La comparsa nei risultati di ricerca di pagine che il gestore non ricorda di aver pubblicato può indicare un’intrusione, ma non sempre significa che l’intero sito sia compromesso. Alcuni attacchi creano contenuti visibili ai motori di ricerca e difficili da individuare durante una normale navigazione. Per un’attività locale, la priorità è verificare i fatti, limitare eventuali danni e conservare elementi utili a ricostruire l’accaduto.
Perché le pagine spam possono sfuggire ai controlli
Gli aggressori possono aggiungere URL nel database del CMS, modificare file del tema o intervenire sulle regole di riscrittura. In altri casi il contenuto viene mostrato solo a determinati visitatori o ai crawler, una tecnica nota come cloaking. Per questo motivo, aprire la homepage e alcune pagine interne non basta per escludere un problema.
Il primo controllo consiste nel cercare il dominio su Google con operatori come site:esempio.it e confrontare i risultati con la struttura reale del sito. Titoli in lingue inattese, pagine dedicate a scommesse o offerte commerciali estranee all’attività e URL con sequenze casuali meritano un esame. I risultati possono però restare in indice anche dopo la rimozione delle pagine: la loro presenza, da sola, non prova che il contenuto sia ancora online.
Verificare il link e le pagine sospette
Annotate gli URL anomali, il testo visualizzato nei risultati e la data del controllo. Se una pagina è accessibile, osservatela anche con il codice sorgente e con gli strumenti per sviluppatori del browser: un collegamento potrebbe non apparire nella versione grafica, pur essendo presente nell’HTML. La dicitura bonus senza deposito può essere cercata nel sorgente e nei contenuti del CMS per capire dove compare e a quale indirizzo conduce.
Confrontate poi la risposta ricevuta da un browser con quella registrata nei log del server e con l’ispezione dell’URL in Google Search Console. Se i contenuti differiscono a seconda dell’utente o del crawler, salvate le prove prima di modificare file o database. È utile annotare anche codici di risposta, reindirizzamenti e intestazioni HTTP. Evitate servizi di scansione non affidabili che chiedono credenziali amministrative.
Contenere l’incidente senza cancellare le prove
Prima di ripulire, create una copia dei file e del database e conservatela in un luogo separato. Aggiornate il CMS, i componenti aggiuntivi e il tema da fonti ufficiali; cambiate le password degli account amministrativi, FTP e hosting, attivando l’autenticazione a più fattori dove disponibile. Verificate inoltre gli utenti sconosciuti e le chiavi di accesso persistenti.
La rimozione delle sole pagine visibili potrebbe non bastare. Cercate file modificati di recente, account creati senza autorizzazione, script sospetti e regole aggiunte ai file di configurazione. Se non è chiaro quale componente abbia aperto la breccia, oppure il sito gestisce dati personali o pagamenti, coinvolgete un professionista: una pulizia parziale può lasciare una porta d’accesso attiva.
Richiedere la nuova scansione e prevenire recidive
Dopo aver eliminato la causa e verificato che le pagine restituiscano un errore coerente o siano state rimosse correttamente, usate Search Console per controllare gli URL e chiedere una nuova scansione. Lo strumento di rimozione può nascondere temporaneamente un risultato, ma non sostituisce la correzione sul server. Tenete un registro delle modifiche e monitorate nei giorni successivi sia gli accessi sia la comparsa di nuovi URL.
Per ridurre il rischio, mantenete backup verificabili, limitate i privilegi degli account e rimuovete estensioni inutilizzate. Un controllo periodico dei risultati indicizzati e dei log aiuta a distinguere un problema tecnico da una compromissione. La risposta più efficace combina verifica, contenimento e prevenzione, senza affidarsi soltanto alla scomparsa di una pagina dai risultati di ricerca.
