Blog > WordPress
Seu site WordPress pode estar invadido agora (e você não sabe)
13 de outubro de 2026
Site invadido quase nunca fica desconfigurado: ele continua abrindo normal enquanto trabalha escondido para outra pessoa. Os sinais existem, só não são os que a gente espera.
A descoberta costuma vir de fora. Um cliente avisa que apareceu “site enganoso” no navegador. Os e-mails começam a voltar. As visitas do Google despencam de um dia para o outro.
E, quando alguém vai olhar, a invasão já estava lá havia semanas.
Por que alguém invadiria o site da minha empresa?
Ninguém escolheu você. Na maior parte dos casos são robôs varrendo a internet atrás da mesma falha conhecida, em milhares de sites por dia. Quem não atualizou entra na lista.
O site invadido vira ferramenta: hospeda página de golpe, dispara spam, esconde links para outros sites ou minera dados de quem preenche seus formulários.
Dá para ter ideia do tamanho disso: só no primeiro trimestre de 2026, a Wordfence registrou 2.738 vulnerabilidades em plugins do WordPress. E uma falha divulgada em maio de 2026, no plugin Burst Statistics, permitia entrar como administrador sem senha em algo perto de 200 mil sites.
Por onde os invasores entram?
| Porta de entrada | Por que acontece | Como fechar |
|---|---|---|
| Plugin desatualizado | A falha vira pública e o robô procura quem não atualizou | Atualizar sempre e remover o que não usa |
| Tema pirata | Versão “premium de graça” costuma vir com código escondido | Usar só tema oficial |
| Senha fraca | Tentativas automáticas de login o dia inteiro | Senha longa, única, com 2 fatores |
| Hospedagem descuidada | PHP antigo e vizinhança infectada | Plano atualizado e isolado |
| Acesso antigo | Ex-fornecedor ou ex-funcionário ainda com login | Revisar usuários a cada trimestre |
Quais são os sinais de que o site já foi invadido?
- Páginas que você não criou. Pesquise site:seudominio.com.br no Google e veja se aparecem endereços estranhos.
- Usuário administrador novo. Em Usuários, qualquer conta que ninguém reconhece é sinal de alerta.
- O site ficou lento do nada. Pode estar processando tarefa de outra pessoa.
- E-mails voltando ou caindo em spam. Seu domínio pode ter virado disparador.
- Aviso do navegador ou do Search Console. O Google costuma avisar antes de você perceber, em Segurança e ações manuais.
Um sinal sozinho pode ser outra coisa. Dois ou mais juntos pedem verificação imediata.
O que fazer hoje para reduzir o risco?
Quatro passos que levam cerca de 30 minutos:
- Atualize tudo: WordPress, tema e plugins. Desinstale o que não é usado, porque plugin desativado também tem código no servidor.
- Troque as senhas do painel, da hospedagem e do e-mail, e ative a verificação em duas etapas.
- Revise os usuários e apague quem não precisa mais de acesso. Dê permissão de editor a quem só escreve.
- Confira o backup: onde ele é salvo, de quanto em quanto tempo e, principalmente, se já foi testada uma restauração.
Vale também manter a hospedagem com PHP atualizado e certificado válido.
Como limpar um site que já foi invadido?
O caminho é restaurar um backup anterior à invasão, atualizar tudo, trocar todas as senhas e só então colocar o site no ar de novo. Depois, peça a revisão no Google Search Console para tirar o aviso de segurança.
Apagar o arquivo estranho e seguir a vida costuma não resolver: o invasor quase sempre deixa uma porta extra para voltar. Se o site guarda dados de clientes, a LGPD ainda pede registro do incidente e, dependendo do caso, comunicação aos titulares.
Perguntas frequentes
WordPress é inseguro?
Não. O WordPress é o sistema mais usado do mundo, e é justamente isso que o torna alvo. A maioria das invasões explora plugin ou tema desatualizado, não o WordPress em si.
Site pequeno também é invadido?
Sim, e com frequência. O ataque é automático e não olha o tamanho da empresa. Site pequeno costuma ser mais fácil, porque fica meses sem atualização.
Plugin de segurança resolve sozinho?
Ajuda, mas não substitui atualização, senha forte e backup testado. Ele reduz tentativas; a porta aberta continua aberta.
Invasão derruba meu site do Google?
Pode. O Google sinaliza páginas comprometidas e exibe aviso ao visitante, o que derruba as visitas. Depois da limpeza, a recuperação leva um tempo de SEO.
De quanto em quanto tempo devo atualizar o site?
Mensalmente, no mínimo, sempre com backup antes. Falhas críticas pedem atualização assim que são anunciadas.
Quem cuida do seu site depois que ele fica pronto?
Limpar um site invadido custa mais caro que mantê-lo cuidado. A Claquim faz criação de sites em WordPress e cuida da manutenção e da hospedagem: atualização, backup testado e monitoramento, para o site não virar problema no meio da semana.