Site invadido: o que fazer no WordPress em 24 horas

Resposta rápida: Se o seu site WordPress foi invadido, não apague tudo: faça uma cópia do estado atual para análise, troque as senhas de hospedagem, FTP, banco de dados e administradores, coloque o site em manutenção, descubra a porta de entrada, limpe ou restaure um backup limpo, atualize tudo e peça revisão no Google Search Console.

Descobrir que o site da empresa foi invadido costuma gerar pânico. O Google passa a exibir alertas, clientes estranham redirecionamentos e o formulário de contato para de funcionar. A boa notícia é que, com calma e na ordem certa, é possível recuperar o controle. Este guia mostra o que fazer nas primeiras 24 horas, passo a passo, e como evitar que o problema se repita.

O que é uma invasão de site WordPress?

Uma invasão de site é o acesso não autorizado ao painel, aos arquivos ou ao banco de dados, usado para inserir código malicioso, páginas de spam, redirecionamentos ou para roubar dados. No WordPress, isso em geral acontece por uma brecha em plugins ou temas desatualizados, por cópias piratas ("nulled") ou por senhas fracas e reutilizadas.

Como saber se o meu site foi invadido?

Os sinais mais comuns de invasão são comportamentos que você não configurou: o site redireciona para outras páginas, o Google exibe um aviso de segurança ou surgem conteúdos e usuários que ninguém da equipe criou.

Redirecionamentos estranhos para sites de apostas, farmácias ou golpes, às vezes só no celular ou só para quem vem do Google.
Aviso do Google nos resultados ou no navegador, como "Este site pode ter sido invadido" ou uma tela vermelha de alerta.
Spam em páginas: textos e links em outros idiomas, páginas novas indexadas que você nunca publicou.
Usuários administradores desconhecidos no painel do WordPress.
Arquivos com nomes estranhos na hospedagem, lentidão repentina ou e-mails do servidor marcados como spam.

Uma forma rápida de conferir é pesquisar no Google por "site:" seguido do seu domínio e verificar se aparecem páginas que não são suas.

O que fazer primeiro quando o site é invadido?

O primeiro passo é não apagar tudo por impulso. Excluir arquivos ou reinstalar o site às pressas destrói as pistas de como o invasor entrou, e sem saber a porta de entrada a invasão tende a voltar. Siga esta ordem:

Faça um backup do estado atual. Copie arquivos e banco de dados do jeito que estão, mesmo infectados, e guarde fora do servidor. Essa cópia serve para análise, não para restauração.
Troque todas as senhas. Painel da hospedagem, FTP ou SFTP, banco de dados e todos os usuários administradores do WordPress. Faça isso a partir de um computador confiável.
Coloque o site em manutenção. Assim você protege os visitantes de redirecionamentos e downloads maliciosos enquanto trabalha.
Identifique a porta de entrada. Verifique plugins e temas desatualizados, abandonados ou piratas, usuários criados recentemente e arquivos alterados nos últimos dias.
Limpe o site ou restaure um backup limpo. Remova arquivos e códigos maliciosos ou restaure uma cópia anterior à invasão, confirmando que ela não estava comprometida.
Atualize tudo. WordPress, plugins e temas devem ir para a versão mais recente; o que não for usado deve ser removido, e o que for pirata, substituído pela versão oficial.
Revise no Google Search Console. Abra o relatório de problemas de segurança, confira as URLs apontadas e, depois da limpeza, solicite a revisão.

Por que o backup infectado é importante?

Ele funciona como a "cena do crime". É nele que um especialista encontra o arquivo alterado, o plugin vulnerável ou o usuário criado pelo invasor. Também pode ser necessário para comprovar o que aconteceu, caso haja dados pessoais envolvidos.

Limpar ou restaurar?

Restaurar um backup limpo costuma ser mais rápido, mas só resolve se a falha for corrigida logo em seguida. Se o backup também estiver infectado ou for antigo demais, a limpeza manual é o caminho. Em ambos os casos, as atualizações e a troca de senhas são obrigatórias.

Quais são os sintomas e as causas mais comuns?

Cada sintoma costuma apontar para uma causa provável, o que ajuda a priorizar a investigação.

Sintoma	Provável causa	Ação
Redirecionamento para sites de golpe	Código injetado em arquivos do tema, do núcleo ou no banco de dados	Comparar arquivos com versões oficiais e limpar o código injetado
Aviso de segurança do Google	Malware ou páginas de spam detectadas pelo Google	Limpar o site e pedir revisão no Search Console
Páginas de spam indexadas	Brecha em plugin desatualizado ou pirata	Remover as páginas, atualizar ou trocar o plugin
Administrador desconhecido no painel	Senha vazada ou falha que permite criar usuários	Excluir o usuário, trocar senhas e ativar 2FA
Site lento e servidor sobrecarregado	Scripts maliciosos rodando ou envio de spam	Verificar processos na hospedagem e remover os scripts

Preciso comunicar a ANPD se o site foi invadido?

Você precisa comunicar a ANPD e os titulares quando a invasão envolver dados pessoais e puder causar risco ou dano relevante a essas pessoas. Pela Resolução CD/ANPD nº 15/2024, que regulamenta esse ponto da LGPD, a comunicação deve ser feita em até 3 dias úteis.

Isso vale, por exemplo, quando o invasor teve acesso a cadastros de clientes, formulários de contato com dados sensíveis ou áreas de login. A resolução permite uma comunicação preliminar, que pode ser complementada em até 20 dias úteis, o que ajuda quando a investigação ainda está em andamento. Por isso, documente desde o início o que aconteceu, quando foi descoberto e quais dados podem ter sido expostos.

Se a sua empresa precisa de apoio nessa etapa, conheça nosso serviço de segurança de sites e adequação à LGPD.

Quanto tempo o Google leva para remover o aviso de site invadido?

Não há um prazo garantido: o aviso só sai depois que o Google revisa o site e confirma que o problema foi resolvido. O que você controla é a qualidade da limpeza e a clareza do pedido de revisão no Search Console, descrevendo o que foi encontrado e o que foi corrigido. Pedir revisão com o site ainda infectado costuma atrasar o processo.

Como evitar que o site seja invadido de novo?

A melhor forma de evitar uma nova invasão é combinar acesso protegido, atualizações frequentes e backups guardados fora do servidor. Confira a lista:

Autenticação em dois fatores (2FA) para todos os administradores do WordPress e para a hospedagem.
Backups automáticos fora do servidor, com cópias de datas diferentes e testes periódicos de restauração.
Firewall de aplicação web (WAF) para bloquear tentativas de ataque antes que cheguem ao site.
Atualizações constantes do WordPress, plugins e temas, removendo o que não é usado.
Nada de plugins ou temas piratas, que são uma das portas de entrada mais comuns.
Usuários com o mínimo de permissão necessário e senhas fortes e exclusivas.

Veja como funciona a manutenção e segurança para WordPress e, se o site precisar ser refeito do zero, conheça nossa criação de sites profissionais.

Perguntas frequentes

Devo apagar o site inteiro depois de uma invasão?

Não. Apagar tudo destrói as pistas de como o invasor entrou. Primeiro faça um backup do estado atual para análise, troque as senhas e só depois limpe o site ou restaure um backup limpo.

Quais senhas preciso trocar se o site foi invadido?

Troque as senhas do painel da hospedagem, do FTP ou SFTP, do banco de dados e de todos os administradores do WordPress. Depois, ative a autenticação em dois fatores sempre que possível.

Como pedir ao Google para remover o aviso de site invadido?

Depois de limpar o site, acesse o relatório de problemas de segurança no Google Search Console, confirme que os problemas foram corrigidos e solicite a revisão, explicando o que foi feito.

Preciso avisar a ANPD sobre a invasão?

Sim, se houve acesso a dados pessoais com risco ou dano relevante aos titulares. Pela Resolução CD/ANPD nº 15/2024, a ANPD e os titulares devem ser comunicados em até 3 dias úteis.

Restaurar um backup resolve a invasão?

Só se o backup for anterior à invasão e a falha for corrigida em seguida. Sem atualizar plugins e temas e trocar as senhas, o invasor pode voltar pela mesma porta de entrada.

Seu site está com comportamento estranho ou já recebeu aviso do Google? Solicite um diagnóstico gratuito de segurança. A W Service Tecnologia atende empresas de forma online para todo o Brasil.