Um site invadido com vírus costuma dar sinais antes de virar um problema grande: alerta de antivírus no navegador, redirecionamento para páginas estranhas, lentidão fora do normal ou aviso do Google dizendo que o site é perigoso. Quanto mais rápido você agir, menor o estrago com visitantes, vendas e posição nas buscas.
Isso acontece mais do que parece, e não só em sites pequenos ou esquecidos. Uma indústria que acompanhamos teve código malicioso injetado diretamente nos arquivos do site: por fora, a página continuava com a aparência normal, mas o navegador passou a mostrar alerta de antivírus para quem tentava entrar. Nenhum cliente clicou em nada suspeito, o problema estava escondido no próprio código do site. A Agência Spin cuida da segurança e da manutenção de sites para empresas de todo o Brasil, de forma 100% remota.
Em resumo: ao notar qualquer sinal de invasão, troque as senhas, isole o site, remova o código malicioso na origem e só depois peça reavaliação ao Google. Depois de limpo, mantenha atualizações, backup e firewall ativos para não repetir o problema.
Sinais de que o site foi invadido
O ataque nem sempre aparece visualmente. Muitas vezes o site continua com a cara de sempre e só alguns sinais indicam que algo mudou por trás dele:
- Alerta de antivírus ou do navegador: Chrome, Edge ou um antivírus avisam “site perigoso” ou “conteúdo malicioso” ao abrir a página.
- Redirecionamento estranho: o visitante entra no site e cai em outra página, geralmente de apostas, farmácia online ou produtos falsificados.
- Páginas e resultados que você não criou: aparecem no Google títulos ou páginas do seu domínio que não têm nada a ver com a empresa.
- Lentidão ou travamentos fora do padrão: o servidor passa a processar scripts maliciosos em segundo plano, além do normal.
- Queda repentina de tráfego ou de posição no Google: o Google detecta o problema antes de você e passa a esconder o site dos resultados.
- E-mails da hospedagem ou do Search Console: avisando sobre malware, phishing ou comportamento suspeito identificado no site.
O volume de brechas exploradas cresce ano após ano: só em 2025 foram descobertas 11.334 novas vulnerabilidades no ecossistema WordPress, 42% a mais do que em 2024, segundo o relatório State of WordPress Security in 2026, da Patchstack. Boa parte dos ataques recentes não cria arquivos novos e chamativos: insere código malicioso dentro de arquivos legítimos do tema ou de plugins já instalados, o que torna o problema mais difícil de perceber e de limpar sozinho.
O que fazer na primeira hora
Antes de sair apagando arquivos ou plugins ao acaso, siga esta ordem. Ela evita perder evidências do ataque e impede que o invasor volte a entrar enquanto você ainda está limpando o site.
Troque todas as senhas
WordPress, hospedagem, FTP e banco de dados. Se uma senha vazou, o invasor pode entrar de novo mesmo depois da limpeza.
Coloque o site em manutenção
Tire o site do ar para visitantes novos enquanto investiga, sem apagar nada ainda. Isso reduz o alcance do problema sem destruir evidências.
Guarde uma cópia do estado atual
Mesmo infectado, um backup do momento serve para comparar depois com a versão limpa e entender o que mudou.
Avise a hospedagem e sua equipe
A hospedagem pode confirmar se outros sites no mesmo servidor foram afetados e ajudar a isolar o problema mais rápido.
Não tente “limpar rápido” sem entender a causa
Apagar um plugin ou um arquivo ao acaso pode quebrar o site sem remover a porta de entrada que o invasor usou.
Como funciona a limpeza do site
A limpeza correta começa comparando os arquivos do site com uma versão limpa do mesmo tema e dos mesmos plugins, para achar o que foi alterado. Quando o arquivo é legítimo, mas contém um trecho malicioso injetado, o certo é remover só aquele trecho, não o arquivo inteiro.
Depois, é preciso revisar o banco de dados: usuários administradores criados sem autorização, opções do site alteradas e tarefas automáticas (cron) adicionadas pelo invasor costumam ficar escondidos ali. Só depois de confirmar que o site está limpo é que o WordPress, o tema e os plugins devem ser atualizados e o site deve voltar ao ar.
O último passo é pedir ao Google, pelo Search Console, a reavaliação do site. Enquanto esse pedido não é respondido, o site pode continuar marcado como perigoso ou sumir das buscas mesmo já estando limpo, o que reforça por que agir rápido faz diferença no resultado final.
Como prevenir uma nova invasão
Atualizações em dia
WordPress, tema e plugins sempre na versão mais recente. A maioria das invasões explora falhas já conhecidas e corrigidas, só que não instaladas.
Backup automático guardado fora do servidor
Um backup recente e testado é o que permite voltar a um ponto limpo em minutos, em vez de reconstruir o site do zero.
Senhas fortes e autenticação em duas etapas
Evita que uma senha vazada em outro serviço vire porta de entrada para o painel do site.
Firewall de aplicação
Um firewall bloqueia boa parte das tentativas de invasão antes que cheguem a executar qualquer código no site.
Hospedagem de qualidade
Monitoramento, isolamento entre contas e suporte rápido fazem diferença real na hora de um ataque. Veja como escolher uma boa hospedagem.
Só os plugins realmente necessários
Cada plugin instalado é uma porta a mais que pode ter uma falha. Menos plugins, atualizados e de fontes confiáveis, reduz o risco.
Na Agência Spin, isso já faz parte do que entregamos em criação e manutenção de sites: atualização, backup e monitoramento de segurança contínuos, para a empresa não depender de lembrar disso sozinha.
Seu site foi invadido ou você quer evitar que isso aconteça?
A Agência Spin limpa sites invadidos, remove código malicioso e coloca atualização, backup e segurança em dia. Atendimento 100% remoto, para empresas de todo o Brasil.
Perguntas frequentes
Como saber se meu site foi invadido?
Os sinais mais comuns são alerta de antivírus ao abrir o site, redirecionamento para outra página, queda repentina de tráfego ou posição no Google e e-mails da hospedagem avisando sobre malware. Às vezes o site continua com aparência normal e o problema só aparece no código.
Preciso tirar o site do ar enquanto limpo a invasão?
É recomendado colocar o site em manutenção para novos visitantes enquanto o problema é investigado e corrigido. Isso evita que mais pessoas sejam expostas ao código malicioso durante a limpeza.
Depois de limpar o site, o aviso do Google some sozinho?
Não. É preciso confirmar a limpeza e pedir uma reavaliação pelo Google Search Console. Até essa revisão ser concluída, o site pode continuar marcado como perigoso ou perder posições nas buscas.
Um site em WordPress é mais vulnerável a invasões?
O WordPress não é inseguro por natureza, mas é a plataforma mais usada no mundo, o que o torna um alvo mais visado. O risco real está em temas e plugins desatualizados ou de origem duvidosa, não na plataforma em si.
Como evitar que o site seja invadido de novo?
Mantenha WordPress, tema e plugins atualizados, use senhas fortes com autenticação em duas etapas, tenha backup automático guardado fora do servidor e conte com firewall e hospedagem de qualidade.
A Agência Spin ajuda empresas fora de Porto Alegre com esse problema?
Sim. Somos de Porto Alegre e atendemos empresas de todo o Brasil de forma 100% remota, tanto para limpeza de sites invadidos quanto para manutenção preventiva contínua.