Il tuo sito viene attaccato dal primo giorno, anche senza un solo cliente

C’è una convinzione diffusa tra chi apre un sito per la propria attività: «sono piccolo, chi vuoi che mi attacchi». È comprensibile, e purtroppo è sbagliata. Chi attacca i siti oggi non sceglie le vittime a mano. Manda dei programmi a bussare, uno dopo l’altro, su milioni di indirizzi, cercando una porta lasciata aperta. Al programma non interessa chi sei né quanto fatturi. Gli interessa solo se quella porta si apre.

Chi studia questi attacchi lo dimostra da anni con un metodo semplice: mette online un sito finto, che non ha pubblicizzato a nessuno, e misura chi si presenta. Il risultato è sempre lo stesso. Il primo a bussare non è una persona, è un programma, e arriva nel giro di pochi minuti dalla pubblicazione. Prima di qualunque cliente, prima che Google se ne accorga, prima ancora che tu abbia finito di sistemare i testi.

Cosa succede in un mese, con i numeri veri

Su un sito aziendale nuovo che seguiamo abbiamo tenuto il conto per 28 giorni. In quel mese le difese hanno respinto oltre ventunomila richieste ostili, arrivate da 373 indirizzi diversi. Nessuno era una persona al computer di casa: erano tutti server noleggiati nei centri dati, macchine che lavorano da sole giorno e notte.

La maggior parte era rumore: programmi che bussano a caso, con il nome sbagliato, sperando che qualcosa risponda. Ma quasi novemila di quei tentativi erano mirati, circa trecento al giorno, e cercavano una porta precisa. Nessuno ha trovato quello che cercava, perché il sito era stato costruito aspettandosi esattamente questo.

La cosa che colpisce, scorrendo quell’elenco una mattina qualsiasi, è la freddezza. Non c’è accanimento contro di te: c’è solo qualcuno che prova la maniglia della tua porta alle tre di notte, poi alle quattro, poi alle cinque, sperando che una volta tu abbia dimenticato di girare la chiave. Sempre con la stessa pazienza, sempre allo stesso modo.

Cosa cercano, davvero

I tentativi mirati non sono casuali. Cercano cose precise, sempre le stesse, perché sono le cose che più spesso qualcuno dimentica aperte.

Quasi due su tre andavano a caccia delle chiavi di casa: il file dove un sito tiene le proprie password e i propri codici d’accesso. Se lo trovano, entrano senza forzare niente, perché è come aver lasciato le chiavi sotto lo zerbino. Un altro gruppo cercava pannelli di controllo dimenticati aperti. E circa uno su dieci cercava WordPress.

Su questo vale la pena fermarsi, perché dice tutto. Il sito che abbiamo osservato non usa WordPress. Eppure la singola pagina più cercata in assoluto, per centinaia di volte, era la pagina di installazione di WordPress. Gli attacchi davano per scontato che il sito fosse fatto con WordPress, e provavano a entrare da lì. Non lo sceglievano: lo presumevano.

Perché proprio WordPress e le piattaforme già pronte

Non è un caso, ed è bene dirlo senza giri di parole. WordPress e le piattaforme simili fanno funzionare una parte enorme dei siti del mondo, e questo le rende il primo posto dove conviene provare a entrare. Ma il motivo vero è un altro, ed è nei numeri di chi la sicurezza la misura per lavoro.

Il grosso di questi sistemi non è fatto di un unico blocco, ma si allunga con decine di piccoli componenti aggiuntivi scritti da altri, i cosiddetti plugin. In un solo anno recente ne sono state contate quasi ottomila nuove falle, in crescita di oltre un terzo, e novantasei su cento stavano proprio in quei componenti, non nel cuore del sistema. Quattro su dieci si potevano sfruttare senza nemmeno una password. E chi ripulisce i siti violati per mestiere trova che circa il novantacinque per cento di quelli infetti gira su WordPress.

Non è un problema di nicchia. Il rapporto annuale di Verizon sulle violazioni, che è il riferimento del settore, ha registrato di recente una svolta: per la prima volta in vent’anni, sfruttare una falla è diventato il modo numero uno con cui gli aggressori entrano, e gli attacchi passati attraverso componenti e fornitori esterni sono raddoppiati.

La verità scomoda, che è anche la risposta

A questo punto sembra la storia di una tecnologia da evitare. Non è così, e chi te lo dicesse ti starebbe vendendo qualcosa. Un sito costruito su misura non è sicuro per magia. È sicuro solo quanto chi lo ha costruito.

La differenza vera è un’altra. Un sito su misura non porta con sé quella lunga fila di componenti scritti da altri, che nessuno aggiorna e che sono la porta d’ingresso più usata. Non ha un indirizzo di amministrazione noto a tutti, uguale a quello di milioni di altri siti, che i programmi provano per primo. Non condivide lo stesso codice con mezzo mondo, e quindi non eredita la falla che oggi colpisce mezzo mondo. Ha meno porte, e chi le ha messe sa dove sono.

Ma resta quella frase: vale quanto chi lo fa. Ed è esattamente il punto. La scelta non è tra una tecnologia e un’altra. È tra affidarsi a qualcosa che si aggiorna da solo sperando che basti, e avere davanti qualcuno che di quelle porte conosce ognuna, perché le ha aperte lui e sa come si chiudono.

La differenza pratica è tutta qui. Affidare la sicurezza a decine di componenti scritti da altri è come mettere lucchetti su una porta di cui non conosci i cardini: puoi aggiungerne quanti vuoi, ma non sai su cosa si reggono. In un sito costruito su misura da chi se ne intende, la sicurezza non è un cerotto messo alla fine. Sta nelle fondamenta: chi può entrare, cosa può vedere e dove finiscono i dati sono scelte fatte mentre il sito si costruisce, non aggiunte dopo. Le falle non si rincorrono una a una, perché in partenza manca la loro fonte più comune: quelle decine di pezzi altrui che nessuno controlla. Resta il codice del sito, che chi lo ha scritto conosce e sa dove guardare.

Perché è una decisione del primo giorno

Torniamo all’inizio, perché è lì che sta la cosa da capire. Gli attacchi non aspettano che tu abbia successo. Arrivano prima dei clienti, prima delle visite, prima che il sito conti qualcosa. Sono già lì il primo giorno.

Questo cambia quando conviene occuparsene. La sicurezza di un sito non è una cosa da aggiungere dopo, quando è successo qualcosa. Un sito hackerato non è sfortuna: è quasi sempre una porta lasciata aperta che nessuno aveva controllato. E quando è successo è già tardi: i dati sono già usciti, la casella di posta è già piena di finte richieste, il cliente ha già visto la pagina sostituita, e rimettere le cose a posto costa molto più che averle fatte bene all’inizio.

Deciderlo il primo giorno non vuol dire spendere una fortuna. Vuol dire fare le poche scelte giuste quando il sito si costruisce, invece di rincorrere i danni quando il sito è già online e gira. È una decisione piccola all’inizio e pesante alla fine, se la si rimanda.

Un punto di partenza

Se stai facendo un sito nuovo, o ne hai uno e non sai a che punto sei, la prima cosa utile non è comprare un prodotto. È capire dove sei.

Una verifica di sicurezza del tuo sito parte proprio da qui: si guarda cosa è esposto, cosa conviene chiudere, e in che ordine. Senza allarmismi e senza vendere paura, che di quella, come hai visto, ne gira già abbastanza da sola.

Se vuoi sapere dove si trova il tuo sito oggi, il primo passo è semplice: si guarda insieme cosa c’è e cosa conviene sistemare, in ordine di importanza.

Da qui si comincia: richiedi una verifica di sicurezza

Domande frequenti

Il mio sito è piccolo, perché dovrebbero attaccarlo?

Perché chi attacca non sceglie. Manda programmi automatici che provano milioni di indirizzi in cerca di una porta aperta, e al programma non interessa quanto sei grande. Piccolo non vuol dire invisibile: vuol dire solo meno difeso.

Come faccio a sapere se il mio sito è stato hackerato?

Spesso non da soli, ed è questo il problema. I segni si vedono quando il danno è avanzato: pagine cambiate, posta piena di richieste finte, avvisi di Google. Una verifica fatta da chi sa dove guardare li trova prima.

Quanto costa mettere in sicurezza un sito?

Meno di quanto costa rimediare dopo. Molto dipende da come è fatto il sito e da dove si parte, ed è proprio la prima verifica a dirlo: serve a sapere cosa serve davvero, invece di comprare alla cieca.

Le fonti

I dati esterni citati vengono da fonti indipendenti e pubbliche, per chi vuole andare a vedere:

Patchstack, State of WordPress Security 2025 (falle nei plugin)

Sucuri, rapporto sui siti violati (quota di WordPress tra gli infetti)

Verizon, Data Breach Investigations Report (come entrano gli aggressori)

HUMAN Security, sui programmi che scansionano i siti appena pubblicati