Recuperação de hospedagem invadida: guia para empresas (HostGator, Locaweb e similares)

Quando a hospedagem vira porta de entrada do ataque

PMEs descobrem a invasão quando o site passa a redirecionar para cassino, o Google exibe aviso de malware ou clientes recebem spam com o domínio da empresa. Em contas compartilhadas — HostGator, Locaweb, Hostinger, KingHost e dezenas de revendas cPanel — o atacante costuma explorar senha fraca do painel, plugin desatualizado do WordPress ou conta FTP exposta.

O prejuízo não fica só no site: e-mail corporativo no mesmo servidor pode ser usado para phishing em nome da firma, manchando reputação e caindo em blacklist.

Primeiras 2 horas: conter antes de “consertar”

1. Altere senhas do painel, FTP, banco de dados e e-mail — de um computador limpo, não do que administra o site.
2. Coloque o site em manutenção ou bloqueie acesso público se houver redirecionamento malicioso.
3. Revogue chaves SSH e tokens de API se o plano permitir acesso avançado.
4. Notifique a hospedagem pelo canal oficial — muitos provedores suspendem conta que dispara spam para proteger a rede.
5. Preserve evidências — logs de acesso, arquivos suspeitos e horário do incidente ajudam na análise.

Não restaure backup “por cima” sem saber quando a invasão começou: backup de ontem pode já conter backdoor.

Diagnóstico técnico no cPanel e arquivos

Equipe técnica ou parceiro especializado deve verificar:

• Arquivos PHP desconhecidos em public_html, pastas de upload e diretórios ocultos (.well-known adulterado).
• Usuários FTP ou e-mail criados sem autorização.
• Tarefas cron agendadas para baixar malware.
• .htaccess com redirecionamento condicional por user-agent ou país.
• Plugins e temas WordPress/Joomla desatualizados ou piratas (nulled).

Scanners automáticos ajudam, mas revisão manual encontra backdoors ofuscados que ferramenta genérica não detecta.

Recuperação segura

Restaure arquivos e banco a partir de backup anterior à invasão, em ambiente isolado, e atualize tudo antes de publicar. Sem backup confiável, limpeza profunda ou reconstrução em instalação limpa. Revise DNS (MX, SPF) e considere migrar para hospedagem gerenciada com monitoramento e firewall de aplicação.

Veja também site hackeado: o que fazer · Guia Hospedagem WordPress · Acionar ITC Service.