Il malware di un sito non si annuncia. È progettato per agire in modo invisibile, usando il tuo sito per rubare dati, reindirizzare i visitatori o attaccare altri sistemi mentre il sito sembra funzionare del tutto normalmente. Quando il proprietario si accorge che qualcosa non va, il malware ha spesso già fatto il suo danno. Cosa lo rende così persistente e come appare davvero dall'interno è ciò che vedi in questo articolo.
Il malware, abbreviazione di software dannoso, è codice inserito in un sito senza che il proprietario lo sappia e che serve agli interessi dell'aggressore. Può arrivare da una vulnerabilità in un software non aggiornato, da una password di amministratore rubata o da uno script di terze parti compromesso. Una volta dentro, funziona accanto ai contenuti legittimi senza far scattare alcun avviso evidente. Per capire cosa rende i siti vulnerabili in primo luogo, leggi l'articolo su perché la sicurezza del sito è importante.
Cos'è il malware di un sito?
Il malware di un sito non è un solo tipo di minaccia. È una categoria che comprende molti tipi di codice dannoso, ciascuno pensato per fare qualcosa di diverso una volta sul sito. Conoscere i tipi aiuta a capire perché il malware è così difficile da individuare e perché spesso fa danni molto prima che qualcuno si accorga che c'è.
Tipi comuni di malware per siti
- Il malware di reindirizzamento cambia la destinazione dei tuoi visitatori, mandandoli a pagine di phishing, siti fraudolenti o pagine che generano ricavi pubblicitari per l'aggressore
- Il malware di skimming cattura i dati delle carte di pagamento inseriti nelle pagine di pagamento e li trasmette all'aggressore in tempo reale, senza che visitatore e proprietario lo sappiano
- Il malware backdoor installa un punto di accesso nascosto e permanente, che permette all'aggressore di tornare anche dopo che la vulnerabilità originale è stata corretta
- Il ransomware cifra i file del sito e chiede un pagamento per ripristinare l'accesso
- Il malware di cryptomining usa le risorse dei dispositivi dei tuoi visitatori per estrarre criptovalute per l'aggressore mentre navigano sul tuo sito
- Il malware di spam usa il server del sito per inviare email indesiderate, e questo può far finire il tuo dominio in una lista nera
Come arriva il malware su un sito?
Software non aggiornato
- Quando viene scoperta una vulnerabilità in una piattaforma, un plugin o un tema, i dettagli vengono pubblicati nello stesso momento in cui esce la correzione
- Gli scanner automatici iniziano subito a cercare i siti che usano ancora la vecchia versione. L'intervallo tra l'uscita della correzione e il momento in cui il sito la applica è quello in cui il rischio è più alto
- Ogni giorno in cui un sito usa software non aggiornato con una vulnerabilità nota, è un bersaglio documentato
Credenziali di amministratore compromesse
- Strumenti automatici provano migliaia di combinazioni di nome utente e password sulle pagine di accesso finché una funziona. Password deboli o riutilizzate rendono tutto più facile
- Le credenziali rubate con il phishing o con violazioni di dati su altri servizi danno agli aggressori accesso diretto al pannello di amministrazione, dove possono installare malware senza sfruttare alcuna vulnerabilità tecnica
Codice di terze parti vulnerabile
- Plugin, temi e integrazioni ampliano ciò che un sito può fare, e ampliano anche il numero di possibili punti di ingresso
- Una vulnerabilità in qualsiasi componente di terze parti può essere sfruttata, per quanto sia sicura la piattaforma di base
- I plugin e i temi inattivi e non aggiornati restano vulnerabili anche quando non vengono usati sul sito
Script esterni compromessi
- I siti che caricano script da fornitori esterni (strumenti di analisi, reti pubblicitarie, widget di chat) sono esposti se quei fornitori vengono compromessi
- Il codice dannoso consegnato tramite uno script esterno di cui ci si fida raggiunge ogni sito che usa quel servizio, non uno solo
Cosa fa il malware al tuo sito?
Reindirizza i tuoi visitatori
- Il malware di reindirizzamento manda i visitatori a pagine con cui non hai alcun legame, spesso senza alcun segno visivo che sia avvenuto un reindirizzamento
- Queste destinazioni possono provare a installare software dannoso sul dispositivo del visitatore, raccogliere credenziali di accesso o mettere in atto una truffa
- Il reindirizzamento è spesso condizionale: colpisce solo i visitatori che arrivano dai risultati di ricerca o solo gli utenti mobile, per non farsi scoprire dal proprietario, che accede al sito direttamente
Danneggia la tua visibilità nei motori di ricerca
- I motori di ricerca che rilevano malware su un sito aggiungono un'etichetta di avviso al suo risultato. Il tasso di clic scende quasi a zero quando compare quell'avviso
- Nei casi più gravi il sito viene rimosso del tutto dai risultati finché non viene ripulito e una richiesta di revisione non viene approvata
- Gli avvisi del browser bloccano i visitatori prima che arrivino alla pagina, e fanno sparire il traffico di chiunque li incontri
Espone i dati dei tuoi visitatori
- Il malware di skimming cattura le informazioni sensibili mentre i visitatori le inseriscono. Dati di pagamento, password e informazioni di contatto vengono trasmessi all'aggressore mentre l'invio del modulo si completa normalmente
- Né il visitatore né il proprietario del sito se ne accorgono
- L'esposizione dei dati dei visitatori ha conseguenze legali nelle regioni con norme sulla protezione dei dati, e il danno di reputazione può durare più di qualsiasi correzione tecnica
Prende in ostaggio il tuo sito
- Il ransomware cifra i file del sito e chiude fuori del tutto il proprietario. Per riavere l'accesso bisogna pagare il riscatto o ripristinare da un backup pulito
- I proprietari con backup recenti, conservati separatamente dal server, possono ripristinare senza pagare. Chi non ha un backup offline ha pochissime opzioni
Come capisci se il tuo sito ha malware?
Segnali che il proprietario può osservare
- File che compaiono nella cartella del sito e che nessuno del tuo team ha aggiunto
- Modifiche a file principali o di configurazione che nessuno ha fatto
- Nuovi account di amministratore che compaiono nella dashboard
- Il sito che si carica in modo evidente più lentamente senza modifiche a contenuti o codice
- Essere chiusi fuori dal pannello di amministrazione
Segnali segnalati dall'esterno
- Visitatori che segnalano che il loro browser li avvisa di non visitare il tuo sito
- Un'etichetta di avviso accanto al risultato del tuo sito nei motori di ricerca
- Visitatori che segnalano di essere stati reindirizzati a pagine sconosciute dopo aver cliccato link sul tuo sito
- Email respinte o segnalazioni di liste nere legate al tuo dominio
Perché potresti non accorgerti di niente
- Molti tipi di malware sono progettati apposta per essere invisibili ai proprietari dei siti mentre colpiscono i visitatori
- Il malware di reindirizzamento spesso si attiva solo per i visitatori che arrivano dai motori di ricerca, e il sito sembra normale quando lo visiti direttamente
- Fare scansioni di sicurezza regolari è l'unico modo affidabile per scoprire infezioni pensate apposta per non essere viste
Come si rimuove il malware da un sito?
Ripristina da un backup pulito
- Ripristinare un backup fatto prima che il malware arrivasse sostituisce ogni file infetto con una versione del sito verificata e pulita
- Dopo il ripristino, la vulnerabilità che ha permesso l'attacco va individuata e chiusa prima che il sito torni online. Altrimenti la stessa infezione si ripresenta
- Per sapere come impostare i backup prima che succeda un incidente, leggi l'articolo su come fare il backup del tuo sito
Rimozione manuale quando non c'è un backup
- I file infetti vanno individuati con uno scanner di sicurezza e ripuliti o sostituiti con versioni pulite prese dalla fonte originale
- Le backdoor lasciate dall'aggressore vanno trovate e rimosse. Lasciare al loro posto una qualsiasi parte dell'infezione significa che l'aggressore mantiene l'accesso
- La rimozione manuale è più lenta e meno affidabile del ripristino da backup, soprattutto quando sono state installate backdoor
Dopo che il sito è pulito
- Cambia tutte le credenziali associate al sito, inclusi account di amministratore, pannello di hosting, FTP e database
- Aggiorna tutto il software per chiudere le vulnerabilità che sono state sfruttate
- Invia ai motori di ricerca una richiesta di revisione per il malware, così gli avvisi nei risultati possono essere rimossi
- Tieni d'occhio il sito con attenzione per diverse settimane, per confermare che il malware non sia tornato
Per una guida completa su come evitare che il malware arrivi sul tuo sito, leggi l'articolo su come proteggere il tuo sito dagli hacker. Per cosa proteggono e cosa non proteggono i certificati SSL, leggi l'articolo su cos'è un certificato SSL e come funziona.
Come WEMASY gestisce la protezione dal malware
L'infrastruttura di hosting di WEMASY include protezione firewall e filtraggio del traffico a livello di rete, che blocca una quota importante degli attacchi automatici prima che raggiungano i singoli siti. Gli aggiornamenti del software sono gestiti a livello di piattaforma, quindi i siti su WEMASY non sono esposti alle vulnerabilità di codice di piattaforma non aggiornato.
I backup sono inclusi in tutti i piani e gestiti in automatico, con opzioni di ripristino disponibili dalla dashboard. In caso di incidente, tornare a uno stato pulito non richiede competenze tecniche né un servizio di backup a parte.
Scopri cosa è incluso nel creatore di siti WEMASY o guarda i piani nella pagina dei prezzi.
Domande frequenti
Cos'è il malware di un sito?
Il malware di un sito è codice dannoso inserito in un sito senza che il proprietario lo sappia. Viene iniettato dagli aggressori tramite vulnerabilità nel software del sito, credenziali di amministratore compromesse o script di terze parti infetti. Una volta sul sito, il malware può reindirizzare i visitatori, rubare dati, inviare spam, cifrare i file per chiedere un riscatto o usare i dispositivi dei visitatori per scopi non autorizzati. Di solito lavora in background mentre il sito sembra funzionare normalmente. Con il creatore di siti di WEMASY puoi impostarlo direttamente sul tuo sito.
Come arriva il malware su un sito?
Le strade più comuni sono lo sfruttamento di vulnerabilità note nel software non aggiornato del sito, l'accesso tramite password di amministratore deboli o rubate e la compromissione di plugin di terze parti o script esterni. Strumenti automatici scansionano di continuo milioni di siti in cerca di queste vulnerabilità e le sfruttano senza prendere di mira un sito in particolare. Tenere il software aggiornato e le credenziali di amministratore forti e uniche copre la maggior parte dei punti di ingresso.
Come faccio a sapere se il mio sito ha malware?
Tra i segnali comuni ci sono visitatori che segnalano reindirizzamenti a siti sconosciuti, avvisi del browser o dei risultati di ricerca sul tuo sito, file inattesi nella cartella del sito, nuovi account di amministratore che nessuno ha creato e un sito che si carica molto più lentamente del solito. Molte infezioni sono progettate per essere invisibili al proprietario mentre colpiscono i visitatori, quindi fare scansioni di sicurezza regolari è l'unico modo affidabile per scoprirle presto.
Il malware può influire sul posizionamento nei motori di ricerca?
Sì, in modo diretto. I motori di ricerca che rilevano malware aggiungono un'etichetta di avviso al risultato del sito, e questo riduce il tasso di clic quasi a zero. Nei casi gravi il sito viene rimosso del tutto dai risultati finché non supera una revisione dopo la pulizia. Gli avvisi del browser bloccano i visitatori prima che arrivino alla pagina. Recuperare la visibilità nei motori di ricerca dopo un incidente da malware richiede tempo e non è sempre immediato, nemmeno dopo la conferma che il sito è pulito.
Qual è il modo più rapido per riprendersi da un'infezione da malware?
Ripristinare da un backup pulito è il metodo di recupero più rapido e affidabile. Sostituisce tutti i file infetti con una versione del sito verificata e pulita. Dopo il ripristino, la vulnerabilità che ha permesso l'attacco va corretta prima che il sito torni online, e tutte le credenziali vanno cambiate. Se non esiste un backup pulito, i file infetti vanno individuati e ripuliti a mano, e questo richiede molto più tempo e lascia più facilmente problemi residui.
Avere un certificato SSL protegge dal malware?
No. SSL cifra i dati in transito tra il browser del visitatore e il server. Non protegge il sito stesso dal malware. Un sito con un certificato SSL valido può comunque essere infettato se il server ha vulnerabilità, le credenziali di amministratore sono deboli o un plugin o uno script esterno ha una falla di sicurezza. SSL e protezione dal malware rispondono a minacce diverse e servono entrambi: SSL protegge i dati che i visitatori inviano, mentre le misure di sicurezza lato server proteggono il sito dalla compromissione.