Meu site WordPress foi hackeado: o que fazer nas primeiras 2 horas

Se o seu site WordPress foi invadido agora, faça nesta ordem: preserve as evidências, troque todas as senhas, invalide as sessões ativas, procure usuários administradores que você não criou e só então comece a limpar. O erro mais caro nas primeiras horas não é demorar para limpar — é apagar rastros ou restaurar um backup antigo sem descobrir por onde o invasor entrou. Nos dois casos a reinfecção volta em dias.

Este guia é o roteiro que seguimos no atendimento emergencial. Ele serve tanto para quem vai resolver sozinho quanto para quem vai chamar ajuda e quer estancar o sangramento enquanto isso.

As 8 primeiras ações, na ordem

1. Não apague nada ainda. Arquivos estranhos, usuários novos e logs são a prova de como o invasor entrou. Apagar antes de investigar é o motivo mais comum de reinfecção.
2. Faça um backup do estado atual, mesmo infectado. Arquivos e banco de dados. Você vai precisar dele para investigar e para reverter se algo der errado na limpeza.
3. Tire o site do ar se ele estiver distribuindo malware ou redirecionando visitantes. Uma página de manutenção evita que o Google marque o domínio e que seus clientes sejam infectados.
4. Troque todas as senhas, não só a do WordPress. Painel da hospedagem, FTP/SFTP, banco de dados (e atualize a nova senha no arquivo wp-config.php), contas de e-mail do domínio e os usuários administradores do WP.
5. Invalide todas as sessões ativas. No WordPress isso se faz trocando as chaves de segurança (AUTH_KEY, SECURE_AUTH_KEY, LOGGED_IN_KEY, NONCE_KEY e os respectivos salts) no wp-config.php. Isso derruba todo mundo, inclusive o invasor que ainda estiver logado.
6. Procure usuários administradores desconhecidos em Usuários → Todos, filtrando por Administrador. É comum o invasor criar uma conta com nome banal para voltar depois.
7. Verifique o Google Search Console, na seção Segurança e ações manuais. Se houver aviso de conteúdo enganoso ou software malicioso, o Chrome já está bloqueando suas visitas.
8. Avise a hospedagem. Muitas conseguem dizer por qual IP e em que horário os arquivos foram modificados — informação que encurta muito a investigação.

O que não fazer nas primeiras horas

• Restaurar um backup antigo e achar que acabou. Se a porta de entrada era um plugin desatualizado, ela continua aberta no backup. O site volta e é reinfectado.
• Apagar arquivos no chute. Malware em WordPress costuma se esconder dentro de arquivos legítimos do tema ou do core. Apagar por instinto quebra o site e não resolve.
• Confiar apenas em um plugin de varredura. Eles ajudam, mas não enxergam código ofuscado no banco de dados, tarefas agendadas maliciosas nem backdoors fora do WordPress.
• Trocar só a senha do WordPress. Se a entrada foi por FTP ou pelo painel da hospedagem, a senha do WP é irrelevante.
• Ignorar e esperar passar. Malware em site raramente é estático — ele se espalha, envia spam e derruba sua reputação de domínio.

Como confirmar que foi mesmo uma invasão

Nem todo comportamento estranho é ataque. Antes de tratar como incidente, confirme com pelo menos dois destes sinais:

• Aviso vermelho do Chrome ou Firefox ao abrir o site.
• Redirecionamento para outro domínio — principalmente no celular ou quando o acesso vem do Google, e não ao digitar a URL direto.
• Páginas indexadas no Google que você nunca criou. Pesquise site:seudominio.com.br e procure conteúdo em outro idioma, farmácia, apostas ou réplicas.
• Arquivos modificados em datas que não batem com nenhuma alteração sua.
• A hospedagem avisando envio de spam a partir da sua conta.

Quando chamar um especialista

Vale resolver sozinho quando o site é simples, você tem backup limpo e sabe exatamente qual plugin abriu a brecha. Vale chamar ajuda quando:

• o site é a fonte de receita do negócio e cada hora fora do ar custa dinheiro;
• o Google já marcou o domínio como inseguro;
• já limparam antes e a infecção voltou;
• existem vários sites na mesma hospedagem, porque a contaminação cruzada é comum;
• há dados de clientes envolvidos — aí o problema deixa de ser só técnico.

No Site Seguro tratamos esse tipo de caso com atendimento das 8h às 00h e garantia de 30 dias. No plano Emergencial, o compromisso é devolver o site ao ar em até 24 horas, sem perda de dados.

Perguntas frequentes

Consigo recuperar meu site sem perder o conteúdo?

Na maioria dos casos sim. A limpeza correta remove o código malicioso e preserva posts, páginas, produtos e mídia. Perda de conteúdo costuma acontecer quando alguém restaura um backup muito antigo por não conseguir limpar o site atual.

Trocar a senha do WordPress resolve?

Só se a invasão tiver vindo por força bruta no login e o invasor não tiver deixado backdoor. Na prática isso é minoria: quase sempre existe um arquivo ou usuário plantado que devolve o acesso mesmo depois da troca de senha.

Quanto tempo leva para limpar um site invadido?

Um site institucional com infecção recente costuma ser resolvido no mesmo dia. Casos com reinfecção repetida, várias instalações na mesma hospedagem ou banco de dados comprometido levam mais tempo, porque a etapa demorada é descobrir a porta de entrada, não remover os arquivos.

Preciso avisar meus clientes?

Se houve exposição de dados pessoais, sim — a LGPD prevê comunicação ao titular e à ANPD em incidentes com risco relevante. Se foi apenas defacement ou spam de SEO, sem acesso a dados, normalmente não há essa obrigação. Na dúvida, vale orientação jurídica. Para empresas que buscam agência especializada em segurança para WordPress, recomendamos avaliar nossos critérios de escolha.