# Site hackeado: o que fazer nas primeiras horas (e como evitar que aconteça de novo) > Site hackeado ou invadido? Veja os sinais, o que fazer primeiro, como tirar o aviso do Google e quando avisar clientes e a ANPD. Por [Thiago Thomaz](https://www.thiagothomaz.tech/sobre) · Segurança · publicado em 23 de outubro de 2026 **Resposta curta:** se o seu site foi hackeado, não apague nada de cabeça quente. Primeiro tire o site do ar (ou coloque em manutenção), guarde uma cópia de tudo como está, troque todas as senhas ligadas a ele e avise a hospedagem. Depois limpe o site ou restaure um backup anterior à invasão, corrija a falha que permitiu a entrada e, só então, peça ao Google para revisar o site no Search Console. Se dados de clientes foram expostos, a LGPD pode exigir que você avise os afetados e a ANPD. Quase ninguém descobre que o site foi invadido olhando o site. Quem avisa é um cliente ("abri seu site e apareceu uma página de aposta"), o navegador com uma tela vermelha de alerta ou o próprio Google. Eu desenvolvo sites para pequenos negócios e profissionais liberais, e a primeira reação de quem passa por isso costuma ser pânico e vontade de apagar tudo. Abaixo, um roteiro para quem é dono do site (não para programadores): como reconhecer a invasão, o que fazer em cada etapa e como evitar que se repita. ## Como saber se o meu site foi hackeado? Os sinais mais comuns são: - **O navegador mostra um alerta** como "Site enganoso à frente" ou "O site a seguir contém malware". Esse aviso vem do Navegação Segura do Google e aparece no Chrome e em outros navegadores. - **O site redireciona** para páginas de aposta, remédios, falsos sorteios ou downloads, às vezes só para quem chega pelo Google ou pelo celular, o que faz o dono não ver nada quando entra direto. - **O Google mostra páginas que você não criou** ao pesquisar `site:seudominio.com.br`, muitas vezes em outro idioma. - **Aparecem usuários administradores desconhecidos** no painel do site. - **A hospedagem avisa** que a conta foi suspensa ou está enviando spam. - **O Search Console envia um e-mail** de "problemas de segurança" (se o site estiver cadastrado nele, o que eu recomendo sempre). Redirecionamento estranho, páginas desconhecidas no Google ou alerta do navegador são motivo para agir no mesmo dia. ## O que fazer primeiro quando o site é invadido? A ordem importa. Siga esta sequência: ### 1. Tire o site do ar ou coloque em manutenção Enquanto o site está infectado, cada visitante pode ser enganado ou receber um arquivo malicioso. Deixar o site em manutenção por algumas horas é melhor do que continuar expondo clientes. A hospedagem costuma ajudar com isso. ### 2. Guarde uma cópia de tudo antes de mexer Essa cópia, mesmo infectada, mostra **por onde** o invasor entrou e **o que** ele fez. Sem ela, você limpa o site sem descobrir a falha, e a invasão volta. Guarde arquivos, banco de dados e, se possível, os registros de acesso (logs) da hospedagem. Anote a data e a hora em que percebeu o problema. ### 3. Troque todas as senhas Todas, e não só a do painel do site: hospedagem, FTP, banco de dados, e-mail do domínio, registro do domínio (no Registro.br, por exemplo) e contas de quem tem acesso ao site. Ative a verificação em duas etapas onde houver. Apague usuários que você não reconhece e os de pessoas que não trabalham mais com você. ### 4. Avise a hospedagem Muitas hospedagens têm equipe de segurança e backups automáticos de dias anteriores. E elas precisam saber, porque um site invadido pode estar sendo usado para atacar outros. ## Como limpar um site hackeado? Há dois caminhos: **Restaurar um backup limpo.** É o caminho mais seguro, desde que o backup seja de **antes** da invasão. O cuidado é que muitas invasões ficam escondidas por semanas antes de aparecer, então o backup de ontem pode já estar infectado. Depois de restaurar, atualize tudo imediatamente: o mesmo buraco que permitiu a primeira entrada continua lá. **Limpar o site atual.** Quando não há backup confiável, é preciso procurar e remover arquivos alterados, códigos inseridos no banco de dados e páginas criadas pelo invasor. Em WordPress, a invasão costuma vir de plugins e temas desatualizados ou piratas. É um trabalho que exige experiência: peça ajuda à hospedagem ou a um profissional de confiança. Em qualquer dos dois caminhos, o passo que mais gente pula é **descobrir a causa**. Limpar sem corrigir a falha é só esperar a próxima invasão. ## Como tirar o aviso de "site perigoso" do Google? Depois que o site estiver limpo, entre no **Google Search Console** e abra o relatório **Problemas de segurança**. Ele mostra o que o Google encontrou e exemplos de páginas afetadas. Quando tudo estiver resolvido, use o botão **Solicitar uma análise** e explique o que foi feito (por exemplo, "removi os arquivos inseridos, atualizei os plugins e troquei as senhas"). Dois cuidados, segundo a própria documentação do Google: - **Só peça a análise quando o problema estiver resolvido de verdade.** Se o Google ainda encontrar o problema, o pedido é recusado e o aviso continua. - **A análise leva tempo.** Em casos de malware, costuma ser questão de dias; em casos de spam (páginas falsas criadas no seu site), pode demorar mais. As páginas falsas que ainda aparecerem na busca tendem a sair conforme o Google volta ao site e não as encontra mais. Falo do Search Console e do mapa do site no artigo sobre [como fazer o site aparecer no Google](/blog/como-fazer-meu-site-aparecer-no-google). ## Preciso avisar meus clientes e a ANPD? Depende do que foi atingido. Se o site guarda **dados pessoais** (cadastro de clientes, mensagens de formulário, área do cliente com documentos) e esses dados podem ter sido acessados, a invasão é um **incidente de segurança com dados pessoais** pela LGPD (Lei 13.709/2018). O artigo 48 da LGPD diz que o controlador deve comunicar à ANPD e aos titulares o incidente que possa causar risco ou dano relevante. A Resolução CD/ANPD nº 15/2024 regulamentou essa comunicação e fixou o prazo de **três dias úteis**, contados de quando você fica sabendo que dados pessoais foram afetados. A ANPD tem regras próprias para agentes de pequeno porte, como microempresas, então vale conferir se o seu caso se enquadra. Se o site é só uma página de apresentação, sem nenhum dado guardado, essa comunicação geralmente não se aplica. Na dúvida, fale com um advogado especializado em proteção de dados: **este artigo não é parecer jurídico**. Também vale registrar um boletim de ocorrência, o que pode ser feito pela delegacia online em muitos estados. E, se o seu site coleta dados, confira se a sua [política de privacidade](/blog/politica-de-privacidade-para-site) descreve o que você realmente guarda. ## Por que sites pequenos são hackeados? Muita gente acha que "ninguém vai querer invadir o site de um escritório pequeno". Mas a maior parte das invasões não é pessoal: robôs varrem a internet procurando qualquer site com falha conhecida e, quando acham, usam o site para publicar spam, enviar e-mails em massa, espalhar arquivos maliciosos ou roubar dados. O seu site não precisa ser importante para ser alvo. Basta estar desatualizado. ## Como evitar que o site seja hackeado de novo? As medidas que mais protegem são simples e chatas, e é justamente por isso que muita gente deixa de lado: - **Atualizações em dia:** sistema, tema e plugins. Uma falha conhecida e sem correção é a porta de entrada mais comum. - **Menos peças:** cada plugin instalado é mais um ponto que pode falhar. Remova o que não usa. - **Nunca use plugin ou tema pirata:** muitos já vêm com código malicioso embutido. - **Senhas únicas e verificação em duas etapas** para todos que acessam o painel, a hospedagem e o domínio. - **Backups automáticos guardados fora da hospedagem**, e um teste de restauração de vez em quando. Backup que nunca foi testado não é garantia. - **Search Console cadastrado**, para o Google avisar você por e-mail se encontrar problema. - **Domínio e hospedagem no seu nome**, para você não depender de outra pessoa numa emergência. Falo disso no guia sobre [como escolher um desenvolvedor de sites](/blog/desenvolvedor-de-sites-como-escolher). Outra forma de diminuir o risco é reduzir o que pode ser atacado. Um site de apresentação feito como **site estático** (páginas prontas, sem painel administrativo nem banco de dados no servidor) tem bem menos pontos de entrada do que um site cheio de plugins. É assim que eu costumo construir os sites de [criação de sites](/criacao-de-sites) que entrego: quando o site não precisa de login nem de banco de dados, não faz sentido carregar esse risco. ## Perguntas frequentes ### Site hackeado volta ao normal? Na maioria dos casos, sim. Depois da limpeza, da correção da falha e da revisão do Google, o alerta sai e as páginas falsas somem da busca aos poucos. O que demora mais é recuperar a confiança de quem viu o alerta. ### Trocar de hospedagem resolve a invasão? Sozinho, não. Se você copiar os arquivos infectados para outra hospedagem, leva a invasão junto. Trocar de hospedagem só ajuda depois que o site estiver limpo, ou se a falha estava na própria hospedagem. ### Site feito com IA corre mais risco de ser hackeado? Depende do que foi gerado. Uma página simples tem risco baixo; um sistema com login e banco de dados gerado por IA pode sair com falhas que facilitam o acesso. Eu explico os problemas mais comuns no artigo sobre [criar site com IA](/blog/criar-site-com-ia-seguranca). ## Resumo Site hackeado: tire do ar, guarde uma cópia, troque as senhas, avise a hospedagem, limpe ou restaure um backup limpo, corrija a falha e peça a revisão no Search Console. Se dados de clientes foram atingidos, veja com um advogado a comunicação exigida pela LGPD. Para não repetir: atualizações em dia, menos plugins e backups testados. Se você quer um site mais simples de manter e com menos pontos de ataque, ou quer que eu dê uma olhada no seu site atual, veja como eu trabalho na página de [criação de sites](/criacao-de-sites). Serviço relacionado: https://www.thiagothomaz.tech/criacao-de-sites Dúvidas? [Fale pelo WhatsApp](https://wa.me/5521987059570?text=Ol%C3%A1%2C%20Thiago!%20Li%20o%20artigo%20sobre%20site%20hackeado%20e%20queria%20ajuda%20para%20conferir%20e%20proteger%20o%20meu%20site.). --- - Contato: [WhatsApp +55 21 98705-9570](https://wa.me/5521987059570?text=Ol%C3%A1%2C%20Thiago!%20Vi%20seu%20site%20e%20gostaria%20de%20conversar%20sobre%20um%20projeto.) - Mapa do site para agentes: [llms.txt](https://www.thiagothomaz.tech/llms.txt) · [sitemap.xml](https://www.thiagothomaz.tech/sitemap.xml) - Páginas: [Início](https://www.thiagothomaz.tech/) · [Criação de sites](https://www.thiagothomaz.tech/criacao-de-sites) · [Sistemas web](https://www.thiagothomaz.tech/desenvolvimento-de-sistemas-web) · [Automação de processos](https://www.thiagothomaz.tech/automacao-de-processos) · [Sites para advogados](https://www.thiagothomaz.tech/site-para-advogados) · [Blog](https://www.thiagothomaz.tech/blog) · [Sobre](https://www.thiagothomaz.tech/sobre) · [Contato](https://www.thiagothomaz.tech/contato) · [Privacidade](https://www.thiagothomaz.tech/privacidade)