C'è una domanda che pongo sempre a un nuovo cliente, prima ancora di parlare di prezzi o di scadenze: "Chi controlla il tuo sito quando tu non lo stai guardando?". Nella maggior parte dei casi la risposta è un silenzio imbarazzato, oppure un "l'hosting, dovrebbero pensarci loro". Ecco, questo articolo nasce proprio da un caso che dimostra quanto quella risposta possa costare cara.
Racconto qui una vicenda realmente accaduta a un cliente che si è rivolto a me dopo aver perso, di fatto, il proprio sito web per dieci mesi. Non un rallentamento, non un fastidio temporaneo: dieci mesi in cui il sito è stato irraggiungibile o, peggio, ha lavorato per qualcun altro.
Come è iniziato tutto
Il cliente utilizzava un hosting che, sulla carta, sembrava una scelta normale: economico, diffuso, "tanto funziona da anni". Il problema non era il fornitore in sé, ma l'assenza totale di controllo su ciò che succedeva sul server. Nessun monitoraggio delle risorse, nessun avviso in caso di anomalie, nessuno che verificasse periodicamente lo stato di salute tecnico del sito.
Analizzando la situazione ho scoperto che il server ospitante gestiva, ogni giorno, circa 40.000 processi. Per capirci: un processo è un'operazione che il server deve eseguire, che sia caricare una pagina, eseguire uno script PHP o rispondere a una richiesta di un bot. Quando questo numero cresce a dismisura e in modo anomalo, il server entra in sofferenza: PHP rallenta, WordPress fatica a rispondere, il sito va in timeout. È esattamente quello che stava accadendo, giorno dopo giorno, senza che nessuno se ne accorgesse.
A peggiorare la situazione, i plugin del sito non erano aggiornati da tempo. E qui arriviamo al primo punto che ogni azienda dovrebbe tenere a mente: un plugin non aggiornato non è semplicemente una funzionalità che "manca di qualche novità". È una porta lasciata socchiusa. Gli sviluppatori dei plugin rilasciano aggiornamenti anche, e soprattutto, per correggere vulnerabilità di sicurezza. Ignorarli per mesi o anni significa lasciare a disposizione di chiunque sappia cercarle delle falle già documentate pubblicamente.
Il primo attacco: un campanello d'allarme ignorato
Il primo segnale concreto risale alla fine del 2023. Il sito ha subito un primo attacco, ma non essendoci alcun sistema di monitoraggio attivo, nessuno se n'è accorto. Nessun log controllato, nessun alert, nessuna verifica periodica dello stato dei file o del database. Il sito ha continuato a funzionare, apparentemente, mentre nel frattempo restava esposto e compromesso.
Questo è forse l'aspetto più importante da comprendere per chi non lavora nel settore tecnico: un sito può sembrare perfettamente funzionante agli occhi di chi lo visita e, allo stesso tempo, essere già nelle mani di qualcun altro. La differenza tra un incidente gestibile e un disastro non sta quasi mai nell'attacco in sé, ma nel tempo che intercorre tra la violazione e la sua scoperta.
Il secondo attacco: 16.713 motivi per fare attenzione
Il colpo decisivo è arrivato a ottobre del 2025, quasi due anni dopo. Un attacco massiccio ha sfruttato le stesse debolezze mai risolte: WordPress e plugin obsoleti. Il risultato è stato la creazione automatizzata di ben 16.713 articoli fasulli all'interno del sito, tutti a tema scommesse e casinò online.
Questa tecnica, purtroppo comune, si chiama spam SEO injection. Gli attaccanti non cancellano il sito, anzi: lo mantengono in vita apparentemente, ma lo riempiono di contenuti pensati per sfruttare l'autorevolezza del dominio agli occhi dei motori di ricerca, promuovendo piattaforme di gioco d'azzardo, spesso illegali, o veri e propri portali di truffa. Il dominio del cliente, costruito nel tempo con lavoro serio, è stato utilizzato per scopi completamente estranei alla sua attività, con inevitabili conseguenze anche sulla reputazione online e sul posizionamento nei motori di ricerca.
Da quel momento il sito è rimasto sostanzialmente inutilizzabile, inaccessibile o inaffidabile, fino al mio intervento: dieci mesi in cui l'azienda ha di fatto perso il proprio principale strumento di comunicazione digitale.
Cosa ho fatto per recuperare la situazione
Il lavoro di recupero si è sviluppato su più fronti, ognuno necessario per evitare che il problema si ripresentasse a distanza di poco tempo.
Bonifica completa del sito. Ho rimosso ogni traccia dei contenuti iniettati, verificato file per file l'integrità del codice sorgente e confrontato la struttura del sito con un'installazione pulita, per individuare eventuali file malevoli camuffati da file di sistema legittimi.
Migrazione verso un hosting affidabile. Ho spostato l'intero progetto su un server con caratteristiche tecniche adeguate al reale traffico del sito, testato preventivamente e con margini di risorse sufficienti a gestire picchi anomali senza andare in sofferenza.
Aggiornamento e messa in sicurezza dell'ambiente. Tema e plugin non conformi sono stati sostituiti con alternative aggiornate, mantenute attivamente e compatibili con le versioni più recenti di WordPress. Ho inoltre applicato le configurazioni di sicurezza di base che avrebbero dovuto essere presenti fin dal primo giorno: permessi corretti sui file, protezione delle aree amministrative, blocco dell'esecuzione di script nelle cartelle che non ne hanno bisogno.
Attivazione del monitoraggio. Ultimo passaggio, ma probabilmente il più importante: ho messo in piedi un sistema di controllo costante dello stato del sito, in grado di segnalare tempestivamente comportamenti anomali prima che possano trasformarsi in un secondo disastro.
La lezione più importante: il problema non era tecnico, era organizzativo
Se dovessi individuare la causa radice di questa vicenda, non la troverei in un singolo plugin vulnerabile o in un hosting scadente. La troverei nell'assenza di qualcuno che, con regolarità, si prendesse la responsabilità di controllare che tutto funzionasse a dovere.
È lo stesso principio per cui un'azienda fa la manutenzione periodica di un impianto elettrico o dei propri macchinari, anche quando apparentemente tutto funziona. Un sito web non è un progetto che si conclude alla pubblicazione online. È un sistema vivo, esposto alla rete, che va tenuto sotto controllo con la stessa costanza con cui si tiene sotto controllo un conto corrente aziendale.
Nel caso specifico, un piano annuale di monitoraggio e manutenzione attivato prima della fine del 2023 avrebbe permesso di intercettare il primo attacco quando era ancora un episodio isolato e gestibile in poche ore, evitando del tutto il secondo, ben più grave, e i dieci mesi di fermo che ne sono seguiti. Il costo di un controllo costante, distribuito nell'arco di due anni, sarebbe stato una piccola frazione di quanto l'azienda ha perso in termini di visibilità, posizionamento nei motori di ricerca e mancata comunicazione con i propri clienti.
Alcuni segnali da non sottovalutare mai
Per chi gestisce un sito WordPress, anche senza competenze tecniche, ci sono alcuni segnali che meritano sempre una verifica immediata da parte di un professionista:
- Il sito diventa improvvisamente più lento del solito, senza una ragione apparente legata a un aumento reale delle visite.
- Compaiono nei risultati di Google pagine del proprio sito che non sono mai state create da chi gestisce i contenuti.
- I plugin o il tema non ricevono aggiornamenti da diversi mesi e nessuno verifica se siano ancora mantenuti attivamente dai loro sviluppatori.
- Non esiste alcun sistema di notifica in caso di malfunzionamento o fermo del sito.
- Nessuno, all'interno dell'azienda o tra i fornitori, sa rispondere con certezza alla domanda: "chi controlla il sito, e con quale frequenza?".
Se anche solo uno di questi punti suona familiare, vale la pena fermarsi cinque minuti e verificare lo stato reale del proprio sito, prima che lo faccia qualcun altro al posto vostro.
Conclusione
Quello che ho raccontato non è un caso isolato o un'eccezione. È quello che accade, con variazioni minime, a molte piccole e medie aziende che considerano il sito web un progetto concluso una volta online, invece che un sistema da presidiare nel tempo. La differenza tra un incidente di poche ore e un fermo di dieci mesi, nella mia esperienza, sta quasi sempre nella presenza o assenza di un controllo costante.
Se gestisci un sito WordPress e non hai la certezza di cosa stia succedendo sul tuo server in questo momento, è probabilmente il momento giusto per parlarne con chi può verificarlo per te. Sono a disposizione per una chiacchierata conoscitiva per capire lo stato di salute reale del tuo sito, senza impegno.