Como saber se seu site foi hackeado: 10 sinais

Nem todo site invadido cai na hora. Muitas vezes o ataque é silencioso: o invasor usa seu domínio para espalhar spam, minerar, roubar dados de visitantes ou vender remédios falsos — e você só descobre quando o tráfego despenca ou um cliente reclama. Quanto antes você identificar, menor o estrago. Abaixo estão os 10 sinais mais comuns de que um site foi hackeado.

Os 10 sinais de que seu site foi hackeado

1. Redirecionamentos inesperados. Você (ou seus visitantes) digita seu endereço e cai em outro site — cassino, farmácia, loja duvidosa. É um dos sinais mais clássicos: alguém injetou código que desvia o tráfego. Teste em uma aba anônima e no celular, porque muitos redirecionamentos só disparam para quem vem do Google ou fora da sua rede.
2. Aviso do Google ou do navegador. Se aparece "Este site pode prejudicar seu computador" ou uma tela vermelha do Chrome/Firefox, o Google Safe Browsing sinalizou malware ou phishing no seu domínio. É um alerta público — e derruba suas visitas quase instantaneamente.
3. Queda brusca de tráfego orgânico. Se as visitas vindas de busca caem de um dia para o outro sem motivo, o Google pode ter penalizado ou removido páginas suas por conteúdo malicioso. Olhe o Search Console: quedas verticais são um forte sinal de invasão, não de sazonalidade.
4. Resultados de busca adulterados. Pesquise site:seudominio.com no Google. Se aparecerem páginas em japonês, títulos de remédios, apostas ou palavrões que você nunca publicou, seu site foi vítima do chamado "spam japonês" ou "spam farmacêutico" — páginas ocultas criadas pelo invasor para ranquear em cima do seu domínio.
5. Arquivos ou usuários admin desconhecidos. Novos usuários administradores que você não criou, arquivos estranhos na raiz do site (nomes aleatórios, .php esquisitos) ou plugins/temas que ninguém instalou são a assinatura clássica de um backdoor deixado para o invasor voltar quando quiser.
6. Picos estranhos de tráfego ou de uso do servidor. CPU, memória ou banda estourando sem campanha nem lançamento? Seu site pode estar sendo usado para enviar spam, minerar cripto ou atacar terceiros. Veja os relatórios de uso do seu host — um pico inexplicável costuma ser atividade maliciosa rodando por baixo.
7. E-mails do host ou do Search Console sobre malware. Provedores de hospedagem e o Google avisam quando detectam código malicioso, phishing ou envio de spam a partir da sua conta. Não ignore esses e-mails achando que é golpe — muitas vezes é o primeiro aviso real de que você foi invadido.
8. Lentidão súbita. Se o site ficou pesado sem você ter mudado nada, pode haver scripts maliciosos consumindo recursos, redirecionamentos em cadeia ou o servidor sobrecarregado por abuso. Lentidão isolada nem sempre é hack — mas combinada com outros sinais desta lista, acende o alerta.
9. Pop-ups e anúncios que você não colocou. Propagandas, banners ou pop-ups aparecendo para os visitantes (especialmente os que você nunca contratou) indicam injeção de código. Se clientes reclamam de anúncios no seu site e você não vende espaço publicitário, é invasão.
10. Conteúdo alterado ou defacement. A forma mais escancarada: sua home é substituída por uma mensagem do invasor, um logo estranho ou texto político. Menos óbvio, mas igualmente grave, é encontrar links, parágrafos ou imagens que você não escreveu inseridos nas suas páginas.

O que fazer agora

Se você confirmou a invasão, aja rápido e na ordem certa. Pressa sem método piora as coisas (você pode apagar a evidência de como entraram e deixar o backdoor intacto).

1. Coloque o site em manutenção e faça um backup do estado atual. Tirar do ar protege seus visitantes e evita mais estrago. O backup — mesmo infectado — preserva a evidência de como o ataque aconteceu, útil para não repetir o erro.
2. Troque todas as senhas. Painel de hospedagem, admin do CMS, FTP/SFTP, banco de dados e e-mail associado. Se houver usuários admin que você não reconhece, remova-os. Ative verificação em duas etapas onde der.
3. Escaneie o site em busca de malware. Use as ferramentas do seu host ou um scanner de segurança para localizar arquivos infectados, código injetado e páginas de spam. Anote tudo antes de apagar.
4. Atualize tudo. CMS, plugins, temas e dependências. A maioria das invasões explora versões desatualizadas com falha conhecida — sem atualizar, você limpa e é reinvadido pela mesma porta.
5. Remova o backdoor, não só o sintoma. Apagar a página de spam não adianta se o invasor deixou um arquivo para voltar. Procure e elimine todo código estranho; na dúvida, restaure de um backup limpo anterior à invasão e reaplique só o conteúdo legítimo.
6. Peça a revisão ao Google. Depois de limpo, use o Search Console (Problemas de segurança) para solicitar que o Google reavalie o site e remova o aviso de "site perigoso". Sem isso, o alerta e a queda de tráfego permanecem.

Como evitar da próxima vez

Limpar é caro e estressante; prevenir é barato. Depois de restabelecer o site, feche as portas antes que alguém volte a bater nelas. O básico bem feito — atualizações em dia, senhas fortes com 2FA, backups automáticos e permissões mínimas — resolve a maioria dos vetores. Passe pelo nosso checklist de segurança web antes de lançar para não deixar ponta solta.

A diferença entre limpar um site invadido e nunca ser invadido é saber onde está a porta de entrada antes do atacante. É exatamente isso que um pentest faz: simula o ataque de verdade, explora as falhas reais da sua aplicação e entrega cada brecha com evidência e severidade. Entenda melhor no guia o que é um pentest — e como a injeção mais comum de todas funciona em SQL Injection: o que é e como se proteger.

O Escudo Code roda esse pentest de forma automatizada: um agente de IA testa seu site de ponta a ponta, encontra a porta de entrada antes do ataque e reporta só o que confirmou explorando — não uma lista de alarmes falsos. É a linha de base contínua que impede que a próxima invasão te pegue de surpresa. Veja como funciona ou os planos.