A maioria das invasões não é percebida imediatamente. Atacantes preferem permanecer invisíveis, coletando dados, enviando spam ou usando seu servidor para atacar outros enquanto o site aparenta normalidade. Abaixo estão os sinais mais comuns, como confirmar a suspeita em poucos minutos e o que fazer nas primeiras horas.
10 Sinais de que Seu Site Foi Comprometido
1. Google exibe aviso "Este site pode prejudicar seu computador"
O Google Safe Browsing detectou malware ou conteúdo suspeito. Seu site foi adicionado à lista negra, e visitantes veem um alerta vermelho antes de entrar.
2. Seu provedor de hospedagem suspendeu a conta
Provedores monitoram atividade anormal, como envio em massa de e-mails e consumo excessivo de CPU. Suspensão súbita sem violação óbvia é sinal de comprometimento.
3. Redirecionamentos para sites estranhos
Você acessa seu domínio e é redirecionado para farmácias online, sites adultos ou páginas de phishing.
4. Páginas novas que você não criou
É o spam de SEO: atacantes criam centenas de páginas sobre remédios, apostas ou produtos falsificados para usar a reputação do seu domínio nos buscadores.
5. Sua conta de e-mail enviando mensagens que você não mandou
Phishing usando seu domínio como remetente. Além do golpe contra quem recebe, isso pode levar seu domínio a listas de bloqueio de e-mail.
6. Usuários administradores desconhecidos no painel
Um atacante com acesso ao painel cria um usuário de backdoor para manter o acesso mesmo depois da troca de senha.
7. Google Search Console mostra URLs que você não criou
No Search Console, abra o relatório de Páginas (em Indexação) e o de Desempenho. Se aparecerem endereços que você nunca publicou, há conteúdo injetado. O relatório Problemas de segurança mostra se o Google já detectou malware, phishing ou spam no site.
8. Lentidão extrema ou consumo anormal de recursos
Seu servidor pode estar sendo usado como nó de botnet ou para mineração de criptomoeda (cryptojacking).
9. Arquivos modificados recentemente sem motivo
No servidor, um comando como find /var/www -name "*.php" -mtime -7 lista os arquivos PHP alterados nos últimos 7 dias. Arquivo de código modificado fora de um deploy merece análise: pode ser um backdoor.
10. Alertas de antivírus nos visitantes
Usuários relatam que o antivírus bloqueia seu site. É comum o malware ser injetado em arquivos estáticos, como JavaScript e CSS.
"Eu Acesso e Está Tudo Normal": o Redirecionamento Seletivo
Muitas infecções mostram o conteúdo malicioso só para parte dos visitantes: quem chega pelo Google, quem acessa pelo celular ou quem não está logado no painel. O dono do site, que entra direto pelo endereço e costuma estar logado, vê a página normal. Por isso a reclamação de um cliente não deve ser descartada só porque "aqui funciona". Teste abrindo o site em uma janela anônima, pelo celular em rede móvel e clicando em um resultado de busca do Google.
Como Confirmar a Suspeita em 15 Minutos
- Consulte o status do domínio no Safe Browsing pelo Relatório de Transparência do Google.
- Pesquise o próprio domínio no Google com
site:seudominio.com.brsomado a termos de spam comuns, como "cassino", "viagra" ou "réplica". Resultado que você não publicou é conteúdo injetado. - Abra o relatório Problemas de segurança no Search Console.
- Liste os usuários do painel e compare com quem deveria ter acesso, inclusive contas de agências e ex-funcionários.
- Procure arquivos alterados fora das datas de deploy e tarefas agendadas (cron) que você não criou.
- Confira os registros de DNS, principalmente MX e TXT, e se houve login recente no painel do registro do domínio.
Se você não tem acesso ao servidor ou não se sente seguro para fazer essas verificações, o diagnóstico gratuito da LDL mostra parte do que está exposto publicamente, como certificado, cabeçalhos de segurança, e-mail e listas de bloqueio.
O Que Fazer Imediatamente
- Documente e preserve evidências: capturas de tela, logs do servidor e do painel e a data em que o problema começou. Copie os logs antes de restaurar qualquer coisa, porque a restauração costuma apagá-los.
- Coloque o site em manutenção para proteger os visitantes.
- Troque todas as senhas e segredos: hospedagem, painel, banco de dados, FTP e SSH, e-mail e também chaves de API e tokens guardados em arquivos de configuração.
- Faça uma varredura completa com ferramentas como Sucuri SiteCheck ou Wordfence.
- Restaure de um backup limpo, de antes da invasão. Não confie só em limpeza manual: backdoors costumam ficar escondidos em arquivos que parecem legítimos.
- Identifique o vetor de entrada, seja plugin desatualizado, senha vazada ou falha na aplicação. Sem isso, a invasão se repete, inclusive a partir do backup restaurado.
- Avalie a LGPD: se dados pessoais de clientes podem ter sido acessados, o incidente pode ter de ser comunicado à ANPD e aos titulares. O regulamento da ANPD para comunicação de incidentes (Resolução CD/ANPD nº 15/2024) dá prazo de 3 dias úteis.
- Solicite revisão ao Google pelo relatório Problemas de segurança do Search Console depois de limpar.
O passo a passo completo para as primeiras horas está no guia de resposta a incidentes.
Como Evitar a Próxima Vez
- Atualizações em dia do CMS, dos plugins, do tema e da versão do PHP ou da linguagem do servidor.
- Verificação em duas etapas no painel do site, na hospedagem e no registro do domínio.
- Menos acesso, menos risco: cada pessoa com o perfil mínimo de que precisa, e contas antigas removidas.
- Monitoramento de integridade de arquivos, que avisa quando um arquivo de código muda fora de um deploy. Ferramentas como o Wazuh fazem isso.
- Backups automáticos fora do servidor, com restauração testada.
A forma mais eficaz, porém, é contratar um pentest antes que o atacante chegue. O pentest identifica os vetores de entrada, e você corrige antes da invasão.
Perguntas Frequentes
Meu site foi hackeado, mas continua funcionando. Preciso agir mesmo assim?
Sim. Um site invadido que "funciona" pode estar distribuindo malware para quem visita, enviando spam com seu domínio ou servindo de ponto de entrada para outros sistemas da empresa. Quanto mais tempo o acesso fica aberto, maior o dano e mais difícil descobrir o que foi levado.
Restaurar o backup resolve a invasão?
Só em parte. A restauração tira o conteúdo malicioso, mas não fecha a porta por onde o atacante entrou. Se a falha continuar lá, o site é reinfectado, às vezes em poucas horas. Restaure e, em seguida, corrija o vetor de entrada.
Quanto tempo o Google leva para tirar o aviso de site perigoso?
Depois que você limpa o site e pede a revisão no Search Console, o prazo depende do tipo de problema: segundo a documentação do Google, pode levar de um dia a algumas semanas. Pedir a revisão antes de limpar de verdade só atrasa o processo.