Se o seu site foi invadido, tire ele do ar, troque todas as senhas e avise a hospedagem, nessa ordem. Depois, descubra por onde entraram antes de consertar: sem isso, entram de novo. Os passos valem para WordPress, Joomla ou qualquer site com painel e plugins.
Como saber se foi invadido
Os sinais mais comuns:
- O site manda o visitante para outro endereço, de aposta, remédio ou golpe.
- Na busca do Google, aparecem páginas do seu site que você não criou.
- O Google mostra um aviso de site invadido embaixo do seu endereço nos resultados.
- O navegador mostra uma tela vermelha antes de abrir o site.
- A hospedagem avisa que achou código malicioso, ou suspende o site.
Para ver as páginas que o Google conhece, pesquise site:seudominio.com.br na busca.
Os primeiros passos, em ordem
- Tire o site do ar. Ou ponha em manutenção. Isso protege quem visita, e a sua reputação, enquanto você resolve. Se não souber como, a hospedagem faz.
- Troque todas as senhas, não só a do site. Painel do site, hospedagem, acesso aos arquivos, banco de dados, e-mail e registro do domínio. Use senhas novas e diferentes, num computador em que você confia, e ligue a verificação em duas etapas onde der.
- Avise a hospedagem. Muitas têm ferramenta que procura código malicioso e conseguem dizer o que mudou e quando. Pergunte também se há cópias de segurança, e de quais datas.
- Descubra por onde entraram. Plugin desatualizado, senha fraca, acesso de alguém que já saiu e ninguém tirou. Sem fechar essa porta, a limpeza dura pouco.
- Volte uma cópia limpa. Só depois de fechar a porta, e só uma cópia de antes da invasão: confira a data. Sem cópia, a limpeza é arquivo por arquivo, trabalho para especialista.
- Peça a revisão do Google. No Search Console, em “Problemas de segurança”, peça uma revisão depois da limpeza. O aviso some quando o Google confirma, e a análise pode levar alguns dias.
Por onde costumam entrar
Na maioria das falhas, a porta é um plugin. Em 2025, apareceram 11.334 falhas novas no ecossistema WordPress: 91% em plugins, 9% em temas e só 6 no WordPress em si (Patchstack). Quase metade não tinha correção pronta quando veio a público, ou seja, nem sempre basta atualizar.
Também entram por senha fraca, ou repetida em outro serviço, e por acessos antigos que ninguém tirou. E a velocidade mudou: quem ataca usa cada vez mais a IA para achar e explorar falhas, e as mais visadas costumam ser atacadas em horas, não em dias.
Se o site guardava dados de clientes
Se o site tinha formulário, cadastro ou loja, os dados podem ter vazado. Nesse caso, a LGPD manda avisar a ANPD e as pessoas afetadas quando o incidente pode causar risco ou dano relevante. Vale falar com quem cuida da parte jurídica da empresa.
Consertar ou refazer
A limpeza resolve o problema de hoje. A pergunta é se o site continua com as mesmas portas: o mesmo plugin, a mesma tela de login, o mesmo banco de dados. Se continua, a chance de acontecer de novo continua junto.
Refazer vale a pena quando o site é antigo, não tem cópia limpa ou ninguém sabe por onde entraram. Foi por isso que a Caju mudou o jeito de fazer site: hoje, os sites da casa são gerados antes de ir ao ar e publicados só como arquivos, sem banco de dados, sem plugin e sem tela de login. E se algo der errado, qualquer versão anterior volta em minutos.
