Site WordPress Hackeado: Como Identificar e Limpar

Descobrir que seu site WordPress foi hackeado é uma das piores situações para qualquer dono de negócio online. O Google exibe um aviso vermelho para os visitantes, a hospedagem suspende a conta, ou o site some do ar sem aviso nenhum. Acontece mais do que as pessoas imaginam. Aqui na Weboption, já atendemos mais de 300 sites comprometidos nos últimos anos, e posso dizer com convicção: a maioria dos casos tem solução, desde que você aja rápido e saiba onde olhar.

O WordPress alimenta cerca de 43% de todos os sites da internet. Isso faz dele o alvo favorito de bots automatizados que varrem a web em busca de vulnerabilidades conhecidas. Não é pessimismo, é estatística. E entender isso muda a forma como você protege o seu site.

Como saber se seu site WordPress foi hackeado

Nem todo ataque grita na tela. Muitos ficam invisíveis por semanas, exatamente para que o invasor continue usando o servidor sem ser detectado. Depois de auditar centenas de instalações, os sinais mais comuns que encontramos são:

• Redirecionamento automático para sites de spam ou conteúdo adulto
• Avisos no Google Search Console sobre conteúdo malicioso
• E-mails de spam saindo do seu domínio em volume anormal
• Arquivos PHP desconhecidos nas pastas wp-content/uploads ou wp-content/themes
• Novos usuários administradores que você não criou
• O site carrega normalmente para você, mas visitantes de outros países veem conteúdo estranho

Esse último cenário se chama cloaking. O invasor configura o malware para mostrar o site normal quando detecta o IP do administrador, escondendo o ataque de quem poderia consertá-lo. É exatamente esse tipo de infecção que leva semanas sem ser descoberta.

Para confirmar a suspeita, acesse o Google Search Console e veja se há alertas em “Problemas de segurança”. Rode o site também no Sucuri SiteCheck (sucuri.net/website-scanner), que é gratuito e identifica malware conhecido, blacklists e versões desatualizadas de plugins. Se os dois apontarem problema, você tem um site comprometido. Se só um aponta, investigue mais antes de agir.

O que fazer nas primeiras horas

A ordem das ações importa. Fazer tudo ao mesmo tempo pode apagar evidências ou piorar o problema.

Primeiro: coloque o site fora do ar ou ative modo de manutenção. Você não quer que visitantes continuem sendo expostos ao malware enquanto faz a limpeza. Se tiver acesso ao painel da hospedagem, suspenda o domínio temporariamente.

Segundo: tire um backup do estado atual, mesmo com o site hackeado. Parece contra-intuitivo, mas você vai precisar comparar os arquivos infectados com a versão limpa para entender exatamente o que foi alterado.

Terceiro: mude todas as senhas. WordPress, banco de dados, FTP e painel da hospedagem. Use senhas de pelo menos 20 caracteres geradas por um gerenciador como Bitwarden ou 1Password. Senhas fracas são a porta de entrada número dois em ataques ao WordPress.

Quarto: revogue e regenere as chaves de autenticação do WordPress. Abra o arquivo wp-config.php e substitua o bloco de AUTH_KEY, SECURE_AUTH_KEY e similares usando o gerador oficial em wordpress.org/secret-key/1.1/salt/. Isso invalida todas as sessões ativas, forçando qualquer invasor logado a sair imediatamente.

Limpeza manual do site WordPress hackeado

Se você tem experiência com servidor, a limpeza manual é a mais eficaz, porque você sabe o que está removendo. Comece pelos arquivos do core do WordPress.

Baixe a versão exata do WordPress que está instalada (disponível em wordpress.org/download/releases/) e compare os arquivos usando um cliente FTP como FileZilla com a função de comparação de diretórios, ou via SSH com o comando diff -rq wordpress/ /public_html/ --exclude wp-content. Qualquer arquivo no servidor que não exista na versão limpa é suspeito e precisa de investigação.

Os locais favoritos de malware no WordPress são:

• wp-includes/ com arquivos PHP extras fora do core oficial
• wp-content/uploads/ com arquivos.php disfarçados de imagens
• O próprio wp-config.php, onde costumam injetar código no topo ou no final do arquivo
• Arquivos .htaccess com redirecionamentos suspeitos inseridos no início

No banco de dados, verifique a tabela wp_users em busca de usuários administradores desconhecidos e a tabela wp_options pelos campos siteurl e home, que às vezes são alterados para domínios externos. Em um caso que atendemos em 2024, o invasor havia criado três usuários admin com e-mails gerados automaticamente. O cliente não tinha percebido porque todos começavam com o mesmo prefixo do domínio dele.

Plugins de limpeza que realmente funcionam

Para quem prefere uma abordagem assistida, alguns plugins fazem um trabalho sério. O Wordfence Security (versão gratuita disponível no repositório oficial) tem um scanner que compara cada arquivo do WordPress com o repositório oficial e sinaliza diferenças. A versão premium custa US$ 119 por ano e inclui um firewall com regras atualizadas em tempo real. Para a maioria dos sites, a versão gratuita já resolve.

O MalCare é outra opção sólida, com planos a partir de US$ 99 por ano. A vantagem é que ele faz o scan nos servidores próprios deles, sem sobrecarregar o seu site. O recurso de limpeza com um clique funciona bem para infecções simples. Casos mais graves ainda exigem intervenção manual.

O Sucuri Security oferece um serviço de limpeza profissional por US$ 199 por ano, com SLA de 6 horas para iniciar o atendimento. Vale para e-commerce ou portais que precisam voltar ao ar com urgência e não podem esperar.

O erro mais comum: limpar sem entender a causa

Aqui está a parte que ninguém gosta de ouvir: limpar o malware sem fechar a brecha que permitiu o ataque é jogar tempo e dinheiro fora. Em menos de 48 horas, o mesmo bot reinstala o backdoor. Vemos isso acontecer com frequência quando o cliente tenta resolver sozinho sem investigar a origem.

A causa principal de site WordPress hackeado, responsável por mais de 50% dos casos segundo dados da Sucuri de 2024, são plugins e temas desatualizados com vulnerabilidades conhecidas e publicadas. O Contact Form 7, o WooCommerce e o Elementor acumulam histórico de CVEs exatamente por serem muito populares. Uma versão antiga do Elementor Pro teve uma vulnerabilidade crítica em 2023 que permitia upload arbitrário de arquivos sem autenticação. Sites que não atualizaram em 30 dias ficaram expostos por semanas.

Outras causas frequentes: senhas fracas em contas de administrador, hospedagem compartilhada com outros sites comprometidos no mesmo servidor, e temas ou plugins obtidos de fontes não oficiais com backdoors já embutidos pelo distribuidor. Esse último caso é o pior, porque o malware chega junto com a instalação original e não aparece em nenhuma comparação de arquivos.

Depois de limpar, atualize tudo: WordPress core, todos os plugins, todos os temas. Desative e delete plugins que você não usa ativamente. Um plugin desativado mas instalado ainda pode ser explorado.

Como evitar que o problema se repita

Manutenção preventiva custa muito menos do que recuperação de emergência. No nosso trabalho, o custo médio de uma limpeza emergencial para e-commerce fica entre R$ 800 e R$ 2.500, dependendo da complexidade. Um plano mensal de manutenção que previne isso custa entre R$ 200 e R$ 600. A conta é simples.

Algumas medidas concretas que adotamos para todos os sites que gerenciamos:

• Autenticação de dois fatores para todos os usuários administradores, usando o plugin WP 2FA
• Firewall de aplicação web (WAF), seja o Cloudflare Pro (US$ 20/mês) ou o Sucuri Firewall (US$ 9,99/mês)
• Backups automáticos diários armazenados fora do servidor, com UpdraftPlus apontando para Google Drive ou Amazon S3
• Monitoramento de logins com WP Activity Log para receber alertas de acessos suspeitos
• Bloqueio de IPs após 3 tentativas de login falhas, usando Limit Login Attempts Reloaded

Troque o prefixo padrão das tabelas do banco de dados de wp_ para algo personalizado. Parece detalhe pequeno, mas dificulta ataques automatizados de SQL injection que assumem o prefixo padrão. Faça isso durante a instalação. Mudar depois é possível, mas mais trabalhoso.

Se o site é importante para o seu negócio, invista em um plano de manutenção mensal. Compare o custo mensal com o custo de perder posicionamento no Google após uma penalidade por malware, ou com horas de trabalho emergencial num domingo de manhã. Quem já passou por isso não questiona o valor da prevenção.

Se o seu site WordPress foi hackeado e você precisa de ajuda para limpar e proteger, a equipe da Weboption atende casos de emergência e oferece planos de manutenção preventiva. Fale com a gente em weboption.com.br/contato.

Veja também nosso conteúdo sobre segurança no WordPress e como estruturar uma rotina de manutenção que mantém o site no ar sem surpresas.

Perguntas frequentes

Como saber se meu site WordPress foi hackeado?

Os sinais mais comuns são redirecionamentos automáticos para outros sites, avisos no Google Search Console sobre conteúdo malicioso, e-mails de spam saindo do seu domínio, e usuários administradores que você não criou. Em alguns casos o site parece normal para você, mas visitantes de outros países veem conteúdo diferente. Rode uma verificação gratuita no Sucuri SiteCheck para confirmar.

Quanto tempo leva para limpar um site WordPress hackeado?

Depende da complexidade da infecção. Uma limpeza manual em um site simples leva entre 2 e 4 horas. Sites com e-commerce, múltiplos plugins ou infecções em banco de dados podem levar um dia inteiro de trabalho. O que mais afeta o tempo não é o tamanho do site, mas a profundidade da infecção e se o backdoor já foi identificado.

Meu site pode ser hackeado de novo depois de limpar?

Sim, se você não fechar a brecha original. Limpar o malware sem identificar e corrigir a vulnerabilidade que permitiu o acesso é temporário. A causa mais comum são plugins desatualizados. Depois de qualquer limpeza, atualize tudo, mude todas as senhas e instale um firewall de aplicação web.

Preciso contratar um especialista ou posso resolver sozinho?

Se você tem acesso a SSH, sabe comparar arquivos via linha de comando e entende a estrutura do WordPress, é possível fazer a limpeza manual. Para a maioria dos donos de site sem esse perfil técnico, contratar um especialista é mais rápido e reduz o risco de deixar algum backdoor para trás. O custo de uma limpeza profissional no Brasil fica entre R$ 500 e R$ 2.500 dependendo do escopo.

Plugin de segurança gratuito protege o WordPress?

Parcialmente. O Wordfence gratuito e o iThemes Security Free bloqueiam boa parte dos ataques automatizados e detectam malware conhecido. O que falta na versão gratuita costuma ser a atualização em tempo real das regras do firewall e o suporte prioritário. Para sites de baixo volume, a versão gratuita é suficiente. Para e-commerce ou sites que geram receita direta, vale investir na versão paga de um dos serviços.