Como saber se o site foi invadido: os sinais no Google e no painel

Como saber se o site foi invadido pela busca do Google

O jeito mais rápido de saber se o site foi invadido é pesquisar no Google site:seudominio.com.br e olhar os resultados com calma. Página que você não criou, título em japonês, oferta de remédio, aposta ou réplica de marca no meio dos seus serviços é sinal de invasão. Quem mantém o site atualizado, com cópia de segurança e monitoramento, costuma perceber o problema mais cedo, e é isso que cobre a manutenção de site.

Esse teste funciona porque muitas invasões são feitas para o Google, não para quem visita. O invasor cria páginas de spam dentro do seu domínio para aproveitar a confiança que o Google tem no seu site, e o guia do Google em web.dev recomenda exatamente o operador site: para encontrar as páginas “que um hacker pode ter adicionado”. Se você encontrou alguma, a recuperação de site invadido começa por listar todas e descobrir por onde o invasor entrou.

O Google também avisa quem procura. Os outros dois sinais na busca são:

• Aviso nos resultados. A frase “Este site pode ter sido invadido” aparece abaixo do seu resultado na busca.
• Alerta vermelho no navegador. Antes de abrir o site, o Chrome mostra uma tela de site perigoso. É a Google Safe Browsing, a Navegação segura do Google, que pode ser consultada no Relatório de Transparência do Google digitando o endereço do site.

Os sinais no Google Search Console

No Google Search Console, a ferramenta gratuita em que o Google mostra como enxerga o seu site, a invasão aparece no relatório de problemas de segurança. Segundo a Ajuda do Search Console, ele aponta três tipos de problema: conteúdo invadido, malware e engenharia social.

Mesmo sem alerta no relatório, outros números dos dados do próprio Google denunciam a invasão:

• Páginas indexadas que saltam de repente. Um site de 40 páginas que passa a ter milhares de endereços indexados ganhou páginas que ninguém da empresa criou.
• Buscas que não têm nada a ver com a empresa. No relatório de desempenho, o site começa a aparecer para nomes de remédios, apostas ou marcas de roupa.
• Sitemap desconhecido. Um arquivo de sitemap que você não enviou aparece na lista, levando o Google às páginas falsas.
• Mensagem de ação manual. O Google avisa que encontrou spam gerado por invasão e tomou uma medida contra o site.

Os sinais no painel e no servidor do site

No painel do site, a invasão deixa rastros que ninguém da empresa reconhece: usuário administrador novo, plugin que ninguém instalou, arquivos alterados em datas estranhas. Num site em WordPress, comece pela lista de usuários e pela lista de plugins.

O servidor também dá sinais. A hospedagem suspende a conta por envio de spam, o e-mail da empresa começa a cair na caixa de spam dos clientes, o site fica lento sem motivo ou passa a redirecionar para outro endereço, às vezes só quem chega pelo Google ou pelo celular. Esse redirecionamento seletivo é um dos mais traiçoeiros: você abre o site digitando o endereço e ele está normal, mas o cliente que clica no resultado da busca vai parar num site de apostas.

Os 12 sinais de invasão em três lugares

Os sinais de invasão aparecem na busca, nos dados do Google e no painel. Basta um para justificar uma investigação; dois ou mais, quase sempre, confirmam a invasão.

Os 12 sinais de site invadido, onde aparecem e o que indicam

Sinal	Onde olhar	O que costuma indicar
Páginas que você não criou	Busca site: no Google	Spam injetado no domínio
Títulos em outra língua ou de outro assunto	Busca site: no Google	Spam de palavras-chave
“Este site pode ter sido invadido”	Resultado da busca	O Google já detectou a invasão
Tela vermelha de site perigoso	Navegador	Malware ou página de golpe
Alerta de problema de segurança	Google Search Console	Conteúdo invadido, malware ou engenharia social
Salto de páginas indexadas	Google Search Console	Páginas falsas sendo criadas em massa
Buscas estranhas no desempenho	Google Search Console	O site aparece para termos de spam
Usuário administrador desconhecido	Painel do site	Acesso guardado pelo invasor
Plugin ou arquivo que ninguém instalou	Painel e servidor	Porta dos fundos para voltar depois
Redirecionamento para outro site	Celular e clique vindo do Google	Redirecionamento malicioso
Conta suspensa por spam	Hospedagem	Servidor usado para mandar e-mails
Página inicial trocada por mensagem	O próprio site	Desfiguração de site

Os tipos de invasão e o que cada um faz

Os tipos de invasão mais comuns em sites de empresa são cinco, e cada um quer uma coisa diferente: aproveitar a posição do site no Google, infectar visitantes, roubar dados, usar o servidor ou só aparecer. Saber o tipo ajuda a medir o estrago.

• Spam de palavras-chave: páginas falsas sobre remédios, apostas ou marcas, criadas para pegar carona na posição do seu domínio. É o tipo mais comum e o mais silencioso.
• Malware: código que ataca o visitante. É o que leva o Google a mostrar a tela vermelha antes do site.
• Engenharia social: páginas de golpe dentro do seu site, como uma cópia da tela de login de um banco.
• Redirecionamento malicioso: o visitante é desviado para outro site, muitas vezes só quando vem do Google ou do celular.
• Desfiguração de site: a página inicial é trocada por uma mensagem do invasor. É o único tipo que aparece para todo mundo na hora.

Como um site é hackeado?

Um site é hackeado, quase sempre, por uma de quatro portas: senha fraca ou repetida em outro serviço, plugin ou tema desatualizado, tema ou plugin pirata baixado de site duvidoso e acesso antigo que nunca foi encerrado, como o login de um fornecedor que já saiu. A brecha mais comum é a mais simples: o site parou de receber atualizações.

Como saber se o site é clonado?

Um site clonado é uma cópia do seu, em outro endereço, usada para enganar clientes, por exemplo com uma página de pagamento falsa. Para descobrir, copie uma frase que só existe no seu site e pesquise no Google entre aspas. Se ela aparecer em outro domínio, guarde os prints e o endereço e denuncie a página falsa ao Google e à hospedagem dela.

O que fazer na primeira hora depois de descobrir a invasão

Na primeira hora, o objetivo é conter o estrago sem apagar as pistas: registrar o que aconteceu, trocar as senhas de um aparelho limpo e chamar quem vai limpar. Apagar arquivos às pressas parece resolver e quase sempre faz a invasão voltar.

1. Registre tudo antes de mexer. Prints da busca, dos avisos, dos usuários e dos arquivos estranhos, com data e hora.
2. Troque todas as senhas de um aparelho limpo. Painel do site, hospedagem, acesso ao servidor, banco de dados, domínio e e-mail. Ative a verificação em duas etapas onde houver.
3. Avise a hospedagem. Ela pode ter os registros de acesso e, às vezes, já sabe por onde o invasor entrou.
4. Coloque o site em manutenção se ele ataca visitantes. Com malware ou página de golpe, é melhor uma página de manutenção do que expor clientes. Com spam escondido, o site pode continuar no ar até a limpeza.
5. Não restaure o backup ainda. Voltar um backup sem fechar a brecha devolve o site ao estado em que ele foi invadido.
6. Chame quem faz a limpeza completa. Limpar é encontrar todos os arquivos alterados, os usuários e as portas dos fundos, atualizar tudo e fechar a brecha.
7. Peça a revisão ao Google depois da limpeza. No relatório de problemas de segurança, o botão “Solicitar revisão” só deve ser usado com o site limpo.

A empresa precisa avisar os clientes?

A empresa precisa avisar quando a invasão expôs dados pessoais de clientes, como os enviados por formulário, e isso pode causar risco ou dano relevante a eles. Nesse caso, a Lei Geral de Proteção de Dados pede que a empresa comunique o incidente à Autoridade Nacional de Proteção de Dados e às pessoas afetadas, segundo a orientação da própria Autoridade. Se o site só exibia páginas de spam, sem acesso a dados, o caso costuma parar na limpeza, mas vale registrar o que foi verificado.

Quanto tempo o Google leva para tirar o aviso de site invadido

Depois que o site é limpo e a revisão é pedida, o Google leva de vários dias a algumas semanas para tirar o aviso. Segundo a Ajuda do Search Console, a análise de segurança “pode levar de alguns dias a algumas semanas”.

Enquanto isso, o aviso continua aparecendo para quem procura a empresa. Por isso a revisão só deve ser pedida com a limpeza completa: um pedido negado porque ainda havia página de spam reinicia a espera. As páginas falsas, mesmo apagadas, também levam um tempo para sair da busca, à medida que o Google volta a visitá-las e encontra o erro de página inexistente.

O erro mais comum: achar que o site está bem porque abre normal

O erro mais comum de quem tem o site invadido é concluir que está tudo bem porque, ao digitar o endereço, o site abre igual a sempre. Nas invasões de spam, o conteúdo falso é mostrado só ao Google ou a quem chega pela busca, e o dono do site é o último a saber.

Um escritório de contabilidade pode passar meses com centenas de páginas de apostas indexadas no próprio domínio sem perceber, até um cliente comentar que o resultado da busca “parecia estranho”. O teste da busca site: deveria fazer parte da rotina de quem cuida do site, todo mês, junto com atualizações, backup e a leitura dos dados do Google.

Por que a limpeza pede quem responde pelo resultado

A limpeza de um site invadido pede quem conhece o servidor e responde pelo resultado. Mesmo quando a causa parece clara, como um plugin com falha, o invasor raramente deixa uma porta só, e uma limpeza pela metade custa duas vezes: o aviso do Google demora mais a sair e a invasão volta. Depois da limpeza, a manutenção de sites mantém atualizações, backup e senhas em dia para a porta não abrir de novo. Se o site roda em WordPress, o guia o que é WordPress explica por que ele pede esse cuidado.

Como a Oleiro recupera um site invadido

Na recuperação de site invadido, a Oleiro segue etapas que não podem ser puladas:

• Cópia e investigação: guardamos o site como está, para investigar sem perder o que ainda presta, e descobrimos por onde o invasor entrou.
• Limpeza completa: arquivos e banco de dados, usuários falsos e portas dos fundos.
• Fechar a brecha: atualizações, troca de todos os acessos e a porta de entrada fechada.
• Google: as páginas falsas saem da busca e o pedido de revisão é acompanhado até o aviso sair.
• Manutenção contínua: atualizações, backup e monitoramento todo mês, para a porta não abrir de novo.

Se você ainda não sabe o tamanho do problema, o diagnóstico gratuito mostra como o Google enxerga o seu site hoje.