Um site invadido se resolve em ordem: guardar a cópia do site comprometido e os logs, trocar as senhas em outro computador, achar por onde o invasor entrou, limpar ou recriar e só então pedir a revisão no relatório Problemas de segurança do Google, que leva vários dias ou semanas. Se o site guardava dados de clientes, a comunicação à ANPD tem prazo de 3 dias úteis.
Resumo com IA
- O pedido de revisão ao Google é o último passo do roteiro de site invadido: antes vêm a cópia do site como estava, a troca das senhas em outro computador, a porta de entrada fechada e a conferência de cada página do relatório Problemas de segurança;
- Restaurar o backup antes de trocar as senhas e fechar a porta de entrada costuma devolver o site ao invasor pelo mesmo caminho;
- O Google mostra os alertas de segurança conforme o contexto de navegação de cada pessoa, então o dono pode não ver o aviso que o cliente vê, e a prova fica no relatório Problemas de segurança do Search Console;
- A revisão do Google leva vários dias ou semanas, e um pedido enviado antes da correção completa pode atrasar a resposta seguinte e marcar o site como infrator reincidente;
- Site que guardava dados de clientes no formulário exige avaliar a comunicação à ANPD e aos clientes afetados, com prazo de 3 dias úteis pela Resolução nº 15, de 2024, do Conselho Diretor da ANPD.
- Salve uma cópia completa dos arquivos e do banco de dados do site fora do servidor;
- Peça à hospedagem os logs de acesso do servidor, com data, horário e fuso;
- Coloque o site em modo de manutenção se ele estiver redirecionando visitantes ou pedindo dados;
- Troque as senhas em outro computador, nesta ordem: e-mail de recuperação, registro do domínio, hospedagem, FTP, banco de dados e WordPress;
- Encerre as sessões abertas e apague as contas de administrador que você não reconhece;
- Ache a porta de entrada e então restaure o backup limpo, limpe os arquivos ou recrie o site;
- Peça a revisão no relatório Problemas de segurança do Search Console depois de corrigir todas as páginas listadas;
- O que você faz sozinho termina aqui; quando a decisão é recriar o site, a criação de sites da agência é onde o serviço entra.
Site invadido pede uma ordem fixa nas primeiras horas: salvar uma cópia do site como ele está, trocar as senhas a partir de outro computador, descobrir por onde o invasor entrou, limpar ou recriar o site e só então pedir a revisão ao Google, que costuma levar vários dias ou semanas, segundo a documentação oficial.
O dono do negócio costuma descobrir a invasão por terceiros: um cliente que caiu em uma página estranha, um e-mail do Google ou resultados em outro idioma com o nome da empresa. A pressa de apagar tudo é o primeiro erro, porque apaga também o rastro de como o invasor entrou.
Há um detalhe que confunde muito prestador de serviço: o aviso de segurança que o visitante vê pode não aparecer para você. O Google mostra esses alertas conforme o contexto de navegação de cada pessoa, então a prova de que o problema existe, e de que ele acabou, fica no relatório do Google, que não depende do navegador de quem consulta.
Nos sites comprometidos que analiso, o que mais atrasa a volta ao normal é restaurar um backup antes de trocar as senhas. O site fica limpo por um dia e é alterado de novo pela mesma porta.
Neste artigo
O que fazer na primeira hora depois de descobrir a invasão?
Na primeira hora depois de descobrir a invasão, o objetivo é parar o estrago sem destruir a evidência: guardar a cópia do site comprometido, tirar o visitante do caminho do conteúdo malicioso e fechar o acesso do invasor pelas senhas. A limpeza vem depois, quando você já sabe o que mudou.
- Salve uma cópia completa do site como ele está, com os arquivos e o banco de dados, e guarde fora do servidor: é ela que mostra o que o invasor alterou;
- Peça à hospedagem os registros de acesso do servidor (os logs, que anotam cada visita e cada alteração com data e hora) antes que eles sejam sobrescritos;
- Coloque o site em modo de manutenção, ou peça a suspensão à hospedagem, quando ele estiver redirecionando visitantes ou pedindo dados;
- Troque as senhas em um computador que não seja o de costume, nesta ordem: e-mail que recebe a recuperação de senha, registro do domínio, painel da hospedagem, acesso por FTP (o canal de envio de arquivos ao servidor), banco de dados e painel do WordPress, com uma senha longa e diferente para cada acesso, criada no gerador de senha forte gratuito e guardada em um gerenciador de senhas;
- Encerre todas as sessões abertas e apague contas de administrador que você não reconhece, porque senha nova não derruba quem já está logado.
Cada página do site com uma função comercial
O Método Rota do Orçamento cria uma página por serviço, cada uma respondendo uma pergunta de compra real.
Preciso avisar os clientes quando o site é invadido?
Sim, quando o site guardava dados pessoais e a invasão pode causar risco ou dano relevante a essas pessoas. Pela Resolução nº 15, de 2024, do Conselho Diretor da Autoridade Nacional de Proteção de Dados (ANPD), a empresa comunica a ANPD e os clientes afetados em 3 dias úteis, como explica a orientação da ANPD sobre comunicação de incidente. Por isso a avaliação entra no plano das primeiras horas.
Em site de prestador de serviço, os dados pessoais costumam estar no formulário de contato e no pedido de orçamento: nome, telefone e e-mail de quem pediu. Se o invasor teve acesso ao banco de dados onde esses pedidos ficam, a avaliação de risco precisa ser feita, e quem comunica é a própria empresa, pelo sistema de peticionamento eletrônico da ANPD.
Quando faltam informações dentro do prazo, a ANPD aceita uma comunicação preliminar, complementada em até 20 dias úteis no mesmo processo, desde que a empresa justifique por que a comunicação completa não saiu.
A decisão sobre o que comunicar é jurídica, então converse com o advogado ou o contador da empresa no mesmo dia em que a invasão for confirmada, com a cópia do site e os logs em mãos.
Como descobrir por onde o invasor entrou?
Para descobrir por onde o invasor entrou, cruze três coisas: os arquivos alterados recentemente, as contas criadas sem o seu conhecimento e os logs do servidor com data, horário e fuso. O Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil (CERT.br), no guia de notificação de incidentes de segurança, trata logs completos com data, horário e fuso horário como dado essencial para identificar a atividade maliciosa.
Em site WordPress de empresa pequena, a porta de entrada costuma ser uma destas: plugin ou tema desatualizado, tema baixado de site não oficial, senha repetida de outro serviço ou acesso de ex-fornecedor que nunca foi removido. Sem achar a porta, qualquer limpeza é provisória, porque o invasor volta pelo mesmo caminho.
Um teste que você faz hoje: digite site: seguido do seu domínio na busca do Google. Páginas em outro idioma, de remédio, aposta ou loja que você não criou são o sinal de que o invasor publicou conteúdo em nome da empresa.
Limpar o site ou recriar do zero?
A escolha entre limpar e recriar depende de duas perguntas: existe um backup anterior à invasão e a porta de entrada já foi achada? Com as duas respostas positivas, restaurar resolve. Sem uma delas, a limpeza manual ou a recriação evita trazer o invasor de volta junto com os arquivos, e os sinais de quando refazer o site da empresa ajudam a pesar o caso.
| Caminho | Quando serve | Risco que fica |
|---|---|---|
| Restaurar o backup | Há cópia de antes da invasão e a porta de entrada já foi fechada | Backup que já tinha o arquivo malicioso, sem ninguém perceber |
| Limpar os arquivos | O ataque ficou em poucos arquivos e você sabe quais mudaram | Arquivo escondido de acesso remoto que passa na limpeza |
| Recriar do zero | Não há backup confiável, o site foi alterado de novo ou é antigo e sem atualização | O conteúdo antigo precisa voltar sem os arquivos comprometidos |
Na prática, site antigo, sem backup confiável e reinvadido depois da primeira limpeza é o caso em que recomendo recriar, porque cada nova limpeza repete o trabalho sem garantir que a porta fechou.
Quando a decisão é recriar, vale fazer a criação de sites sob medida, com tema e plugins oficiais, domínio e hospedagem no nome da empresa e acesso de administrador apenas para quem precisa.
A recriação aproveita os textos, as fotos e os endereços das páginas que já apareciam no Google, deixando para trás os arquivos do servidor. Manter os mesmos endereços costuma preservar as buscas que o site já tinha.
Como tirar o aviso do Google depois de limpar o site?
Para tirar o aviso do Google, corrija todos os problemas listados no relatório Problemas de segurança do Google Search Console, o painel gratuito do Google que mostra como o site aparece nas buscas, e clique em Solicitar revisão dentro dele. O relatório mostra o tipo de problema, a data em que foi detectado e uma amostra das páginas afetadas.
O que significa a mensagem “Este site pode ter sido invadido”?
A mensagem “Este site pode ter sido invadido” significa que o Google acredita que um invasor alterou páginas do site ou criou páginas de spam nele e passou a avisar quem encontra o site nos resultados. Em casos de malware (programa feito para prejudicar o visitante) ou de golpe, o navegador pode mostrar ainda uma página de alerta antes de abrir o site.
O alerta de site invadido é diferente do “Não seguro” que aparece ao lado do endereço, que trata do certificado de segurança e tem outra solução, explicada no guia sobre o aviso de site não seguro.
Como escrever o pedido de revisão?
Para escrever o pedido de revisão, conte ao Google em poucas linhas o que aconteceu, o que foi corrigido e como você confirmou a correção. A documentação do relatório Problemas de segurança pede três características em um bom pedido, e as três saem do material que você guardou na primeira hora:
- Explicar exatamente o problema encontrado no site;
- Descrever as medidas executadas para corrigir o problema;
- Documentar o resultado, por exemplo com as páginas removidas, as contas apagadas e as senhas trocadas.
A cópia do site comprometido e a lista de arquivos alterados viram o material do pedido. Quem documenta bem a correção não precisa escrever um texto longo, porque a revisão confere o próprio site.
Do serviço ao contato em poucos cliques
A estrutura conduz o visitante do serviço que procura até o pedido de orçamento, sem ruído no caminho.
Quanto tempo o Google leva para revisar?
Vários dias ou semanas é o tempo que o Google leva para revisar o pedido, segundo a documentação do relatório Problemas de segurança, e você recebe um e-mail quando o pedido entra e outro com a decisão. Não envie um segundo pedido enquanto o primeiro está em análise: pedido sem a correção completa pode atrasar a resposta seguinte e até marcar o site como infrator reincidente.
No roteiro que a Lucas Ferraz SEO segue com site invadido, o pedido de revisão ao Google é o último passo: antes dele vêm a cópia do site como estava, a troca das senhas em outro computador, a porta de entrada fechada e a conferência de cada página listada no relatório Problemas de segurança.
Lucas Ferraz, especialista em SEO
O pedido de revisão só sai quando todas as páginas listadas no relatório Problemas de segurança estão corrigidas. A lista de páginas do relatório é uma amostra, que pode não estar completa, então a conferência cobre o site inteiro, inclusive os endereços que ficaram fora da lista.
Enquanto o aviso estiver ativo, o site tende a perder parte dos cliques que vinham do Google, e as páginas de spam criadas pelo invasor podem continuar no índice por um tempo. Depois da revisão aprovada, faço uma conferência das páginas indexadas, porque o invasor costuma deixar endereços que o dono não conhece, e a auditoria de SEO feita passo a passo mostra como levantar essas páginas.
Quando chamar ajuda em vez de resolver sozinho?
Chame ajuda especializada quando o roteiro da primeira hora não fecha a invasão, quando não há como confirmar a porta de entrada ou quando o banco de dados guardava pedidos de clientes. Estes são os sinais de que o site invadido passou do que o dono resolve sozinho no painel do WordPress:
- O site volta a ser alterado depois da troca de senhas e da limpeza;
- Não existe backup anterior à invasão;
- Aparece conta de administrador que ninguém criou, mesmo depois de apagada;
- O relatório Problemas de segurança lista malware ou golpe, além de páginas de spam;
- O banco de dados guardava pedidos de orçamento ou cadastro de clientes.
Quando o Google já marcou o site, a consultoria de SEO técnica acompanha, depois da revisão aprovada, a saída das páginas de spam do índice e a volta das buscas que traziam clientes.
O primeiro contato, em qualquer caso, é a hospedagem, que tem os registros do servidor e pode fazer a varredura dos arquivos do site invadido.
Depois que o site volta, a rotina de manutenção de site com atualização de plugins e backup fora do servidor é o que reduz a chance de a mesma porta abrir de novo.
Um site profissional em até 3 dias
Você recebe um site em WordPress no seu nome, pronto para o Google e para as IAs, de R$ 800 a R$ 2.467, sem mensalidade.
Perguntas frequentes sobre site invadido
Donos de site invadido perguntam primeiro como agir e quanto tempo o Google leva para tirar o aviso, e a revisão leva vários dias ou semanas depois da correção completa.
Quando o site foi hackeado, salve uma cópia dele como está, peça os logs à hospedagem, coloque o site em manutenção e troque todas as senhas em outro computador. Depois descubra por onde o invasor entrou, limpe ou recrie o site e só então peça a revisão no relatório Problemas de segurança do Search Console.
Para saber se o site foi invadido, procure páginas que a empresa não criou, redirecionamento para outro endereço, conta de administrador desconhecida ou aviso no relatório Problemas de segurança. Um teste rápido é buscar site: seguido do domínio no Google e procurar páginas em outro idioma, de remédio, aposta ou loja que você não publicou.
Restaurar o backup resolve a invasão apenas quando a cópia é anterior ao ataque e a porta de entrada já foi fechada. Sem a troca de senhas e a correção do plugin ou do acesso usado pelo invasor, o site restaurado costuma ser alterado de novo pelo mesmo caminho em pouco tempo.
Não, trocar apenas a senha do WordPress é insuficiente, porque o invasor pode ter entrado pelo painel da hospedagem, pelo FTP, pelo banco de dados ou pelo e-mail que recupera as senhas. A troca vale para todos esses acessos, feita em outro computador, junto com o encerramento das sessões abertas.
Vários dias ou semanas é o tempo que o Google leva para revisar o pedido, segundo a documentação do relatório Problemas de segurança, e ele avisa por e-mail quando decide. O pedido só deve ser enviado depois que todas as páginas listadas estiverem corrigidas, porque um pedido antes da hora pode atrasar a resposta seguinte.
A hospedagem responde pelo servidor, mas a segurança do site em si, com plugins, tema e senhas, costuma ficar com o dono, conforme o contrato de cada plano. Mesmo assim, a hospedagem é o primeiro contato depois da invasão, porque guarda os logs e pode fazer a varredura dos arquivos.
O que decide se o site invadido volta sem recair
O que decide se o site invadido volta sem recair é a porta de entrada achada e fechada antes de qualquer restauração. Limpeza, backup e pedido ao Google funcionam quando essa porta já não existe, e falham em sequência quando ela continua aberta.
Um escritório de contabilidade que descobre o site redirecionando para uma loja falsa e restaura o backup no mesmo minuto volta ao ponto de partida no dia seguinte. O mesmo escritório, seguindo a ordem certa, guarda a cópia, troca as senhas, acha o plugin desatualizado, limpa e só então pede a revisão, e o pedido chega ao Google com tudo o que a análise vai conferir.
Se o site precisar ser recriado, peça um orçamento de criação de sites: o institucional padrão fica pronto em até 3 dias úteis depois do conteúdo definido, com domínio e hospedagem no nome da empresa. A agência tem 198 avaliações no Google, com nota 5,0, responde no mesmo dia útil e envia a proposta em até 48 horas.
Conteúdo original de Lucas Ferraz para a Lucas Ferraz SEO. Você pode reutilizar citando a fonte e com link para a URL desta página, sob a licença Creative Commons CC BY 4.0.
Os textos deste blog seguem a política editorial da Lucas Ferraz SEO, que define de onde vêm os números e como pedir a correção de um erro.
