Como saber se seu site WordPress foi hackeado: 10 sinais e como conferir

Um site WordPress invadido nem sempre cai. Muitas vezes ele continua no ar, parecendo normal para você, enquanto redireciona visitantes, publica spam no Google ou deixa uma porta aberta para o invasor voltar. Este guia mostra os sinais mais comuns e como conferir cada um sem precisar ser especialista.

Os 10 sinais de que seu site pode estar hackeado

1. Redirecionamento para outro site

Visitantes caem em sites de golpe, cassino ou propaganda. Atenção: muito malware só redireciona quem chega pelo Google ou pelo celular, então abrir o site direto no seu computador pode parecer normal. Teste pelo celular, em uma aba anônima, chegando por uma busca no Google. Veja também o que fazer quando o WordPress redireciona para outro site.

2. Páginas estranhas no Google

Pesquise site:seudominio.com.br no Google. Se aparecerem páginas de remédio, cassino, produtos de marca ou texto em japonês que você nunca criou, é sinal clássico de invasão. Detalhes em spam em japonês no Google.

3. Aviso de “site perigoso” ou “site enganoso”

O navegador ou o Google mostra um alerta em vermelho. Veja como tratar o aviso de site perigoso.

4. Usuário administrador que você não criou

No painel, vá em Usuários e filtre por Administrador. Qualquer conta que você não reconhece é motivo de alerta.

5. Plugins ou temas desconhecidos

Plugins que você não instalou, ou com nomes parecidos com plugins conhecidos, são um sinal comum. Verifique também plugins que ficaram inativos e esquecidos.

6. Arquivos PHP onde não deveria ter

A pasta wp-content/uploads guarda imagens e documentos. Um arquivo .php ali dentro é altamente suspeito.

7. Site lento ou fora do ar de repente

Picos de uso de CPU, erro 500 ou lentidão inexplicável podem indicar scripts maliciosos rodando (envio de spam, mineração, ataques a terceiros).

8. E-mails que você não enviou

Clientes recebendo spam do seu domínio, ou e-mails de recuperação de senha que você não pediu.

9. Alterações que você não fez

Conteúdo mudado, links novos escondidos em páginas antigas, rodapé com links estranhos.

10. A hospedagem avisou

Suspensão por “atividade suspeita”, alerta de malware ou aviso de uso excessivo de recursos.

Como conferir em 10 minutos

1. Google: pesquise site:seudominio.com.br e navegue pelos resultados.
2. Google Search Console: abra o relatório de Problemas de segurança (se o site não estiver cadastrado, cadastre agora, é gratuito).
3. Usuários e plugins: confira a lista no painel do WordPress.
4. Teste como visitante: abra o site no celular, em aba anônima, vindo de uma busca.
5. Scanner online: serviços como o Sucuri SiteCheck ou o VirusTotal ajudam, mas só enxergam o que aparece para visitantes. Um resultado “limpo” não prova que o site está limpo.

Se você tem acesso por SSH e o WP-CLI instalado, estes comandos ajudam:

# Confere se os arquivos do núcleo do WordPress foram alterados
wp core verify-checksums

# Confere os plugins instalados a partir do repositório oficial
wp plugin verify-checksums --all

# Lista os administradores
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered

# Procura arquivos PHP dentro de uploads (não deveria ter nenhum)
find wp-content/uploads -type f -name "*.php"

Esses comandos dão pistas, não um veredito. Malware pode se esconder em plugins premium, no banco de dados e em arquivos com nomes comuns.

Confirmou ou suspeita? O que fazer agora

• Não entre em pânico e não apague tudo. Apagar sem entender pode destruir a evidência de por onde o invasor entrou.
• Faça um backup do site no estado atual (arquivos e banco de dados) antes de mexer.
• Troque as senhas do painel do WordPress, da hospedagem, do FTP/SFTP e do banco de dados, de preferência a partir de um computador que você sabe que está limpo.
• Avise a hospedagem. Algumas oferecem ajuda ou informações úteis, como logs.
• Evite só restaurar um backup antigo. Se a brecha continuar aberta, o site é invadido de novo.

O que não adianta

• Instalar vários plugins de segurança ao mesmo tempo. Eles podem conflitar e não resolvem o que já foi plantado.
• Apagar só o arquivo que o scanner apontou. Quase sempre há um backdoor escondido em outro lugar.
• Ignorar. Um site invadido tende a piorar: mais spam, mais penalidades no Google e risco para quem o visita.

---

Seu site está assim agora? Me manda o link no WhatsApp e eu confirmo o problema, o escopo e o valor antes de começar. Quer entender o processo antes? Veja como funciona a limpeza de malware.