Il mio sito è stato hackerato: ripristinare la macchina da un'istantanea pulita

Il sito mostra una pagina che non è tua. Oppure Google avvisa che il tuo sito "può danneggiare il computer". Oppure il server è lentissimo e tra i processi c'è qualcosa chiamato kdevtmpfsi che si mangia la CPU. Sono entrati. È un brutto momento, ma se hai le istantanee, si risolve in un pomeriggio e senza pagare nessuno.

L'idea centrale è che una macchina compromessa non si pulisce: si abbandona. Non saprai mai con certezza cos'altro hanno lasciato dentro. Quello che sai è che l'istantanea di dieci giorni fa era sana. Quindi avvii una macchina nuova da quella copia, la aggiorni, chiudi la porta da cui sono entrati e le passi l'indirizzo del sito. La vecchia la lasci spenta e isolata nel caso serva guardare cosa è successo.

La guida è scritta per Lightsail; in EC2 i passi sono gli stessi con altri nomi di menu.

Passo dopo passo

1. Conferma che sono entrati e non cancellare nulla

   Segnali abituali: contenuti o link che non hai messo tu, reindirizzamenti verso altri siti, email di AWS su attività sospette, avvisi di Google Search Console, la macchina al 100% di CPU senza motivo, utenti nuovi in WordPress o nel sistema, file modificati a ore strane.

   E la prima cosa da NON fare: non cancellare file, non reinstallare sopra, non "pulire" il server. Due motivi. Uno, l'attaccante probabilmente ha lasciato più di una porta e pulire a mano non le trova tutte. Due, se hai un'assicurazione, clienti con dati personali o devi avvisare il Garante per la protezione dei dati, vorrai conservare la macchina così com'è perché qualcuno possa esaminarla. Fai subito un'istantanea della macchina compromessa con un nome chiaro (web-COMPROMETIDA-2026-10-28) e non toccarla più.

2. Isola la macchina chiudendo il firewall

   Entra in Lightsail, premi il nome della macchina e apri la scheda Networking. Nel blocco IPv4 Firewall vedrai le regole: di solito SSH (22), HTTP (80) e HTTPS (443). Elimina tutte le regole tranne SSH e, in quella di SSH, premi la matita, spunta Restrict to IP address e scrivi solo il tuo IP attuale (lo vedi cercando "qual è il mio IP" su Google). Fai lo stesso in IPv6 Firewall se è attivato.

   Con questo il sito smette di vedersi, sì. Ma smette anche di servire malware ai tuoi visitatori, di inviare spam e di attaccare terzi dal tuo indirizzo. Qualche ora senza sito si spiega; una denuncia, no. Per i passi successivi non hai bisogno di entrare nella macchina vecchia, quindi puoi togliere anche la regola SSH.

3. Scegli un'istantanea precedente all'attacco

   Nel menu di sinistra di Lightsail, Snapshots. Vedrai l'elenco delle copie di quella macchina con la loro data. Te ne serve una precedente al primo sintomo, con margine: se hai notato qualcosa il giorno 25, non prendere quella del 24, perché l'attacco può essere cominciato giorni prima di diventare visibile. Se il sito è WordPress, i file modificati hanno una data: guardala nella copia o nel pannello dei file, e prendi un'istantanea di almeno una settimana prima.

   È inevitabile perdere le modifiche fatte da quella data: ordini, articoli, foto. Annota quali sono per rimetterle a mano alla fine. Se il database sta su un'altra macchina o su RDS, non è toccato da questo passo, ma controlla comunque i suoi utenti e le sue password (passo 5). Se non hai nessuna istantanea pulita, guarda la sezione dei problemi: il recupero è un altro.

4. Crea una macchina nuova dall'istantanea

   Sull'istantanea scelta, menu dei tre puntini, Create new instance. Scegli la stessa zona di disponibilità della macchina vecchia (l'IP statico si può spostare solo dentro la stessa regione), lo stesso piano o uno maggiore, e dalle un nome nuovo (web-2026-10-28). Lasciala avviare: richiede un paio di minuti.

   La macchina nuova nasce con il firewall predefinito (22, 80 e 443 aperte a tutti). Prima di tutto, scheda Networking e limita la 22 al tuo IP, come hai fatto al passo 2. Lascia 80 e 443 chiuse per ora: non pubblicarla finché non l'hai aggiornata.

5. Aggiorna e cambia tutte le password e le chiavi

   Entra nella macchina nuova con il pulsante Connect using SSH di Lightsail (apre un terminale nel browser, senza installare nulla). Ora, in ordine:

   • Aggiorna il sistema: su Ubuntu o Debian, sudo apt update && sudo apt upgrade -y. Nelle immagini Bitnami, aggiorna anche l'applicazione dal suo pannello.
   • Aggiorna il sito: WordPress, tema e tutti i plugin. Cancella i plugin che non usi. Nel 90% dei casi la porta è stata un plugin non aggiornato.
   • Password del sito: tutti gli utenti amministratori. Elimina quelli che non riconosci.
   • Password del database e aggiornala nel file di configurazione del sito (wp-config.php o equivalente).
   • Chiave SSH: in Lightsail, menu Account, SSH keys, creane una nuova e cancella la vecchia; nella macchina, sostituisci il contenuto di ~/.ssh/authorized_keys. La chiave vecchia potrebbe essere uscita dalla macchina compromessa.
   • Chiavi di servizi esterni che stavano nella macchina: email (SMTP), gateway di pagamento, API di AWS se ce n'era qualcuna. Generane di nuove e revoca le precedenti.

   Guarda anche /etc/passwd e il crontab di root nel caso l'istantanea non fosse pulita come pensavi: utenti che non conosci o attività pianificate strane. Se vedi qualcosa, torna al passo 3 con un'istantanea più vecchia.

6. Sposta l'IP statico e controlla il DNS

   In Lightsail, menu Networking (quello di sinistra, non la scheda della macchina). Premi l'IP statico del sito: vedrai a quale istanza è collegato. Scollegalo dalla macchina vecchia e collegalo alla nuova. Il cambio è immediato e il dominio continua a puntare allo stesso indirizzo, quindi non bisogna aspettare che il DNS si propaghi.

   Ciononostante, entra nel tuo provider del dominio (o in DNS zones di Lightsail se lo gestisci lì) e ripassa tutti i record. Gli attaccanti a volte non toccano il server, ma aggiungono record che deviano la posta o un sottodominio. Se vedi un record A, MX o TXT che non riconosci, cancellalo.

   Adesso sì: nella macchina nuova, scheda Networking, aggiungi le regole HTTP (80) e HTTPS (443) aperte a tutti. Verifica il sito dal cellulare con la rete dati, che non passa dalla tua rete, e guarda la data di scadenza del certificato HTTPS: sta nell'istantanea e dovrebbe rinnovarsi da solo.

7. Dopo: chiudere la porta e non tornare più qui

   La macchina vecchia: lasciala ferma per un mese, con il firewall chiuso. In Lightsail si paga anche da ferma, quindi se il costo conta, cancellala e conserva l'istantanea del passo 1, che custodisce le prove. Passato un tempo prudenziale, cancella anche quell'istantanea.

   E tre misure perché non si ripeta:

   • Istantanee automatiche: nella macchina nuova, scheda Snapshots, attiva quelle automatiche (Lightsail conserva le ultime sette, una al giorno). Per conservarne alcune più a lungo, fanne una manuale al mese.
   • Aggiornamenti: una volta a settimana, sistema e sito. Metti un promemoria. È noioso ed è ciò che evita il 90% delle intrusioni.
   • Porta 22 solo al tuo IP, e chiusa quando non la usi. C'è una guida in questa sezione dedicata solo a questo. E se il sito non ha bisogno che qualcuno carichi file via FTP, non tenere la 21 aperta.

   Infine, se il sito conservava dati di clienti, consulta chi si occupa della protezione dei dati nella tua azienda: un'intrusione nel server può obbligare a comunicarla entro 72 ore.

Cosa può andare storto