Il sospetto arriva quasi sempre da fuori: un cliente che segnala una pagina strana, Google che mostra risultati che non hai mai scritto, l’hosting che avvisa di traffico anomalo, o semplicemente il sito che si comporta in modo diverso senza che nessuno abbia toccato niente. La reazione tipica è aprire la bacheca, non vedere nulla di evidente e sperare che sia un falso allarme.

Questo articolo è su cosa fare in quella mezz’ora: come raccogliere prove concrete invece di sensazioni, e — soprattutto — dove si ferma il fai-da-te.

Diciamolo subito, perché è la parte importante: un assistente IA collegato al sito è uno strumento di diagnosi, non di bonifica. Serve a capire in fretta se qualcosa non torna e a mettere insieme un quadro leggibile. Rimuovere un’infezione, chiudere la porta da cui è entrata e ripristinare in sicurezza è lavoro di chi lo fa di mestiere.

Cosa si può verificare in modo oggettivo

Con il plugin Abilità IA installato, ci sono quattro controlli che danno risposte fattuali e non opinioni.

1. L’integrità dei file di WordPress. WordPress.org pubblica le firme ufficiali di ogni file di ogni versione. Confrontare i file del tuo sito con quelle firme dice se un file del nucleo è stato modificato — la firma tipica di un codice malevolo iniettato dentro un file legittimo — e se ci sono file .php estranei in cartelle dove non dovrebbero esistercene. È il controllo che vale di più, perché non si basa su euristiche: o il file corrisponde o non corrisponde.

2. I file sospetti in wp-content. Qui firme ufficiali non esistono, quindi si ragiona per indizi pesati: codice offuscato, esecuzione dinamica, e in particolare file .php dentro la cartella dei caricamenti, dove non ci deve essere nulla di eseguibile. Un PDF o una foto in “uploads” sono normali; uno script no.

3. Gli utenti amministratori. La domanda è banale e la risposta a volte no: quali utenti hanno privilegi di amministratore, quando sono stati creati e quando hanno effettuato l’ultimo accesso. L’account amministratore comparso di notte tre settimane fa è uno dei segnali più netti che esistano.

4. Gli errori PHP recenti. Il registro degli errori spesso conserva le tracce di quello che è successo, comprese righe che puntano a file che non riconosci. Farsele leggere e raggruppare per origine trasforma un file illeggibile in un elenco di sospetti.

«Verifica l’integrità dei file di WordPress rispetto alle firme ufficiali, poi controlla se ci sono file php sospetti nella cartella dei caricamenti, elencami tutti gli utenti amministratori con data di creazione e ultimo accesso, e riassumi gli errori php degli ultimi sette giorni raggruppati per plugin.»

[SCREENSHOT: esito del controllo di integrità con i file modificati e quelli estranei]

«Non ho potuto verificare» non significa «è tutto a posto»

È il punto su cui vale la pena essere pedanti. Se il server blocca le connessioni verso l’esterno, le firme ufficiali non si possono scaricare e il controllo di integrità non si può fare. Uno strumento onesto in quel caso dice «non verificabile» e spiega perché; uno strumento fatto male dice «nessun problema rilevato». Le due frasi sembrano simili e significano l’opposto: la prima è un’informazione, la seconda è una bugia rassicurante.

Lo stesso vale al contrario: un file segnalato come modificato non è necessariamente malevolo. Può essere una patch applicata a mano da chi ha gestito il sito prima di te. La diagnosi restringe il campo, non emette sentenze.

Cosa NON fare, se emerge qualcosa

Tre errori che peggiorano una situazione già brutta:

• Cancellare i file sospetti al volo. Distruggi le prove, e quasi sempre resta una seconda porta aperta di cui non sapevi nulla. Il sito torna infetto in pochi giorni e a quel punto non hai nemmeno più le tracce.
• Ripristinare un backup e fermarsi lì. Se non sai da dove sono entrati, rientrano. E il backup potrebbe già contenere l’infezione, se è successo prima di quanto pensi.
• Non cambiare le password. Tutte: amministratori, database, FTP, pannello hosting. Prima di qualsiasi altra cosa.

Cosa fare, in ordine

Metti il sito in manutenzione se sta servendo contenuti compromessi, cambia le credenziali, salva una copia dello stato attuale a scopo di prova (non per ripristinarla), raccogli l’esito dei quattro controlli qui sopra e passa tutto a un professionista o al supporto dell’hosting. Quel pacchetto di informazioni fa risparmiare ore di lavoro a chi interviene, e le ore risparmiate sono soldi tuoi.

Prevenire costa molto meno

Aggiornamenti in sospeso da mesi, plugin abbandonati dai loro autori, utenti amministratori che nessuno usa più da due anni, backup che nessuno ha mai verificato: sono le quattro porte da cui si entra quasi sempre. Chiedere periodicamente all’assistente lo stato di queste quattro cose è una routine da dieci minuti al mese — sul perché conti davvero abbiamo scritto un articolo dedicato, e le altre attività di manutenzione ordinaria sono in questa lista con i tempi.

Per iniziare

Servono WordPress, il plugin Abilità IA e un assistente compatibile con MCP. Fai i quattro controlli oggi, che il sospetto ci sia o no: conoscere lo stato normale del sito è ciò che ti permetterà di riconoscere l’anomalia quando arriverà.