Site invadido: 6 sinais de que o seu foi (e o que fazer)

Quando a gente pensa em "site invadido", imagina uma tela de caveira anunciando que foi hackeado. Mas a invasão de verdade quase nunca é assim. O invasor esperto não quer ser visto — ele quer ficar escondido, usando seu site pra ganhar dinheiro às suas custas. Por isso os sinais são sutis. E quanto mais cedo você percebe, menor o estrago. Aqui vão os 6 mais comuns.

1. Páginas e textos estranhos que você não criou

De repente seu site tem páginas vendendo remédio, jogo de azar ou produto pirata — em outro idioma, muitas vezes. Invasores plantam centenas dessas páginas escondidas pra se aproveitar da reputação do seu domínio. Você não vê navegando normal, mas o Google vê. E penaliza.

2. Quem clica no seu link cai noutro lugar

Um cliente diz: "abri seu site e fui parar numa página esquisita". Isso é um redirecionamento malicioso — um código plantado que desvia parte dos visitantes pra golpes ou anúncios. Costuma agir só com quem vem do celular ou da busca, por isso você, abrindo direto, pode não notar.

3. O site ficou lento ou caiu do nada

Site invadido muitas vezes é usado nos bastidores pra disparar spam ou rodar tarefas escondidas. Isso consome o servidor e deixa tudo arrastado — ou derruba o site sem explicação. Lentidão repentina, sem você ter mudado nada, merece desconfiança.

4. O Google ou o navegador começaram a avisar

Aquela tela vermelha de "site enganoso" ou o aviso de "não seguro" que apareceu do nada é um sinal forte. Significa que sistemas automáticos já detectaram algo errado — e já estão afastando seus visitantes na porta.

5. Avisos de login que não foram você

E-mails de "novo acesso à sua conta", senha de painel que parou de funcionar, usuário administrador que você não criou apareceu na lista. Tudo isso indica que alguém entrou onde não devia.

6. A hospedagem te avisou (ou suspendeu o site)

Às vezes quem percebe primeiro é a empresa de hospedagem, que detecta atividade estranha e te manda um aviso — ou, no pior caso, suspende seu site pra conter o problema. Se receber um e-mail desses, leve a sério; não é spam.

O que fazer se desconfiar

Percebeu um ou mais sinais? Aja rápido, na ordem certa — pressa sem método piora as coisas:

1. Troque todas as senhas agora. Painel do site, hospedagem, e-mail, FTP. Use senhas fortes e diferentes. Isso fecha a porta antes de qualquer limpeza.
2. Avise sua hospedagem. Eles têm ferramentas pra confirmar a invasão e, muitas vezes, ajudam a limpar. Não enfrente sozinho se não domina o assunto.
3. Não apague tudo no desespero. Antes de mexer, garanta uma cópia do estado atual — pode ser preciso pra entender por onde entraram.
4. Limpe a fundo: remova páginas e arquivos plantados, atualize sistema, plugins e temas, e apague usuários administradores que você não reconhece.
5. Restaure um backup limpo, se tiver um de antes da invasão. É o caminho mais rápido e seguro pra voltar ao normal.
6. Peça revisão ao Google (pelo Search Console) se seu site levou aviso de segurança, pra limpar seu nome nas buscas.

Reagir cedo é tudo

Site invadido não é fim do mundo, mas é uma corrida contra o tempo: quanto mais dias escondido, mais clientes perdidos, mais risco de cair na lista negra do Google e mais trabalho pra limpar. Fique atento aos sinais, olhe seu site de fora de vez em quando e, acima de tudo, mantenha tudo atualizado e com backup. A invasão que você percebe na primeira semana custa muito menos que a descoberta meses depois.

Para se prevenir e reagir, veja por que seu site pode estar na lista negra do Google e como o backup é o seguro que todo mundo esquece.