Com saber si el teu web ha estat hackejat (i què fer)

El 43% dels ciberatacs van dirigits a petites empreses. La majoria d’aquestes empreses ho descobreixen tard: quan un client els avisa, quan Google els marca com a perillosos o quan els seus emails comencen a anar a la carpeta de correu brossa. En aquell moment, el dany ja està fet.

A serpixel auditem desenes de webs cada mes i veiem el mateix patró una vegada i una altra: pimes amb el web hackejat des de fa mesos, sense saber-ho. Aquest article t’explica els 8 senyals més habituals i què fer si en detectes algun.

1. Per què les pimes són l’objectiu preferit dels hackers

Quan penses en un ciberatac, t’imagines un hacker atacant Google o un banc. La realitat és molt més pràctica: els hackers ataquen els webs més fàcils. I els webs més fàcils són els de petites empreses.

Tres raons:

No es manté el programari. El 70% dels webs WordPress hackejats tenen plugins desactualitzats. Cada mes es descobreixen vulnerabilitats noves a plugins populars; els hackers les exploten abans que els propietaris les actualitzin.

No hi ha monitoratge. Una pime no té un equip de seguretat que vigili el web 24/7. Pot passar mesos amb codi maliciós injectat sense adonar-se’n. El client mitjà només mira el seu web 2 o 3 vegades al mes.

Les contrasenyes són dèbils. “admin / 123456” segueix sent una de les combinacions més habituals. Els hackers proven milers de combinacions per minut amb eines automatitzades. Una contrasenya de 6 caràcters es trenca en menys d’un minut.

I les conseqüències són desproporcionades: per a una multinacional, un atac és molèstia. Per a una pime, pot significar tancar el negoci.

2. Els 8 senyals que el teu web ha estat hackejat

Senyal 1: Resultats estranys quan cerques el teu negoci a Google

Cerca a Google el nom del teu web entre cometes (per exemple: site:elteunegoci.com). Si veus pàgines amb títols en japonès, contingut sobre productes farmacèutics, casinos en línia o paraules clau que no tenen res a veure amb el teu negoci, el teu web està hackejat.

És la forma més habitual d’atac SEO: els hackers injecten centenars de pàgines noves al teu web amb contingut spam, aprofitant el teu domini per posicionar productes que volen vendre.

Senyal 2: Google Search Console et notifica problemes de seguretat

Si tens el teu web verificat a Google Search Console (i hauries de tenir-lo), aquí és on rebràs els primers avisos. A l’apartat “Problemes de seguretat”, Google et notifica si detecta:

• Malware (codi maliciós que infecta visitants)
• Programari maliciós o no desitjat (extensions, descàrregues sospitoses)
• Phishing (intents de robar dades)
• Contingut hackejat (canvis no autoritzats al teu web)

Si veus qualsevol notificació en aquest apartat, actua immediatament. No esperis més de 24 hores.

Senyal 3: Pop-ups que no has posat tu

Si visites el teu web i de cop apareixen pop-ups, anuncis estranys, redireccions a altres webs o un comptador suposadament oficial dient “el teu ordinador està infectat”, el web està compromès. Els hackers han injectat codi JavaScript que s’executa als visitants.

Important: pot ser que aquests pop-ups només apareguin a determinats navegadors o països. Prova el web en mode incògnit i des d’un altre dispositiu.

Senyal 4: Comptes d’administrador desconeguts

Si fas servir WordPress, ves a Usuaris > Tots els usuaris i mira si hi ha algun compte d’administrador que no reconeguis. Els hackers solen crear comptes amb noms tècnics (wpadmin, support, admin1) per mantenir l’accés tot i que canviïs la teva contrasenya.

Mira també si hi ha usuaris amb dates de creació recents que no recordis haver creat tu.

Senyal 5: Fitxers nous o modificats al servidor

Si tens accés FTP o al gestor de fitxers del hosting, busca fitxers amb noms estranys: wp-x.php, wso.php, marvin.php, index2.php. Aquests són noms típics de “shells” (programes que els hackers fan servir per controlar el web).

Mira també les dates de modificació. Si veus fitxers de WordPress modificats recentment sense que hagis fet cap actualització, és un senyal d’alerta.

Senyal 6: Caiguda brusca de trànsit a Google Analytics

Si el teu web rebia 500 visites mensuals i de cop baixa a 50, és molt possible que Google t’hagi penalitzat. La causa més habitual d’una caiguda d’aquesta magnitud és contingut hackejat o malware que ha activat un filtre de Google.

Mira també si la caiguda afecta només certes pàgines: si Google ha detectat malware en una secció concreta, pot desindexar només aquesta secció.

Senyal 7: El navegador marca el teu web com a perillós

Visita el teu web amb Chrome i Firefox. Si veus una pantalla vermella amb missatges com “Lloc enganyós a la vista” o “Aquest lloc pot fer mal al teu ordinador”, Google ja ha detectat l’atac i ha bloquejat el web als seus usuaris.

És el pitjor escenari: en aquest moment, el 95% del trànsit potencial fuig sense ni veure el teu contingut.

Senyal 8: El teu hosting et notifica activitat sospitosa

Els hostings seriosos monitoritzen els seus servidors. Si reben alertes que el teu compte està enviant correu brossa, consumint recursos excessius o tenint connexions sospitoses, t’envien un email d’avís. Llegeix sempre els emails del teu hosting; molts propietaris els ignoren pensant que són publicitat.

3. Què fer si trobes algun d’aquests senyals

Si has identificat algun dels 8 senyals, segueix aquest protocol en aquest ordre exacte:

Pas 1: NO ESBORRIS RES. El primer instint és netejar tot d’una vegada, però pots destruir proves valuoses sobre com va passar l’atac. Fes una còpia de seguretat completa abans de fer res.

Pas 2: Posa el web en mode manteniment. Si la teva plataforma ho permet, mostra una pàgina temporal “Tornem aviat”. Això evita que els visitants quedin infectats mentre netejes el web.

Pas 3: Canvia totes les contrasenyes. Totes. La de WordPress, la de l’FTP, la del panell del hosting, la de la base de dades, la del correu corporatiu si fa servir el mateix domini. Fes servir contrasenyes de 16+ caràcters generades amb un gestor com 1Password o Bitwarden.

Pas 4: Escaneja el web amb una eina especialitzada.

• Sucuri SiteCheck (gratuït): escaneja el teu web i et diu si detecta malware, blacklist o vulnerabilitats conegudes.
• Wordfence (per a WordPress): escaneja tots els fitxers del teu web buscant codi maliciós.
• VirusTotal (gratuït): comprova si el teu domini està a llistes negres de seguretat.

Pas 5: Restaura una còpia de seguretat anterior a la infecció. Si tens còpies de seguretat (i hauries de tenir-ne), restaura’n una d’abans que comencessin els problemes. Comprova primer la data exacta de la infecció mirant els fitxers modificats.

Pas 6: Actualitza tot el programari. WordPress, plugins, temes, PHP, base de dades. Si hi ha plugins que ja no es mantenen, esborra’ls i busca alternatives actives.

Pas 7: Notifica a Google Search Console que has resolt el problema. A l’apartat “Problemes de seguretat”, clica “Sol·licita una revisió” un cop hagis netejat el web. Google revisa la sol·licitud entre 24 i 72 hores.

Pas 8: Si no en surts, contracta un professional. Empreses com Sucuri, Wordfence o consultors de ciberseguretat poden fer una neteja professional per entre 200 i 500 EUR. Mereix la pena: un web hackejat pot perdre milers d’euros en clients durant cada dia que segueix infectat.

4. Com prevenir-ho per al futur

Recuperar un web hackejat és car i estressant. Prevenir-ho és barat i fàcil. Aquestes són les 5 mesures bàsiques:

1. Actualitzacions automàtiques. Activa actualitzacions automàtiques per a WordPress core, plugins i temes. Si fas servir un altre CMS, configura recordatoris setmanals per actualitzar manualment.

2. Contrasenyes fortes i autenticació de dos factors (2FA). Mai facis servir “admin” o “123456”. Activa 2FA sempre que sigui possible (Google Authenticator, Authy).

3. Còpies de seguretat automàtiques i externes. Les còpies han de ser diàries i guardar-se fora del servidor (Google Drive, Dropbox, AWS S3). Una còpia al mateix servidor no serveix de res si el servidor està compromès.

4. Firewall a nivell de servidor o aplicació. Cloudflare, Sucuri o Wordfence ofereixen firewalls que bloquegen atacs coneguts abans que arribin al teu web. Hi ha versions gratuïtes que ja són útils.

5. Reduir la superfície d’atac. Cada plugin que afegeixes és un punt d’entrada potencial. Esborra plugins que no facis servir. Esborra temes que no estiguis utilitzant. Menys codi = menys vulnerabilitats.

5. Per què les webs serpixel són immunes a la majoria d’atacs

A serpixel no fem servir WordPress. Les nostres webs es construeixen amb Astro, un framework que genera HTML estàtic en el moment de publicar.

Què significa això per a la seguretat?

Sense base de dades. Cap query SQL, cap injecció possible, cap login a una base de dades.

Sense PHP. El servidor no executa cap codi quan algú visita el web. Només envia fitxers HTML pre-generats. Sense execució = sense vulnerabilitats d’execució.

Sense plugins de tercers vulnerables. Cada funcionalitat es construeix com a codi propi, revisat i auditat. No depenem de centenars de petits plugins fets per desenvolupadors anònims.

Sense panell d’administració públic. A WordPress, qualsevol pot intentar entrar a tudomini.com/wp-admin. A Astro, no hi ha panell d’admin: el web es genera des del repositori de codi i es publica via Git. Per atacar el web, un hacker hauria de comprometre el nostre repositori de GitHub i el procés de desplegament de Vercel.

CDN amb protecció DDoS inclosa. Vercel inclou protecció contra atacs de denegació de servei, bloqueig automàtic de bots maliciosos i monitoratge constant.

Resultat: als més de 12 mesos amb Astro, 0 atacs reeixits als webs que gestionem. No és sort, és arquitectura.

Què fem cada mes per protegir els nostres clients

A serpixel, com a part del manteniment integrat, cada mes:

1. Actualitzem totes les dependències de cada web i revisem si hi ha vulnerabilitats noves a npm advisories
2. Monitorem els logs de Vercel per detectar comportaments sospitosos
3. Verifiquem que el web no està a llistes negres amb Sucuri SiteCheck
4. Comprovem que Google Search Console no mostra problemes de seguretat
5. Fem còpies de seguretat automàtiques mitjançant Git (cada canvi es queda registrat)

Tot inclòs en el pla de creixement mensual. Sense serveis extra, sense plugins de pagament addicionals.

Vols saber si el teu web actual té problemes de seguretat? Demana’ns una auditoria gratuïta i fem un escaneig complet en menys de 24 hores. T’enviem un informe amb els problemes detectats i com solucionar-los.