Como saber se seu site WordPress foi hackeado: 10 sinais de alerta

A maioria dos ataques a sites WordPress não é dramática. Hackers preferem passar despercebidos o maior tempo possível — quanto mais tempo o site continuar comprometido sem que o dono perceba, mais valor eles extraem dele: spam, redirecionamentos, mineração de criptomoeda ou simplesmente uma base para atacar outros sites.

Por que muitos donos de site só percebem quando já é tarde

Sem monitoramento ativo, o primeiro sinal de que algo está errado costuma vir de fora — um cliente reclamando de um redirecionamento estranho, ou o próprio Google avisando que o site está comprometido — e não de dentro. Nesse ponto, o problema já pode estar ativo há semanas ou meses.

Os 10 sinais mais comuns de um WordPress comprometido

• Redirecionamento automático para outro site: O visitante clica em um link do seu site e é levado para páginas de apostas, conteúdo adulto ou farmácias online — sinal clássico de script malicioso instalado no servidor.
• Aviso “Este site pode estar comprometido” no Google: O próprio Google exibe esse alerta diretamente nos resultados de busca, visível para qualquer pessoa que pesquise pela sua marca.
• Textos em japonês, chinês ou russo nas buscas pelo seu domínio: O chamado “Japanese SEO Spam”: páginas fantasmas em outros idiomas são criadas e indexadas dentro do seu domínio sem você perceber.
• Queda repentina de tráfego orgânico: O Google despriorizou seu site nos resultados de busca após identificar conteúdo malicioso ou páginas de spam vinculadas ao seu domínio.
• Lentidão extrema e uso anormal de CPU no servidor: Scripts de mineração de criptomoeda ou bots de spam consomem os recursos do servidor 24 horas por dia, sem que nenhum processo legítimo explique o consumo.
• Usuários administrativos que ninguém da equipe criou: Um novo usuário com acesso total ao painel do WordPress aparece do nada — geralmente o primeiro passo do invasor para garantir acesso permanente.
• Arquivos PHP desconhecidos em temas ou plugins: Arquivos com nomes estranhos ou código ofuscado (base64, eval, gzinflate) aparecem em pastas que você não mexeu recentemente.
• E-mails de abuso enviados pela hospedagem: Sua hospedagem notifica ou suspende a conta porque o servidor está sendo usado para disparar spam em massa sem o seu conhecimento.
• Google Ads ou Merchant Center suspensos: Suas campanhas param de rodar com o aviso de “software indesejado” ou “URLs suspeitas” — o malware comprometendo diretamente sua receita de tráfego pago.
• Erro crítico ou tela branca após uma atualização: Nem todo erro crítico é malware, mas quando ele aparece do nada, sem nenhuma atualização feita por você, vale investigar antes de simplesmente restaurar um backup antigo.

O que fazer se você identificar algum desses sinais

Não tente resolver sozinho apagando arquivos manualmente sem um backup completo antes. É comum piorar a situação, perder conteúdo legítimo ou deixar um backdoor escondido que permite ao invasor voltar semanas depois — mesmo depois de uma “limpeza” aparentemente bem-sucedida.

Como evitar que aconteça de novo

A grande maioria dos casos que atendemos tem uma causa em comum: falta de manutenção contínua. Plugins desatualizados, senhas fracas e ausência de backup testado são a porta de entrada para praticamente todos os sinais listados acima — e são exatamente o que uma rotina de manutenção preventiva resolve antes que vire um problema.