicate correttamente l’accaduto ai vostri clienti

Se il vostro sito web ha subito un attacco hacker, ripristinare la sicurezza del sito web non è l’unica cosa che dovete fare. Anche gli utenti abbonati ai servizi del sito o che hanno fornito i propri dati devono ricevere le dovute informazioni riguardo a eventuali crimini informatici o furti di dati. Se un attacco viene comunicato in modo tardivo, con poca chiarezza o se addirittura viene tenuto nascosto, la credibilità del vostro marchio potrebbe risentirne. Ad esempio, nel 2019 Facebook ha reso pubblico un furto di oltre 530 milioni di dati utente a due anni di distanza dall’accaduto. Chi è soggetto al Regolamento generale sulla protezione dei dati (GDPR) dell’Unione Europea è obbligato a informare gli utenti circa il furto di dati e la violazione della sicurezza.

Ricordate di comunicare attivamente l’accaduto ai vostri clienti e in modo trasparente. Nella migliore delle ipotesi, questo deve avvenire mediante una comunicazione pubblica o tramite e-mail. Illustrate la situazione in modo chiaro e comprensibile. Indicate le possibili conseguenze dell’attacco e i dati interessati. Inoltre, informate la clientela sulle misure da adottare per ripristinare la sicurezza e la protezione dei dati. In particolare, suggerite loro di modificare le password, di fare attenzione ai tentativi di accesso sospetti o di utilizzare l’autenticazione a due fattori.