Il sito è l’unico commerciale che lavora anche di notte: presenta l’azienda, raccoglie richieste, incassa ordini. Per questo, quando viene compromesso, il danno non è “il sito è giù”. È molto più silenzioso, e molto più costoso.
Cosa succede davvero
Il defacement — la homepage sostituita da una scritta — è il caso più famoso e il più raro. Nella pratica, un sito bucato di solito continua a funzionare in apparenza, mentre:
- reindirizza una parte dei visitatori verso siti truffa o farmacie online, spesso solo da mobile o solo da Google, così tu non te ne accorgi;
- pubblica migliaia di pagine spam che Google indicizza a tuo nome, in giapponese o sul gioco d’azzardo;
- distribuisce malware a chi lo visita, clienti inclusi;
- raccoglie i dati dei tuoi form — nomi, telefoni, email — e li porta fuori.
Nessuna di queste cose fa rumore. Le scopri settimane dopo, quando il danno è fatto.
I costi che nessuno mette in conto
Il ripristino tecnico è la voce più piccola. Le altre:
- La blacklist. Google marchia il sito come pericoloso: il browser mostra un avviso rosso, il traffico crolla e il posizionamento costruito in anni si sgretola in giorni.
- Le email in spam. Se il dominio finisce nelle liste nere, anche i tuoi preventivi e le tue fatture smettono di arrivare.
- Il GDPR. Se sono usciti dati personali, hai un data breach da valutare e, nei casi previsti, da notificare al Garante entro 72 ore. “Non me n’ero accorto” non è una difesa.
- La fiducia. Il cliente che ha visto l’avviso rosso sul tuo sito non ti chiamerà per avvisarti. Semplicemente non ti chiamerà.
Da dove entrano
Quasi mai da attacchi sofisticati. Quasi sempre da porte lasciate aperte: plugin e CMS non aggiornati da mesi, password deboli o riusate, accessi di ex fornitori mai revocati, hosting condivisi configurati male, form senza protezioni. Roba ordinaria, che si sistema con manutenzione ordinaria.
La checklist minima
Non è un programma di sicurezza completo: è la soglia sotto la quale non dovresti stare, qualunque sia la tua dimensione.
- Aggiornamenti programmati. CMS, plugin, temi, versione PHP: una finestra fissa al mese, non “quando capita”.
- Backup automatici, fuori dal server, testati. Un backup che non hai mai provato a ripristinare non è un backup: è una speranza.
- Autenticazione a due fattori su pannello di amministrazione, hosting e registrar del dominio. Sono le tre chiavi di casa.
- Accessi nominali e revoche. Ogni persona il suo utente; quando un collaboratore o un fornitore esce, il suo accesso esce con lui.
- HTTPS ovunque e header di sicurezza configurati: costa un’ora, chiude una classe intera di problemi.
- Monitoraggio. Un controllo su uptime e integrità dei file che ti avvisi lui, prima che lo faccia un cliente.
- Un piano scritto per il giorno brutto. Chi chiami, cosa spegni, cosa comunichi e a chi. Deciderlo durante l’incidente è il modo peggiore di deciderlo.
Il punto di partenza
Se leggendo la lista hai pensato “non so se lo stiamo facendo”, la risposta di solito è no — e va bene: si parte da lì. Nella nostra area Cyber Security l’assessment iniziale è senza impegno e restituisce priorità chiare, a partire da ciò che ti espone di più. Prevenire non è la voce di spesa più affascinante del budget. È solo quella che costa meno di tutte le alternative.