WordPress hackeado? O que fazer nas primeiras 24 horas

O que é

O comprometimento de um WordPress normalmente significa que alguém obteve a capacidade de alterar arquivos, o banco de dados ou contas de usuário. Sinais comuns incluem usuários administradores desconhecidos, plugins ou arquivos estranhos, JavaScript injetado, páginas de spam indexadas pelos mecanismos de busca, redirecionamentos que afetam apenas alguns visitantes, envio de e-mails de spam ou avisos de um navegador ou mecanismo de busca. Pontos de entrada frequentes incluem plugins e temas desatualizados ou abandonados, senhas reutilizadas ou fracas, credenciais de hospedagem ou FTP comprometidas e permissões de arquivo inseguras. As primeiras 24 horas servem para confirmar o que está acontecendo, limitar novos danos, manter um registro e preparar uma limpeza adequada. A limpeza detalhada, arquivo por arquivo, vem em seguida como uma etapa própria.

Para Quem É

Este checklist é para:

• Proprietários de empresas e equipes de marketing que gerenciam um site WordPress sem uma equipe de segurança dedicada
• Agências que dão suporte ao site de um cliente que acabou de ser reportado como comprometido
• Equipes internas de TI que receberam um aviso de suspensão da hospedagem ou um alerta do navegador
• Qualquer pessoa que precise informar claramente um fornecedor antes do início da limpeza

O Que Isso Ajuda A Esclarecer

Seguir o checklist ajuda a esclarecer:

• Se o site está realmente comprometido ou apresenta uma falha de configuração ou de plugin
• O que mudou, quando e quais contas podem estar envolvidas
• Quem é responsável pela hospedagem, pelo domínio, pelo DNS e pelos backups, e quem pode autorizar alterações
• Se dados de clientes ou fluxos de pagamento podem ter sido afetados e exigem atenção separada

O que está incluído

• Hora 0-2: anote o que foi percebido, quando e por quem; faça capturas de tela de avisos, redirecionamentos e páginas desconhecidas
• Hora 0-2: identifique quem controla a hospedagem, o registrador do domínio, o DNS, a CDN e o painel administrativo do WordPress
• Hora 1-4: faça uma cópia completa dos arquivos e do banco de dados no estado atual e armazene-a separadamente; não sobrescreva backups mais antigos
• Hora 1-4: considere colocar o site em modo de manutenção ou pedir à hospedagem que restrinja o acesso, se os visitantes estiverem sendo prejudicados
• Hora 2-6: a partir de um dispositivo limpo, altere as senhas da hospedagem, do FTP/SFTP, do banco de dados e dos administradores do WordPress; ative a MFA quando disponível
• Hora 2-6: revise os usuários do WordPress e remova ou desative contas que você não reconhece, anotando o que foi removido
• Hora 4-12: reúna os logs de acesso do servidor disponíveis e os avisos de segurança da hospedagem
• Hora 6-24: repasse a um fornecedor qualificado suas anotações, logs e a cópia de backup, e acorde um escopo de limpeza

O que não está incluído

• Comandos de remoção de malware ou instruções para editar arquivos do núcleo sem backup
• Aconselhamento jurídico sobre a obrigatoriedade de notificar um vazamento de dados
• A afirmação de que apenas trocar as senhas resolve o comprometimento
• Recomendações para contatar o atacante ou retaliar contra ele

Quando Escolher

Use este checklist assim que suspeitar de um comprometimento, antes de começar a apagar arquivos ou restaurar backups. Se o site processa pagamentos ou armazena dados pessoais de clientes, envolva desde cedo o responsável pelas obrigações de privacidade e legais; os deveres de notificação dependem dos fatos e da jurisdição, e este artigo não constitui aconselhamento jurídico. Se o provedor de hospedagem suspendeu a conta, pergunte o que ele precisa de você para restabelecer o acesso e se ele mantém logs que você possa usar.

Nossa abordagem

Priorize a contenção e o registro em vez da rapidez na limpeza visual. Um site que voltou a parecer normal ainda pode conter um backdoor que permite ao atacante retornar em poucos dias. Restaurar um backup antigo sem fechar o ponto de entrada costuma levar a uma reinfecção. Concluídas as etapas iniciais, a limpeza deve abranger arquivos, banco de dados, usuários, tarefas agendadas e a configuração do servidor, seguida do fechamento do ponto de entrada e do hardening. Nosso serviço Incident Recovery oferece uma revisão inicial e a classificação de um problema acordado no site ou no WordPress, contenção prática, limpeza de código malicioso, backdoors e usuários não autorizados, restauração segura, fechamento do ponto de entrada identificado e um relatório escrito com recomendações de hardening. Trata-se de um trabalho com escopo definido para o site confirmado, e as determinações jurídicas ficam a cargo do seu assessor jurídico. Seja quem for que ajude você, peça que explique o que encontrou e alterou, e guarde esse relatório junto com suas anotações.

Incident Recovery

Perguntas Frequentes

Artigos relacionados