Não, seu site de encanador em Salvador não vai ser hackeado por um grupo russo especializado. Você não é alvo. Mas bots automatizados escaneiam a internet 24/7 procurando qualquer site vulnerável — e não escolhem quem invadem. Se seu site é o mais fraco, é você.
O que acontece depois: hospedagem suspende sua conta (site invadido é fonte de spam), Google marca seu site como perigoso (some do buscador), cliente que entra recebe alerta assustador (some da confiança). E tudo isso pode ser evitado com práticas relativamente simples.
1. Login com força bruta
O que é: bot tenta senhas comuns ("admin", "123456", "senha") em /wp-admin, /admin, /administrator. Testa milhares por hora. Se um funcionário criou usuário "admin" com senha "123", eles entram em 2 segundos.
Fix:
- Zero usuário chamado "admin", "administrator", "root"
- Senha aleatória de 20+ caracteres (gerador de senha)
- 2FA em todos os usuários administrativos (Google Authenticator, plugin no WP)
- Rate limiting: 5 tentativas por IP a cada 15 min. Plugin Wordfence, Limit Login Attempts, ou config no servidor
- Renomear URL de login (WP: /wp-admin → /entrar-secreto) reduz 90% dos ataques automáticos
2. Plugins/temas desatualizados
O que é: 60% dos sites WordPress hackeados são via vulnerabilidade em plugin ou tema desatualizado. Bot varre lista pública de vulnerabilidades, encontra site com versão vulnerável, entra.
Fix:
- Update automático de plugins e temas quando disponível
- Update do WordPress core sempre em até 7 dias após lançamento
- Remove plugins que você não usa (mesmo desativado, pode ter vulnerabilidade explorável)
- Nunca instale plugin/tema pirata ("nulled"). Vem com backdoor 90% das vezes.
- Compre plugins de fontes oficiais (Envato, wordpress.org, plugin store oficial)
3. Injection SQL / XSS via formulário
O que é: atacante envia código malicioso no campo do formulário. Se o site não valida, o código é executado — pode roubar sessão, injetar script, extrair dados do banco.
Fix: aqui é código, não configuração. Se site foi feito com framework decente (Laravel, Symfony, WordPress bem-cuidado), ele já valida. Se foi feito à mão sem cuidado, é vulnerável.
- Nunca concatenar input do usuário direto em SQL — sempre prepared statements
- Escapar output que vai renderizar em HTML
- Sanitizar arquivo enviado (não aceitar .php, .exe, tipo mime validado)
- Se seu site é feito por dev, pergunte: "você usa prepared statements? Sanitiza input?". Resposta hesitante = red flag.
4. Ataque de negação de serviço (DDoS)
O que é: milhares de bots enviam requisições ao mesmo tempo. Seu servidor não aguenta. Site cai. Cliente não consegue acessar. Se você vende, perde receita direta.
Fix:
- Cloudflare gratuito resolve 95% dos casos de PME. DNS na Cloudflare, ativa proxy, ligado.
- Se ataque é grande e você é alvo específico (raro em PME): Cloudflare Pro (US$ 20/mês) ou similar
- Hospedagem com WAF (Web Application Firewall) integrado
5. Roubo de credenciais via phishing
O que é: e-mail falso do "cPanel" pedindo pra você logar. Você loga na página falsa. Atacante pega senha, entra no seu servidor real.
Fix:
- Sempre acesse o cPanel/hospedagem pelo bookmark salvo, nunca por link em e-mail
- 2FA no cPanel + no e-mail
- Treinar o time: nunca clicar em link de "suspensão de conta"
- Cuidado com e-mail que se passa por Google, PayPal, banco pedindo verificação
6. Certificado SSL expirado ou inexistente
O que é: site sem HTTPS (cadeado) — dado do formulário trafega em texto puro. Qualquer pessoa na mesma rede vê senha, cartão etc.
Fix:
- Let's Encrypt — SSL grátis, renova sozinho. Toda hospedagem decente oferece com 1 clique.
- Redirect 301 de HTTP pra HTTPS no
.htaccess - Force HSTS (browser força HTTPS mesmo se cliente digitar HTTP)
- Se SSL vencer, cliente vê alerta grande de "site não seguro" — desastre imediato
7. Vulnerabilidades em upload de arquivo
O que é: seu formulário deixa cliente enviar PDF/foto. Atacante envia arquivo foto.php disfarçado. Se servidor executa PHP na pasta de upload, atacante tem shell no seu servidor.
Fix:
- Whitelist de extensões permitidas (só .jpg, .png, .pdf explícito)
- Validar MIME type real (não só extensão)
- Renomear arquivo salvo (hash ou UUID)
- Bloquear execução PHP na pasta de upload (via
.htaccess) - Idealmente: upload vai pra S3/Storage separado, servidor só serve estático
8. Backdoor deixado por dev anterior
O que é: dev antigo que fez seu site deixou (intencional ou não) acesso pelo qual entra sem senha. Pode ser webshell.php escondido, usuário sem 2FA, ou credencial hardcoded.
Fix:
- Ao receber site novo/legado, faça varredura de arquivos (procure PHP suspeitos)
- Revise lista de usuários administrativos, remova quem não deveria estar lá
- Rotaciona senhas do banco, admin, FTP, SSH
- Contrata auditoria de segurança se site tem função crítica (loja, área do cliente)
Checklist rápido pra sua PME
- SSL Let's Encrypt ativo ✓
- WordPress + plugins todos atualizados ✓
- Zero usuário chamado "admin" ✓
- 2FA em todos admins ✓
- Backup 3-2-1 rodando + testado ✓ (ver post sobre backup)
- Cloudflare (mesmo grátis) na frente ✓
- Formulário com honeypot ou reCAPTCHA (contra spam de bot) ✓
- Auditoria semestral por profissional ✓
Sinais de que seu site já foi invadido
- Google Search Console mostra alerta de "conteúdo malicioso"
- Hospedagem manda e-mail sobre "uso irregular" ou "envio de spam"
- Cliente diz que viu "anúncio estranho" no site (redirecionamento pra site pornô/pirata é clássico)
- Aparece usuário admin que você não criou
- Arquivos com nomes suspeitos aparecem (
xxxx.php,wp-old.php,shell.php) - Site fica lento sem razão (CPU do servidor a 100% — bot minerando cripto)
O que fazer se foi hackeado
- Não pague resgate (se for ransomware). Não garante que devolvem, financia o crime.
- Isole o site (tira do ar via .htaccess bloqueando todos IPs, ou põe modo manutenção)
- Restaura do backup anterior ao ataque (por isso importa ter backups antigos!)
- Troca todas as senhas (banco, admin, FTP, e-mail)
- Auditoria: descobre COMO entraram e fecha o buraco (senão volta em 3 dias)
- Notifica Google Search Console pra reavaliar site (retira alerta)
- Se dados de cliente vazaram: obrigação LGPD de notificar em 72h
Como a Uma Nova Imagem ajuda
- Auditoria de segurança do site (a partir de R$ 800): scan completo, relatório de vulnerabilidades, plano de correção priorizado.
- Hardening + monitoramento (a partir de R$ 400/mês): aplicamos as práticas do checklist + monitoramos alterações suspeitas 24/7 + alerta se algo mudar sem sua autorização.
- Resposta a incidente: se você foi invadido agora, atendemos emergência em até 4h. Isolamos, restauramos, auditamos, blindamos.
Segurança perfeita não existe. Mas ser "mais seguro que 90% dos outros sites da sua vizinhança" já basta — bot vai atacar o mais fraco, não o seu. E o custo de fazer o básico é insignificante comparado ao de virar notícia de "site X vazou dados de clientes".
