O susto do nada: você entra no seu site e algo está estranho. Páginas novas que você não criou, redirecionamentos bizarros, tráfego disparando de países que você nunca mirou. Parece quando a luz da sua loja acende sozinha de madrugada: sinal de que alguém mexeu onde não devia.
O contexto que importa: ataques automatizados estão mais frequentes e atingem desde blogs até e-commerces. A documentação do Google Search Central e o guia do web.dev explicam que sinais no Search Console, como o card de “Problemas de segurança”, são pistas claras de comprometimento. Se você se pergunta como saber se site foi invadido, o caminho começa lendo esses indícios sem pânico e com método.
O erro comum: trocar só a senha ou instalar um plugin “milagroso” raramente resolve. Invasões deixam backdoors persistentes, injetam spam de SEO e podem exibir conteúdo diferente para usuários e robôs (cloaking). Sem checar logs, arquivos e indexação, o problema volta — e o tráfego orgânico sofre.
O que você vai ganhar aqui: um guia direto, prático e atualizado para confirmar a invasão, conter o dano e recuperar reputação no Google. Vamos passar pelos sinais visíveis, checagens técnicas no Search Console e no servidor, varreduras com ferramentas confiáveis e um plano de prevenção com automações simples para você dormir tranquilo.
Sinais visíveis e de tráfego que entregam a invasão
Os sinais aparecem no dia a dia: quando algo foge do padrão no tráfego, no índice do Google ou no comportamento do site, acenda o alerta. O caminho é simples: observar, confirmar e agir rápido.
Quedas ou picos anormais no GA4 e Search Console
Cruze GA4 com Search Console para validar anomalias: quedas ou picos muito fora da curva podem indicar invasão, mas o Search Console teve uma anomalia de logging entre mai/2025 e abr/2026. Olhe tendências no GA4 e confirme no GSC apenas como apoio.
GSC mede exposição nas buscas e pode ter anomalias de dados, enquanto GA4 mede sessões reais. Divergências somadas a outros sinais fortalecem a suspeita.
Páginas e URLs estranhas no índice (spam em japonês/viagra)
Busque por páginas que você não criou: pesquise por site:seudominio.com e procure URLs estranhas indexadas, muitas vezes com termos em japonês, “viagra” ou apostas. Isso costuma vir de injeção de conteúdo e criação de diretórios ocultos.
Verifique o relatório de Páginas e a inspeção de URL no GSC. Se aparecerem clusters inteiros de paths desconhecidos, é sinal de spam SEO ativo.
Alertas de “Problemas de segurança” no Search Console
Cheque a área de Security Issues: ela aponta conteúdo hackeado, malware e páginas enganosas. Se houver alerta, trate como prioridade e siga o passo a passo para correção e pedido de revisão.
Use a inspeção de URL para validar páginas afetadas. Depois da limpeza, reenvie o sitemap e solicite reavaliação.
Navegadores bloqueando o site e avisos de phishing
Leve a sério bloqueios no navegador: avisos de phishing e páginas enganosas no Chrome, Edge ou sistemas de proteção indicam comprometimento. Normalmente há redirecionamentos ou páginas falsas hospedadas no seu domínio.
Revise o site em modo anônimo e dispositivos diferentes. Um bloqueio somado a redirecionamentos é um forte indício de invasão.
Lentidão repentina, alto uso de CPU e e-mails rebatendo
Observe desempenho do servidor e reputação de e-mail: picos de CPU e processos estranhos sugerem scripts maliciosos ou exploração de recursos. Se e-mails começarem a rebater, pode haver envio de spam a partir do seu domínio.
Confira logs de acesso/erro e tarefas agendadas. Limpando o envio indevido e corrigindo o site, a reputação tende a voltar.
Redirecionamentos forçados, pop-ups e anúncios ocultos
Teste navegação real: se o usuário é empurrado para outro domínio, vê pop-ups aleatórios ou anúncios que você não configurou, há grande chance de injeção no HTML, no tema ou via scripts de terceiros.
Examine o código-fonte e plugins recentes. Redirecionamentos combinados com URLs spam no índice formam um quadro clássico de invasão.
Confirmação técnica sem pânico
Confirme com calma e método: a ideia aqui é provar, com evidências, se há invasão. Você vai checar o Google, escanear o site, olhar arquivos e logs, e validar DNS e e-mail.
Checagem no Search Console: Segurança, Páginas, Remoções e Inspeção de URL
Comece pelo Search Console: verifique Security issues para alertas, o relatório de Pages para o que está indexado, Removals para bloquear temporariamente e a URL Inspection para testar o status real.
Para remoção definitiva, corrija o servidor e devolva 404/410. A remoção temporária sozinha não resolve a causa.
Varredura externa (Sucuri SiteCheck) e scanner específico (WPScan)
Use Sucuri e WPScan: o SiteCheck detecta malware visível, blocklists e SEO spam. O plugin da Sucuri ajuda a conferir integridade no WordPress. O WPScan aponta vulnerabilidades por versão de núcleo, temas e plugins.
Combine resultados com o que o servidor mostra. Alertas externos somados a arquivos alterados reforçam a prova.
Revisão de arquivos e logs (FTP/SSH, access/error logs)
Vasculhe arquivos e logs: conecte por FTP/SSH, revise access/error logs e procure picos de POST, execuções incomuns e caminhos que você não conhece.
Linhas com eval/base64, uploads em diretórios de mídia e tarefas agendadas estranhas indicam backdoor ativo.
Integridade do CMS: núcleo, temas e plugins (diff e checksums)
Compare o que mudou: rode diff e checksums no núcleo, temas e plugins. Arquivos que divergem do checksum oficial ou com data alterada sem motivo são suspeitos.
Atualize para versões seguras e remova componentes abandonados. Integridade válida reduz reinfecções.
Diferenças entre hack, SEO spam, cloaking e malware
Classifique o incidente: hack é o acesso não autorizado; SEO spam cria páginas/links abusivos; cloaking mostra conteúdo diferente para bots; malware é código que executa ações maliciosas.
Entender o tipo guia a limpeza. Cloaking, por exemplo, exige revisar regras do servidor e scripts condicionais.
Verificações de DNS, e-mails e redirecionamentos no servidor
Confirme a camada externa: valide DNS (A, CNAME, MX) e políticas de e-mail SPF/DKIM/DMARC. Veja se há redirecionamentos não autorizados em .htaccess, nginx ou no painel.
Headers de e-mail incoerentes e MX alterado sem mudança planejada indicam abuso do seu domínio.
Primeiros socorros para conter o dano
Aja rápido e com ordem: isole o site, troque acessos, aplique atualizações e faça a limpeza completa. Depois, normalize o SEO e monitore por alguns dias.
Isolamento: modo manutenção, bloqueio por IP e snapshot de backup
Coloque em modo manutenção e preserve um snapshot limpo: restrinja por IP, tire o site do ar para o público e gere um backup íntegro antes de alterar qualquer arquivo.
O Google recomenda restaurar conteúdo limpo e só então reabrir. Isole primeiro para conter danos e evitar reinfecção.
Troca de senhas e chaves, revogação de acessos e 2FA
Troque todas as senhas e chaves: admin, hospedagem, banco, FTP/SSH, CMS e tokens de API. Revogue sessões, remova usuários suspeitos e reforce com 2FA nos perfis críticos.
Guarde o novo backup em local seguro após a contenção.
Atualizações críticas de CMS/temas/plugins e remoção de backdoors
Aplique updates e remova backdoors: atualize CMS, temas e plugins para versões seguras. Repare arquivos alterados e reinstale componentes quando necessário.
Repita varreduras até não restarem alertas. Backdoors residuais causam reinfecção.
Limpeza de injeções: arquivos, banco de dados e cron jobs
Remova injeções em todas as camadas: arquivos, banco de dados e cron jobs. Busque eval/base64, iframes e scripts suspeitos. Compare alterações com versão limpa.
Uma única sobra maliciosa reativa o ataque. Escaneie de novo ao finalizar.
Revisão de sitemap, reindexação e solicitação de revisão no Google
Acerte o básico de indexação: atualize o sitemap, garanta que URLs removidas retornem 404/410 corretos e não estejam bloqueadas por robots.txt. Só então peça revisão no Search Console.
O objetivo é permitir novo rastreamento e remover rótulos de site invadido.
Monitoramento pós-limpeza: tráfego, erros e alertas de segurança
Monitore por dias: acompanhe tráfego, erros 4xx/5xx, criação de arquivos, logs e alertas de segurança. Faça nova varredura após a limpeza e confirme estabilidade.
Se houve dados pessoais expostos, notifique a ANPD e titulares conforme LGPD, e siga regras locais (ex.: GDPR) sobre prazos e conteúdo da comunicação.
Prevenção, automação e monitoramento contínuo
Previna com camadas e automação: pare ataques na borda, reduza o impacto com backups e acesso mínimo, mantenha tudo em dia e deixe os alertas trabalharem por você.
WAF/CDN (ex.: Cloudflare) e regras contra bots
Ative WAF/CDN e gerencie bots por score: use o bot score (1–99) para decisões. Bloqueie score = 1, aplique Managed Challenge em baixos scores e pule verified bots.
Exemplo de regra: bloquear “definitely automated” e desafiar “likely automated”. Crie exceções para recursos estáticos e parceiros confiáveis. Regras gerenciadas recebem novas assinaturas com o tempo.
Backups automáticos versionados e testes de restauração
Tenha backups versionados e teste a restauração: agende cópias diárias, semanais e mensais. Guarde fora do servidor e faça teste de restore periódico.
Sem teste, backup é esperança. Com teste, é plano real de recuperação.
Política de mínimos privilégios, senhas fortes e 2FA
Acesse só o necessário: aplique mínimos privilégios, use senhas fortes e ative 2FA no CMS, hospedagem e painéis. Revise acessos trimestralmente.
Revogue contas antigas e tokens não usados. Menos portas abertas, menos risco.
Rotina de patching e auditoria de plugins/temas
Atualize sem atrasar: mantenha patching contínuo para núcleo, temas e plugins. Remova itens obsoletos e audite permissões e origem dos componentes.
Agende janelas fixas e use ambiente de teste para validar antes de subir.
Alertas automáticos com GA4, Search Console e status do servidor
Configure alertas automáticos: no GA4, crie insights para picos/quedas de sessões; no Search Console, ative e-mails de Security issues; no servidor, monitore CPU, disco e erros.
Alertas combinados reduzem tempo de reação e evitam perdas longas.
Relatórios mensais: segurança, performance e SEO orgânico
Consolide tudo em um relatório: reúna segurança (incidentes e correções), performance (Core Web Vitals) e SEO (cliques, impressões e páginas limpas).
Use tendências para decidir o próximo mês. O que mede, melhora.
Conclusão: o que fazer a partir de agora
Se desconfia, aja agora: confirme os sinais claros, valide no Search Console e isole o site. Troque acessos, atualize tudo e remova backdoors. Ajuste a indexação com 404/410 corretos e peça revisão. Para evitar novo susto, mantenha WAF/CDN ativo, backups versionados, mínimos privilégios, patching contínuo e alertas automáticos. Se houve dados pessoais, atue sob a LGPD e comunique titulares quando aplicável.
Precisa de ajuda prática agora? A Mistura Tech conduz um plano direto: diagnóstico em GA4 e Search Console, varredura no servidor, limpeza e hardening, revisão de DNS/e-mail e configuração de WAF e alertas. Agende uma avaliação técnica com a Mistura Tech para confirmar a invasão, recuperar o site no Google e manter a proteção em funcionamento contínuo.
Key Takeaways
Aprenda a identificar, confirmar, conter e prevenir invasões em sites, protegendo SEO, reputação e dados com ações práticas e verificáveis.
- Reconheça sinais objetivos: picos/quedas anormais no GA4 e Search Console, URLs estranhas indexadas, Security Issues, avisos de phishing, lentidão/alto CPU e redirecionamentos/pop-ups.
- Valide com fontes confiáveis: use Search Console (Security issues, Pages, Removals, URL Inspection), Sucuri/WPScan e confirme com logs e diff/checksums.
- Isole e preserve evidências: modo manutenção, bloqueio por IP e snapshot/backup íntegro antes de qualquer alteração para conter danos e facilitar a recuperação.
- Troque acessos e endureça login: redefina senhas e chaves, revogue usuários/sessões e ative 2FA; remova tokens e integrações suspeitas.
- Atualize e remova backdoors: aplique updates em CMS/temas/plugins, reinstale componentes comprometidos e repita varreduras até zero alertas.
- Limpe arquivos, banco e tarefas: elimine injeções (eval/base64, iframes e scripts), revise cron jobs e reindexe apenas após ambiente limpo.
- Corrija indexação e peça revisão: atualize sitemap, garanta 404/410 corretos nas URLs removidas e solicite revisão no Search Console.
- Previna com camadas e métricas: ative WAF/CDN, mantenha backups versionados testados, mínimos privilégios e patching contínuo; automatize alertas e consolide relatórios mensais.
Segurança eficaz é rotina: detectar cedo, agir com método e manter camadas de proteção ativas garante recuperação rápida e estabilidade de SEO.
FAQ — como saber se site foi invadido (guia prático 2026)
Como verificar no Google Search Console se meu site foi invadido?
Abra Security issues para ver alertas de conteúdo hackeado, malware ou páginas enganosas. Use URL Inspection para checar páginas suspeitas e o relatório Pages para achar URLs estranhas. Se necessário, use Removals como ação temporária após corrigir o servidor.
Queda de tráfego no GA4: é invasão, desindexação ou penalidade?
Compare GA4 (sessões reais) com Search Console (impressões/cliques). Se o GA4 cai e há redirecionamentos, pop-ups ou avisos de phishing, suspeite de invasão. Queda só no GSC pode ser indexação/qualidade. Verifique Security issues e páginas spam no índice.
Quanto tempo leva para o Google remover o alerta após a limpeza?
Depois da correção, reenvio de sitemap e solicitação de revisão, a remoção do rótulo costuma levar 24–72 horas, podendo variar conforme volume e tipo do incidente. Garanta 404/410 corretos para URLs removidas e nenhum backdoor restante.
Qual a diferença entre hack, malware, spam e cloaking?
Hack é o acesso não autorizado. Malware é o código malicioso instalado. Spam SEO cria páginas/links indesejados. Cloaking mostra conteúdo diferente para usuários e robôs. Classificar o incidente guia a limpeza: arquivos, banco, regras do servidor e reindexação.
Como prevenir novas invasões e o que impacta o custo da limpeza?
Ative WAF/CDN e 2FA, use senhas fortes e mínimos privilégios, mantenha CMS/temas/plugins atualizados e faça backups versionados testados. Custos caem muito quando há backup limpo e escopo pequeno; aumentam com backdoors múltiplos, sem backups e necessidade de auditoria ampla.
