Come si riconosce un sito hackerato che sembra a posto
L'attacco più diffuso sui siti aziendali non li butta giù: li usa. Il sito funziona per chi lo visita e mostra tutt'altro ai motori di ricerca.
Il tipo di attacco più comune sui siti aziendali non li mette offline. Li lascia funzionare e li usa: il visitatore vede la pagina normale, il motore di ricerca riceve centinaia di pagine di contenuti estranei, spesso in un’altra lingua. È redditizio per chi attacca proprio perché non si nota.
Il controllo che smaschera tutto
Si chiede la stessa pagina due volte, una volta come farebbe una persona e una volta dichiarando di essere un motore di ricerca, e si confrontano le due risposte. Se differiscono in modo sostanziale, non c’è altro da discutere.
In un caso reale la differenza era questa: ventitré byte alla persona, duecentodue kilobyte di testo in giapponese al motore di ricerca. Dalla finestra del browser il sito sembrava perfettamente a posto.
Perché uno strumento a riga di comando a volte non basta
Su infezioni più recenti il confronto va fatto con attenzione: alcuni attacchi rispondono in modo diverso a seconda delle intestazioni inviate e del fatto che il codice della pagina venga eseguito o no. Uno strumento che scarica soltanto il testo non esegue nulla e può ricevere una pagina pulita. In quei casi bisogna confrontare la risposta ottenuta simulando un browser completo con quella dello strumento semplice e guardare la differenza di dimensione.
Ed è capitato di trovare il codice malevolo presente solo in memoria: cercarlo nei file non dava alcun risultato: bisognava guardare cosa era cambiato nel sistema in esecuzione e quali processi stessero girando.
Le sei porte
Il secondo errore ricorrente è fermarsi alla prima cosa trovata. Chi entra lascia più vie di rientro: in un caso ne sono state individuate sei, fra file camuffati da componenti legittimi e pannelli nascosti. Toglierne cinque su sei significa rifare tutto dopo un mese.
Va bonificato anche l’archivio dati, dove restano utenti amministratori creati dall’attacco, e va individuata la via d’ingresso — quasi sempre un componente aggiuntivo non aggiornato con una vulnerabilità pubblica.
Quando è davvero finita
Quando la pagina servita a un motore di ricerca è identica a quella che vede una persona, e lo si è verificato. Poi vengono le cose noiose che evitano il secondo giro: copie di sicurezza vere, conservate fuori dal fornitore che ospita il sito, aggiornamenti presidiati, e un controllo periodico che confronti le due risposte.
Domande frequenti
- Quali sono i segnali che qualcosa non va?
- Posizionamento che cala senza motivo, pagine sconosciute che compaiono cercando il proprio dominio su Google, avvisi in Search Console, e un numero di pagine indicizzate molto superiore a quelle che esistono davvero.
- Basta ripulire i file per risolvere?
- No. Chi entra lascia quasi sempre più di una porta aperta: in un caso ne sono state trovate sei. Vanno chiuse tutte, va bonificato anche l'archivio dati dove restano utenti amministratori creati dall'attacco, e va individuata la via d'ingresso, altrimenti il problema torna.
- Quando si può dire che è finita?
- Solo dopo aver verificato dal lato del motore di ricerca che la pagina servita sia identica a quella che vede una persona. Finché non si controlla da quel lato, la bonifica non è conclusa.
Se ti riguarda
Scritta il 19 settembre 2026 · Alessandro Manzullo Communication