Infecções em websites: tipos, como identificar, consequências e o que fazer nas primeiras horas

Quando o site “está estranho”, o problema já pode estar espalhado

Infecção em website não é só uma página com texto bizarro. Em hospedagem compartilhada ou WordPress sem manutenção, um único plugin desatualizado, senha fraca ou arquivo PHP comprometido pode abrir caminho para backdoor permanente, spam em massa pelo seu domínio, páginas ocultas para golpe e até invasão de outros sites na mesma conta — incluindo e-mail corporativo @empresa.

Este guia da ITC Service explica os principais tipos de infecção web, como reconhecer sinais antes do cliente ou do Google, quais consequências afetam receita e reputação, e o que fazer na primeira hora para não piorar o incidente. Se você já sabe que foi invadido, vá direto à seção Primeiras horas — checklist de contenção.

Principais tipos de infecção em websites

Atacantes raramente deixam um único tipo de malware. Mesmo assim, classificar ajuda a priorizar a resposta:

1. Backdoor e webshell

Arquivo PHP ou script oculto que permite ao invasor entrar no servidor quando quiser — upload de arquivos, execução de comandos, leitura de banco. Costuma ficar em pastas de upload, cache ou com nome que imita plugin legítimo (“class-wp-helper.php”). É a forma mais perigosa porque permite reinfecção mesmo depois de “limpar a home”.

2. SEO spam e farm de páginas

Milhares de URLs invisíveis ao visitante normal, criadas só para ranquear produtos ilegais, cassino ou phishing no Google. O site parece normal no navegador; o estrago aparece no Search Console, em buscas por site:seudominio.com.br viagra ou alertas de “páginas hackeadas”.

3. Redirecionamento malicioso (conditional redirect)

Visitante vindo do Google ou usando celular é mandado para site de golpe, anúncio ou download de app falso. No PC do dono da empresa, tudo parece certo — por isso muitos descobrem tarde demais.

4. Defacement (página vandalizada)

Substituição visível da home por mensagem política, religiosa ou de “hacked by”. Impacto imediato na imagem; porém, às vezes é o sintoma menos grave — o backdoor pode ter sido instalado dias antes.

5. Injeção em banco de dados

Código malicioso em posts, widgets, opções do WordPress ou campos serializados. Arquivos no disco parecem limpos, mas cada pageview executa script ou redirecionamento. Limpeza só de FTP não resolve.

6. Skimmer / formulário comprometido

JavaScript extra captura dados de checkout, login ou formulário de orçamento. Risco direto de LGPD, chargeback e perda de confiança — comum em lojas WooCommerce e sites com pagamento embutido.

7. Abuso de e-mail e relay

Conta comprometida dispara phishing em massa usando @seudominio.com.br. Reputação do domínio cai; e-mails legítimos passam a ir para spam ou são rejeitados por todo o mercado.

8. Mineração e sobrecarga

Scripts consomem CPU do servidor — site lento, conta suspensa pela hospedagem, custo extra de nuvem. Menos visível que defacement, mas derruba conversão e SEO (Core Web Vitals).

9. Propagação lateral (conta inteira)

Em hospedagem compartilhada mal isolada, malware de um site infecta outros domínios na mesma conta FTP/cPanel. Um blog abandonado vira porta de entrada para o site institucional e o webmail.

WordPress concentra boa parte dos casos, mas sites PHP custom, Joomla, Laravel desatualizado e até páginas estáticas com formulário sem proteção também entram na estatística. Veja também WordPress: o risco que se esconde por trás dos plugins nulled (e alguns originais também) e Plugins maliciosos no WordPress: como identificar e remover com segurança.

Como identificar que o site está (ou esteve) infectado

Nem todo sintoma significa malware — mas a combinação de dois ou mais itens abaixo exige investigação imediata:

Ferramentas úteis na triagem (sem substituir análise técnica): Google Search Console (Problemas de segurança), VirusTotal na URL, verificação de blacklist de domínio (MXToolbox, multirbl), diff de arquivos core do WordPress, logs de acesso procurando POST suspeito em wp-login.php ou xmlrpc.php.

Se o CMS for WordPress, o guia WordPress infectado: remoção de malware, correção e hardening complementa esta leitura com foco na limpeza técnica.

Principais consequências para empresas

Além do susto técnico, infecção web vira crise de negócio:

• Queda de tráfego orgânico — Google remove ou marca páginas; recuperação leva dias a semanas após limpeza comprovada.
• Perda de conversão — site lento, offline ou redirecionando para golpe = orçamentos e vendas interrompidos.
• Reputação e confiança — cliente que vê “site comprometido” no navegador associa a marca a descuido.
• E-mail corporativo comprometido — golpes em nome da empresa, parceiros bloqueando @seudominio.
• LGPD e responsabilidade civil — vazamento via formulário ou skimmer exige resposta à ANPD e aos titulares.
• Custo de emergência — limpeza profissional, restore, horas de TI e possível multa da hospedagem superam anos de manutenção preventiva.
• Reinfecção — restaurar backup antigo sem fechar a porta de entrada repete o ciclo em poucos dias.

Relacionado: Recuperação de hospedagem invadida: guia para empresas (HostGator, Locaweb e similares) · Site hackeado: como recuperar hospedagem e restaurar operação.

Primeiras horas — o que fazer (e o que evitar)

As decisões da primeira hora definem se o incidente fica contido ou vira desastre em cascata. Ordem recomendada:

Hora 0 — Contenção imediata (0–30 min)

1. Não entre em pânico apagando tudo — destruir logs dificulta investigação; faça backup forense se souber como (zip do site + dump DB + logs de acesso).
2. Isole o site — coloque em manutenção, bloqueie tráfego público (página estática “em manutenção”) ou peça à hospedagem suspensão temporária só do site se o spam de e-mail já estiver ativo.
3. Troque senhas críticas — admin CMS, FTP/SFTP, SSH, banco de dados, painel hospedagem — a partir de máquina limpa, não do PC que acessou o admin infectado.
4. Revogue chaves expostas — API de pagamento, SMTP, tokens de plugin, chaves SSH se estavam no wp-config ou .env versionado.
5. Avise stakeholders — marketing, financeiro, jurídico se houver dados pessoais em formulários.

Hora 1 — Preservar evidências e mapear escopo (30–90 min)

1. Registre quando o problema foi notado, quem viu, qual URL comportou-se mal.
2. Verifique Search Console, painel da hospedagem, fila de e-mail (volume anormal de saída).
3. Liste domínios e subdomínios na mesma conta — infecção pode não estar só no site principal.
4. Identifique últimas mudanças: plugin instalado, tema novo, credencial compartilhada, freelancer com acesso amplo.

Horas 2–4 — Escolher estratégia de recuperação

Duas rotas — muitas vezes combinadas:

• Restore de backup íntegro — mais rápido se existir cópia anterior à invasão, testada, e se a vulnerabilidade já foi corrigida (update, senha, plugin removido).
• Limpeza manual + hardening — necessária quando backup não existe, está comprometido ou malware está no banco. Exige varredura de arquivos, revisão de usuários, plugins, cron e .htaccess.

Erro clássico: restaurar backup de ontem sem remover backdoor nem atualizar plugin vulnerável — reinfecção garantida. Guia detalhado: WordPress hackeado: guia completo de recuperação, limpeza e proteção para empresas.

Horas 4–24 — Validar, comunicar e pedir revisão

1. Varredura completa após limpeza ou restore — incluindo banco e arquivos fora do webroot se aplicável.
2. Teste em navegador anônimo, mobile e via ferramenta externa (Safe Browsing, VirusTotal).
3. Atualize core, plugins, tema e PHP; remova extensões não usadas; ative 2FA no admin.
4. Se Google marcou o site: Search Console → Problemas de segurança → Solicitar revisão só após limpeza confirmada.
5. Se e-mail foi abusado: verifique blacklist, SPF/DKIM/DMARC e volume; veja Guia Segurança, e-mail e backup.
6. Documente lições aprendidas — quem tinha acesso, o que falhou, plano de manutenção mensal.

O que NÃO fazer nas primeiras horas

• Restaurar backup “qualquer um” sem saber a data da invasão.
• Continuar vendendo ou coletando dados em site claramente comprometido (risco LGPD).
• Reutilizar mesma senha de admin/FTP em outros serviços.
• Instalar “plugin de segurança mágico” por cima de malware — mascara sintoma, não remove backdoor.
• Esconder o incidente de clientes se dados pessoais possivelmente vazaram.

Prevenção — depois que a crise passar

Infecção tratada sem mudança de processo volta em meses. Camadas que a ITC recomenda para PMEs:

• Manutenção mensal — updates testados em staging antes de produção.
• Backup 3-2-1 — cópia off-site; restore testado no trimestre.
• Allowlist de plugins — zero nulled; documentação do que está instalado.
• WAF e rate limit — brute force em login e xmlrpc bloqueados na borda.
• Monitoramento — integridade de arquivos, uptime, alerta de mudança em PHP crítico.
• Hospedagem com suporte que responde — não fila de 72h quando o site cai na sexta.

Planos e portfólio: ITC Hosting · Sites e manutenção WordPress: criação, renovação e acompanhamento · Suporte técnico para hospedagem e sites de empresas · Guia Hospedagem WordPress.

Resumo para o gestor

• Infecção web vai além da home vandalizada — backdoor, spam SEO e skimmer são invisíveis até o dano aparecer.
• Identifique cedo com Search Console, blacklist de e-mail, arquivos PHP estranhos e relatos de clientes.
• Consequências incluem SEO, vendas, e-mail, LGPD e custo de crise.
• Primeiras horas: isolar, trocar senhas, preservar evidências, escolher restore ou limpeza completa, validar antes de voltar ao ar.
• Prevenção (backup, updates, suporte) custa menos que recuperação — trate o site como ativo comercial, não custo fixo esquecido.