Site hackeado: o que fazer nas primeiras horas (e como evitar que aconteça de novo)

Resposta curta: se o seu site foi hackeado, não apague nada de cabeça quente. Primeiro tire o site do ar (ou coloque em manutenção), guarde uma cópia de tudo como está, troque todas as senhas ligadas a ele e avise a hospedagem. Depois limpe o site ou restaure um backup anterior à invasão, corrija a falha que permitiu a entrada e, só então, peça ao Google para revisar o site no Search Console. Se dados de clientes foram expostos, a LGPD pode exigir que você avise os afetados e a ANPD.

Quase ninguém descobre que o site foi invadido olhando o site. Quem avisa é um cliente (“abri seu site e apareceu uma página de aposta”), o navegador com uma tela vermelha de alerta ou o próprio Google. Eu desenvolvo sites para pequenos negócios e profissionais liberais, e a primeira reação de quem passa por isso costuma ser pânico e vontade de apagar tudo.

Abaixo, um roteiro para quem é dono do site (não para programadores): como reconhecer a invasão, o que fazer em cada etapa e como evitar que se repita.

Como saber se o meu site foi hackeado?

Os sinais mais comuns são:

• O navegador mostra um alerta como “Site enganoso à frente” ou “O site a seguir contém malware”. Esse aviso vem do Navegação Segura do Google e aparece no Chrome e em outros navegadores.
• O site redireciona para páginas de aposta, remédios, falsos sorteios ou downloads, às vezes só para quem chega pelo Google ou pelo celular, o que faz o dono não ver nada quando entra direto.
• O Google mostra páginas que você não criou ao pesquisar site:seudominio.com.br, muitas vezes em outro idioma.
• Aparecem usuários administradores desconhecidos no painel do site.
• A hospedagem avisa que a conta foi suspensa ou está enviando spam.
• O Search Console envia um e-mail de “problemas de segurança” (se o site estiver cadastrado nele, o que eu recomendo sempre).

Redirecionamento estranho, páginas desconhecidas no Google ou alerta do navegador são motivo para agir no mesmo dia.

O que fazer primeiro quando o site é invadido?

A ordem importa. Siga esta sequência:

1. Tire o site do ar ou coloque em manutenção

Enquanto o site está infectado, cada visitante pode ser enganado ou receber um arquivo malicioso. Deixar o site em manutenção por algumas horas é melhor do que continuar expondo clientes. A hospedagem costuma ajudar com isso.

2. Guarde uma cópia de tudo antes de mexer

Essa cópia, mesmo infectada, mostra por onde o invasor entrou e o que ele fez. Sem ela, você limpa o site sem descobrir a falha, e a invasão volta. Guarde arquivos, banco de dados e, se possível, os registros de acesso (logs) da hospedagem. Anote a data e a hora em que percebeu o problema.

3. Troque todas as senhas

Todas, e não só a do painel do site: hospedagem, FTP, banco de dados, e-mail do domínio, registro do domínio (no Registro.br, por exemplo) e contas de quem tem acesso ao site. Ative a verificação em duas etapas onde houver. Apague usuários que você não reconhece e os de pessoas que não trabalham mais com você.

4. Avise a hospedagem

Muitas hospedagens têm equipe de segurança e backups automáticos de dias anteriores. E elas precisam saber, porque um site invadido pode estar sendo usado para atacar outros.

Como limpar um site hackeado?

Há dois caminhos:

Restaurar um backup limpo. É o caminho mais seguro, desde que o backup seja de antes da invasão. O cuidado é que muitas invasões ficam escondidas por semanas antes de aparecer, então o backup de ontem pode já estar infectado. Depois de restaurar, atualize tudo imediatamente: o mesmo buraco que permitiu a primeira entrada continua lá.

Limpar o site atual. Quando não há backup confiável, é preciso procurar e remover arquivos alterados, códigos inseridos no banco de dados e páginas criadas pelo invasor. Em WordPress, a invasão costuma vir de plugins e temas desatualizados ou piratas. É um trabalho que exige experiência: peça ajuda à hospedagem ou a um profissional de confiança.

Em qualquer dos dois caminhos, o passo que mais gente pula é descobrir a causa. Limpar sem corrigir a falha é só esperar a próxima invasão.

Como tirar o aviso de “site perigoso” do Google?

Depois que o site estiver limpo, entre no Google Search Console e abra o relatório Problemas de segurança. Ele mostra o que o Google encontrou e exemplos de páginas afetadas. Quando tudo estiver resolvido, use o botão Solicitar uma análise e explique o que foi feito (por exemplo, “removi os arquivos inseridos, atualizei os plugins e troquei as senhas”).

Dois cuidados, segundo a própria documentação do Google:

• Só peça a análise quando o problema estiver resolvido de verdade. Se o Google ainda encontrar o problema, o pedido é recusado e o aviso continua.
• A análise leva tempo. Em casos de malware, costuma ser questão de dias; em casos de spam (páginas falsas criadas no seu site), pode demorar mais.

As páginas falsas que ainda aparecerem na busca tendem a sair conforme o Google volta ao site e não as encontra mais. Falo do Search Console e do mapa do site no artigo sobre como fazer o site aparecer no Google.

Preciso avisar meus clientes e a ANPD?

Depende do que foi atingido. Se o site guarda dados pessoais (cadastro de clientes, mensagens de formulário, área do cliente com documentos) e esses dados podem ter sido acessados, a invasão é um incidente de segurança com dados pessoais pela LGPD (Lei 13.709/2018).

O artigo 48 da LGPD diz que o controlador deve comunicar à ANPD e aos titulares o incidente que possa causar risco ou dano relevante. A Resolução CD/ANPD nº 15/2024 regulamentou essa comunicação e fixou o prazo de três dias úteis, contados de quando você fica sabendo que dados pessoais foram afetados. A ANPD tem regras próprias para agentes de pequeno porte, como microempresas, então vale conferir se o seu caso se enquadra.

Se o site é só uma página de apresentação, sem nenhum dado guardado, essa comunicação geralmente não se aplica. Na dúvida, fale com um advogado especializado em proteção de dados: este artigo não é parecer jurídico. Também vale registrar um boletim de ocorrência, o que pode ser feito pela delegacia online em muitos estados. E, se o seu site coleta dados, confira se a sua política de privacidade descreve o que você realmente guarda.

Por que sites pequenos são hackeados?

Muita gente acha que “ninguém vai querer invadir o site de um escritório pequeno”. Mas a maior parte das invasões não é pessoal: robôs varrem a internet procurando qualquer site com falha conhecida e, quando acham, usam o site para publicar spam, enviar e-mails em massa, espalhar arquivos maliciosos ou roubar dados. O seu site não precisa ser importante para ser alvo. Basta estar desatualizado.

Como evitar que o site seja hackeado de novo?

As medidas que mais protegem são simples e chatas, e é justamente por isso que muita gente deixa de lado:

• Atualizações em dia: sistema, tema e plugins. Uma falha conhecida e sem correção é a porta de entrada mais comum.
• Menos peças: cada plugin instalado é mais um ponto que pode falhar. Remova o que não usa.
• Nunca use plugin ou tema pirata: muitos já vêm com código malicioso embutido.
• Senhas únicas e verificação em duas etapas para todos que acessam o painel, a hospedagem e o domínio.
• Backups automáticos guardados fora da hospedagem, e um teste de restauração de vez em quando. Backup que nunca foi testado não é garantia.
• Search Console cadastrado, para o Google avisar você por e-mail se encontrar problema.
• Domínio e hospedagem no seu nome, para você não depender de outra pessoa numa emergência. Falo disso no guia sobre como escolher um desenvolvedor de sites.

Outra forma de diminuir o risco é reduzir o que pode ser atacado. Um site de apresentação feito como site estático (páginas prontas, sem painel administrativo nem banco de dados no servidor) tem bem menos pontos de entrada do que um site cheio de plugins. É assim que eu costumo construir os sites de criação de sites que entrego: quando o site não precisa de login nem de banco de dados, não faz sentido carregar esse risco.

Perguntas frequentes

Site hackeado volta ao normal?

Na maioria dos casos, sim. Depois da limpeza, da correção da falha e da revisão do Google, o alerta sai e as páginas falsas somem da busca aos poucos. O que demora mais é recuperar a confiança de quem viu o alerta.

Trocar de hospedagem resolve a invasão?

Sozinho, não. Se você copiar os arquivos infectados para outra hospedagem, leva a invasão junto. Trocar de hospedagem só ajuda depois que o site estiver limpo, ou se a falha estava na própria hospedagem.

Site feito com IA corre mais risco de ser hackeado?

Depende do que foi gerado. Uma página simples tem risco baixo; um sistema com login e banco de dados gerado por IA pode sair com falhas que facilitam o acesso. Eu explico os problemas mais comuns no artigo sobre criar site com IA.

Resumo

Site hackeado: tire do ar, guarde uma cópia, troque as senhas, avise a hospedagem, limpe ou restaure um backup limpo, corrija a falha e peça a revisão no Search Console. Se dados de clientes foram atingidos, veja com um advogado a comunicação exigida pela LGPD. Para não repetir: atualizações em dia, menos plugins e backups testados.

Se você quer um site mais simples de manter e com menos pontos de ataque, ou quer que eu dê uma olhada no seu site atual, veja como eu trabalho na página de criação de sites.