Como saber se o site da sua empresa foi invadido (7 sinais)
Redirecionamentos estranhos, páginas novas, alertas de clientes e queda repentina no Google podem ser sinais de comprometimento. O mais importante é reconhecer o padrão sem apagar as pistas que ajudam a descobrir o que aconteceu.
O que observar Redirecionamento apenas no celular Comportamento diferente para quem vem do Google Conteúdo estranho que some quando o administrador está logado
Os sete sinais que mais merecem atenção
O visitante termina em cassino, promoção, aplicativo falso ou outro domínio.
O Google mostra títulos e caminhos estranhos.
Chrome, antivírus, hospedagem ou Search Console sinalizam risco.
Contas, chaves, plugins ou acessos surgem sem solicitação.
Datas, tamanhos ou conteúdo mudam sem atualização planejada.
O site perde posições ou ranqueia para termos sem relação.
Leads somem ou clientes recebem comunicação que ninguém enviou.
O sinal mais visível: redirecionamentos e conteúdo estranho
Se o site abre outra página, mostra pop-ups que você não instalou ou exibe conteúdo diferente dependendo do dispositivo, trate como incidente até provar o contrário. Teste em janela anônima e em outra rede, mas não fique repetindo acessos de forma descontrolada.
Registre a URL de origem, o destino, o horário, o navegador e uma captura da tela. Isso ajuda a entender se o comportamento depende de campanha, localização, cookie ou tipo de visitante.
- Redirecionamento apenas no celular
- Comportamento diferente para quem vem do Google
- Conteúdo estranho que some quando o administrador está logado
Sinais silenciosos no Google e na reputação
Uma invasão pode criar centenas de páginas automáticas para explorar a autoridade do domínio. Muitas vezes o dono descobre pelo Search Console, por uma queda de tráfego ou por alguém que pesquisou o nome da empresa e encontrou resultados suspeitos.
Pesquise pelo domínio e observe títulos, descrições e caminhos desconhecidos. Verifique também se há avisos de segurança, mas não remova URLs nem faça limpeza em massa antes de guardar o que encontrou.
Mudanças administrativas que ninguém explica
Contas novas, plugins ativados, tarefas agendadas, chaves de acesso e alterações de DNS precisam ter dono. Quando ninguém assume a mudança, o problema não é só técnico: é de rastreabilidade.
Revise registros da hospedagem, do CMS, do provedor de DNS e do e-mail corporativo. O objetivo é montar uma linha do tempo mínima, não encontrar culpado no impulso.
- Quem fez a última alteração legítima
- Quando surgiu o primeiro sinal
- Quais credenciais tinham acesso
- Se houve atualização ou migração no mesmo período
O que preservar antes de corrigir
Salve prints, cabeçalhos de e-mail, URLs, alertas, logs disponíveis, lista de usuários, lista de plugins e horários aproximados. Se a hospedagem permitir, faça uma cópia técnica do estado atual antes de sobrescrever arquivos.
Não publique logs com dados pessoais e não envie credenciais em grupos de mensagem. Centralize o material em local controlado e registre quem teve acesso.
Como diferenciar invasão de erro comum
Erro 500, certificado vencido, limite de hospedagem e falha de DNS podem derrubar um site sem invasão. A diferença costuma aparecer no conjunto de evidências: alteração não autorizada, novo usuário, código estranho, redirecionamento seletivo ou reputação comprometida.
Quando o problema é apenas disponibilidade, a recuperação tende a acompanhar a correção da infraestrutura. Quando há comprometimento, restaurar o serviço sem fechar a entrada pode fazer o problema voltar.
Quando solicitar uma análise externa
Se há mais de um sinal, se clientes foram afetados ou se ninguém consegue explicar o que mudou, vale analisar o domínio de fora para dentro. Essa visão mostra o que qualquer atacante consegue enxergar publicamente antes de tocar no ambiente.
No meu Raio-X, eu organizo a exposição encontrada, as prioridades e a ordem de correção em linguagem clara para o gestor.
Perguntas frequentes
Um site invadido sempre sai do ar?
Não. Muitos comprometimentos mantêm o site funcionando e alteram apenas parte do tráfego, o conteúdo indexado ou os bastidores.
Posso restaurar um backup imediatamente?
Pode ser necessário para recuperar a operação, mas primeiro registre o estado atual e confirme se o backup é anterior ao comprometimento.
Trocar a senha resolve?
É uma medida importante, mas não remove código malicioso, usuário oculto, chave exposta ou vulnerabilidade explorada.
O Raio-X é um pentest invasivo?
A proposta é uma análise externa e autorizada, com foco no que está exposto publicamente e na priorização de correções.
Organize o próximo passo sem perder evidências.
Se existe risco real, preserve os registros e siga o caminho de atendimento indicado neste guia.
Leandro Lucio
Especialista em Cyber Security e Digital Forensics, atua com gestão de vulnerabilidades, investigação digital, resposta a incidentes, pentest autorizado e proteção de ambientes online. Este conteúdo transforma segurança da informação em orientação prática para pessoas, famílias e negócios.
Conheça minha trajetória técnica →