Como saber se seu site foi hackeado: 12 sinais e como checar

Como saber se seu site WordPress foi hackeado: 12 sinais (redirecionamento no celular, spam em japonês, aviso do Google) e ferramentas gratuitas para checar.

O jeito mais rápido de saber se seu site foi hackeado é fazer três testes: (1) pesquise site:seudominio.com.br no Google e procure páginas que você não criou (em japonês, de farmácia, de apostas); (2) abra o site pelo celular, a partir de um resultado do Google, em aba anônima, e veja se ele redireciona; (3) olhe o relatório Problemas de segurança no Google Search Console. Se algum deles mostrar algo estranho, o site provavelmente está comprometido.

Abaixo estão os 12 sinais mais comuns, o que cada um costuma significar e as ferramentas para checar. Se você já confirmou a invasão, pule direto para o que fazer nas primeiras horas.

Por que o dono costuma ser o último a saber

Malware de site é feito para ganhar dinheiro sem chamar atenção. Por isso, boa parte das infecções é condicional: o código só age quando a visita vem do Google, quando o aparelho é um celular, quando o visitante não está logado no WordPress ou quando quem acessa é o robô do Google. O dono, que entra digitando o endereço no computador e logado no painel, vê tudo normal.

Guarde isso: "aqui está funcionando" não prova nada.

Os 12 sinais de que seu site foi hackeado

1. Redirecionamento só no celular ou só vindo do Google

O clássico. Um cliente diz que clicou no seu site no Google e caiu num site de apostas, prêmio falso ou "seu celular está com vírus". Você testa e está tudo normal. O código malicioso confere o user agent (tipo de aparelho) e o referer (de onde veio a visita).

Para testar sem depender do seu celular, simule a visita com curl e veja se a resposta é um redirecionamento (código 301/302 com Location para outro domínio):

curl -sI \
  -A "Mozilla/5.0 (iPhone; CPU iPhone OS 17_0 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Mobile/15E148" \
  -e "https://www.google.com/" \
  https://seudominio.com.br/

Alguns redirecionamentos são feitos por JavaScript, depois que a página carrega, e não aparecem no curl. Nesse caso, teste no celular, em aba anônima, clicando num resultado do Google.

2. Spam em japonês, de farmácia ou de apostas no Google

Pesquise site:seudominio.com.br e role algumas páginas de resultados. Títulos em japonês, nomes de remédios, réplicas de marcas ou cassino indicam que alguém está publicando páginas no seu domínio para aproveitar sua reputação. O caso mais famoso é o hack de palavras-chave japonesas, que tem um guia próprio.

Dica: muitas dessas páginas mostram conteúdo de spam só para o Google e um erro 404 para você. Não conclua que "já sumiu" só porque a página dá erro no seu navegador.

3. Aviso de "site perigoso" ou "Este site pode ter sido invadido"

Se o Chrome mostra uma tela vermelha de alerta ao abrir seu site, o Google Safe Browsing marcou o domínio. Se o resultado da busca exibe "Este site pode ter sido invadido", o Google detectou conteúdo hackeado. Os dois são sinais fortes e afetam muito o tráfego. Veja como remover o aviso de site perigoso do Google.

4. Administradores que você não criou

Abra Usuários no painel e filtre por Administrador. Qualquer conta desconhecida é sinal de invasão. Só que alguns backdoors escondem o usuário da listagem, então confira também por WP-CLI ou direto no banco:

wp user list --role=administrator --fields=ID,user_login,user_email,user_registered

Repare também em e-mails de admin trocados e contas antigas que voltaram a ter permissão de administrador.

5. Arquivos estranhos no servidor

Nomes aleatórios na raiz (wp-xyz.php, abc123.php), arquivos .php dentro de wp-content/uploads (que deveria ter só imagens e documentos), pastas que você não reconhece. Liste os PHP modificados nos últimos 7 dias:

find /caminho/do/site -type f -name "*.php" -mtime -7 -ls
find /caminho/do/site/wp-content/uploads -type f -name "*.php"

Atualizações legítimas também modificam arquivos, então cruze as datas com o que você atualizou.

6. Arquivos do WordPress diferentes do original

O WordPress.org publica checksums oficiais do núcleo e dos plugins do repositório. Se algum arquivo não bate, alguém mexeu nele:

wp core verify-checksums
wp plugin verify-checksums --all

O segundo comando só verifica plugins do repositório oficial; plugins pagos ficam de fora.

7. Lentidão repentina ou consumo alto de CPU

Site que ficou lento do nada, sem tráfego a mais, pode estar rodando mineração, disparando spam ou servindo milhares de páginas de spam para robôs. Veja no painel da hospedagem se o uso de CPU, memória ou processos disparou.

8. E-mails de spam saindo do seu servidor

Sinais: você recebe muitas mensagens de "não entregue" (bounce) de e-mails que não enviou, seus e-mails legítimos começam a cair em spam ou o IP do servidor aparece em listas de bloqueio. Scripts de envio em massa são uma forma comum de monetizar um servidor invadido.

9. A hospedagem suspendeu a conta ou mandou alerta

Hospedagens rodam scanners e monitoram envio de e-mail e consumo. Um e-mail falando em "malware detectado", "abuse" ou "conta suspensa por spam" é praticamente uma confirmação. Responda pedindo os detalhes: quais arquivos foram detectados e desde quando.

10. Conteúdo alterado, links escondidos ou pop-ups

Links invisíveis no rodapé (aparecem no código-fonte, não na tela), posts antigos editados com links para sites estranhos, pop-ups que você não instalou, scripts de terceiros que você não reconhece no código-fonte. Abra o código da página (Ctrl+U) e procure por <script com domínios que você não conhece.

11. Mudanças que você não fez nas configurações

Tema trocado, plugin novo instalado, plugin de segurança desativado, endereço do site alterado em Configurações > Geral, novo e-mail de administrador, novas tarefas agendadas. Um plugin de segurança desativado sozinho é particularmente suspeito.

12. Novos proprietários ou sitemaps no Search Console

Em Configurações > Usuários e permissões do Search Console, veja se há proprietários que você não adicionou. Em Sitemaps, veja se alguém enviou sitemaps que você não reconhece. Invasores fazem isso para indexar páginas de spam mais rápido.

Resumo: sinal, o que costuma indicar e onde checar

Ferramentas para checar (a maioria gratuita)

• Google Search Console: relatório "Problemas de segurança" (em "Segurança e ações manuais"), ferramenta de Inspeção de URL para ver o que o Google enxerga numa página, e os relatórios de páginas e sitemaps.
• Status do site no Google Safe Browsing: https://transparencyreport.google.com/safe-browsing/search mostra se o Google considera o domínio perigoso agora.
• Busca site: no Google e no Bing.
• Sucuri SiteCheck (sitecheck.sucuri.net) e VirusTotal (virustotal.com): scanners externos que verificam o que o site exibe publicamente e várias listas de bloqueio.
• WP-CLI: wp core verify-checksums, wp plugin verify-checksums --all, wp user list.
• Plugins de segurança como Wordfence ou o scanner da sua hospedagem, que olham os arquivos por dentro.

Atenção: nenhum scanner sozinho dá atestado de limpeza. Scanners externos não veem backdoors dentro do servidor, e scanners internos podem não reconhecer código novo ou muito ofuscado. Combine os testes.

E se você confirmou a invasão?

Antes de mexer em qualquer coisa, faça um backup completo, arquivos e banco de dados, mesmo infectado. Ele preserva seu conteúdo e as evidências. Depois, siga o roteiro de o que fazer nas primeiras horas e o guia técnico de como remover malware e backdoors do WordPress.

Precisa de uma segunda opinião?

Se você é da área técnica, os comandos acima já dão um bom diagnóstico e você pode seguir com a limpeza por conta própria. Se não quer arriscar ou não tem tempo, a Mobgeek faz a limpeza de site WordPress invadido, do diagnóstico à remoção de malware e backdoors, troca de credenciais, hardening e pedido de revisão no Google, com relatório e 30 dias de garantia contra reinfecção (a partir de R$ 790, início em até 24h). Para monitoramento contínuo, existe também o plano mensal de proteção. Se preferir, conte o que está acontecendo e peça um orçamento.