Hospedagem suspendeu o site por malware ou spam: o que fazer

A hospedagem suspendeu seu site por malware ou envio de spam? Veja como falar com o suporte, limpar, pedir a reativação e evitar que aconteça de novo.

Se a hospedagem suspendeu seu site por malware ou envio de spam, não brigue com o suporte e não migre para outra empresa às pressas. O caminho que funciona é: (1) ler o e-mail de suspensão e entender exatamente o que foi detectado; (2) pedir acesso para limpeza e um backup; (3) limpar a infecção e fechar a porta de entrada; (4) responder ao suporte com um relatório do que foi feito e pedir a reativação. A suspensão é chata, mas quase sempre significa que o site foi invadido, e a hospedagem só tirou do ar para proteger os outros clientes do servidor.

Por que a hospedagem suspende

Em hospedagem compartilhada, centenas de sites dividem o mesmo servidor e, muitas vezes, o mesmo IP. Um site infectado pode:

• enviar spam em massa, colocando o IP do servidor em listas de bloqueio e prejudicando o e-mail de todos os clientes;
• hospedar páginas de phishing (cópias de bancos, Correios, lojas famosas), o que gera denúncias e pode envolver o provedor;
• distribuir malware para visitantes;
• atacar outros sites a partir do servidor;
• consumir CPU e memória a ponto de deixar o servidor lento para todo mundo.

Os motivos mais comuns aparecem no e-mail com termos como "malware detectado", "abuse report", "phishing", "envio de spam", "outbound spam", "uso excessivo de recursos" ou "violação dos termos de uso".

Passo 1: leia o aviso com atenção

Antes de responder, extraia do e-mail (ou do painel) estas informações:

• Qual o motivo exato? Malware, phishing, spam e uso de recursos pedem investigações diferentes.
• Quais arquivos ou URLs foram citados? Muitas hospedagens listam os caminhos encontrados pelo scanner. Isso é ouro.
• A conta inteira foi suspensa ou só um domínio? Se você tem vários sites na mesma conta, considere todos suspeitos.
• Existe prazo? Algumas empresas dão alguns dias para resposta antes de remover arquivos ou encerrar a conta.
• Houve denúncia externa? Um "abuse report" de terceiros (um banco, por exemplo) costuma indicar página de phishing.

Passo 2: fale com o suporte do jeito certo

O suporte lida com muitos clientes irritados por dia. Quem chega organizado e cooperativo costuma ser atendido mais rápido. Um modelo que funciona:

"Olá. Recebi o aviso de suspensão da conta [usuário/domínio] por [motivo]. Estou ciente do problema e vou fazer a limpeza. Para isso, preciso de: (1) acesso temporário ao gerenciador de arquivos/FTP/SSH; (2) a lista completa de arquivos ou URLs detectados; (3) os logs de acesso e de envio de e-mail dos últimos dias; (4) informação sobre backups disponíveis e de quais datas. Assim que terminar, envio um resumo do que foi feito."

Dicas:

• Peça tudo por escrito (ticket ou e-mail), não só pelo chat.
• Muitas hospedagens liberam o acesso por IP específico ou com o site ainda fora do ar para visitantes. Aceite: o objetivo é limpar, não voltar ao ar no mesmo minuto.
• Se a hospedagem oferece limpeza paga, pergunte o que está incluído. Algumas apenas apagam os arquivos detectados pelo scanner, sem procurar backdoors nem corrigir a falha. Isso costuma resolver por pouco tempo.

Passo 3: faça backup antes de mexer

Assim que tiver acesso, tire um backup completo do estado atual: todos os arquivos (incluindo ocultos, como .htaccess) e o banco de dados. Com WP-CLI:

wp db export suspenso-$(date +%F).sql
tar -czf arquivos-suspenso-$(date +%F).tar.gz /caminho/do/site

Baixe para fora do servidor e marque como infectado. Esse backup protege o seu conteúdo se algo der errado na limpeza e guarda as pistas de como o invasor entrou. Se você não tinha backup próprio antes disso, leia depois como fazer backup do WordPress do jeito certo.

Passo 4: limpe de acordo com o motivo

Se o motivo foi malware ou phishing

1. Comece pelos arquivos que a hospedagem listou. Mas não pare neles: o scanner pega o sintoma, raramente todos os backdoors.

2. Procure páginas de phishing, que costumam vir em pastas com nomes de bancos ou serviços, dentro de wp-content, uploads ou na raiz, muitas vezes com seus próprios index.php e .htaccess.

3. Verifique o núcleo e os plugins contra as versões oficiais:

   wp core verify-checksums
   wp plugin verify-checksums --all
   

4. Procure PHP em pastas de upload: find wp-content/uploads -type f -name "*.php".

5. Revise administradores, tarefas agendadas (wp cron event list) e o cron da hospedagem.

O roteiro completo de limpeza está em como remover malware e backdoors do WordPress.

Se o motivo foi envio de spam

Spam saindo da sua conta tem algumas origens possíveis:

• Script PHP de envio em massa plantado pelo invasor (procure arquivos recentes com funções como mail( em lugares estranhos).
• Formulário de contato abusado, sem proteção contra robôs, usado para disparar mensagens.
• Conta de e-mail com senha vazada, usada por robôs para enviar via SMTP autenticado. Nesse caso o site nem foi invadido: o problema é a caixa de e-mail.
• Plugin de newsletter ou SMTP comprometido ou mal configurado.

Peça à hospedagem o log de envio (qual script ou conta originou as mensagens). Isso diz exatamente onde olhar. Troque a senha de todas as contas de e-mail do domínio, não só a do site.

Para ver arquivos PHP modificados recentemente, que costumam incluir o script de spam:

find /caminho/do/site -type f -name "*.php" -mtime -15 -ls

Lembre que invasores podem alterar a data de modificação dos arquivos, então use isso como pista, não como prova de que o resto está limpo.

Se o motivo foi uso excessivo de recursos

Às vezes não é invasão: um plugin mal feito, um robô raspando o site ou um ataque de força bruta ao wp-login.php derrubam o servidor. Peça os logs de acesso e veja quais URLs e IPs concentram as requisições. Mas confira também se não há mineração de criptomoeda ou outro processo malicioso rodando: isso aparece como uso de CPU alto e constante.

Passo 5: troque todas as credenciais

Depois da limpeza (ou antes, se puder):

• senha da conta da hospedagem, com autenticação em dois fatores;
• FTP/SFTP, SSH e banco de dados (atualize o DB_PASSWORD no wp-config.php);
• todos os administradores do WordPress;
• todas as contas de e-mail do domínio;
• salts do WordPress: wp config shuffle-salts.

Passo 6: peça a reativação com um relatório

Não basta escrever "já limpei". Mande um resumo objetivo:

"Concluí a limpeza da conta [usuário]. Resumo: removidos os arquivos [lista ou quantidade] em [pastas]; núcleo do WordPress e plugins reinstalados a partir de fontes oficiais; plugin [nome] atualizado (vulnerável, provável porta de entrada); senhas de hospedagem, FTP, banco, admins e e-mails trocadas; scanner executado novamente sem detecções. Peço a reanálise e a reativação."

Se a hospedagem rodar o scanner de novo e achar algo, ela vai responder com os arquivos restantes. Trate isso como ajuda, não como derrota.

Depois da reativação

Confira listas de bloqueio e o Google

• Se o problema foi spam, consulte se o domínio ou o IP está em listas como a Spamhaus (a ferramenta de consulta da própria Spamhaus e o MXToolbox ajudam). A remoção da lista é pedida no site de cada lista, normalmente depois de resolvido o problema.
• No Google Search Console, veja o relatório Problemas de segurança. Se houver aviso de site perigoso, siga como remover o aviso de site perigoso do Google.

Evite que aconteça de novo

O checklist de segurança para WordPress cobre o resto.

Quer ajuda para tirar o site da suspensão?

Se você tem acesso ao servidor e familiaridade com WordPress, este roteiro é suficiente. Se o prazo da hospedagem está correndo e você prefere delegar, a Mobgeek faz a limpeza de site WordPress invadido a partir de R$ 790, com início em até 24h e 30 dias de garantia, incluindo o relatório para enviar à hospedagem. Se quiser, descreva o caso no orçamento.