Siti vecchi e intelligenza artificiale: perché oggi rischiano di più

Per anni un piccolo sito poteva restare fermo senza grossi problemi: chi attaccava puntava ai bersagli grandi. Oggi non è più così. Gli attacchi sono automatici, e l'intelligenza artificiale ha reso più economico ogni passaggio: trovare i siti con software vecchio, adattare un attacco già noto, scrivere i contenuti da pubblicare. Un sito dimenticato su un server vecchio è uno dei bersagli più comodi.

Cosa è cambiato

• Trovare i siti deboli costa meno. Programmi automatici scansionano Internet di continuo e riconoscono versioni vecchie di PHP, del CMS e dei plugin, con falle note e documentate.
• Gli attacchi arrivano prima. Dalla descrizione pubblica di una falla al codice per sfruttarla passa sempre meno tempo, anche grazie agli strumenti di AI.
• I contenuti falsi si scrivono da soli. Una volta dentro, migliaia di pagine in italiano corretto e credibile si generano in pochi minuti. Non sono più i testi sgrammaticati di qualche anno fa, facili da riconoscere.
• Anche i moduli aperti vengono sfruttati. Commenti, registrazioni, recensioni e moduli senza protezione vengono riempiti da bot che scrivono come una persona.

Cosa pubblicano sul tuo dominio

Di rado l'obiettivo è il sito in sé: è la sua reputazione. Un dominio con anni di storia è considerato affidabile da Google e dai filtri delle email, e chi entra lo usa per pubblicare a nome tuo:

• pagine di spam per farmaci, scommesse o finti negozi, spesso nascoste ai visitatori ma visibili a Google
• pagine di phishing che imitano banche, corrieri o servizi noti
• reindirizzamenti verso truffe, magari solo per chi arriva da telefono o da Google
• link nascosti per spingere altri siti
• commenti, profili e annunci falsi, se il sito permette a chiunque di pubblicare

Le conseguenze ricadono su chi possiede il sito: Google lo segnala come pericoloso o lo fa sparire dai risultati, l'hosting lo sospende, le email del dominio finiscono nello spam, i clienti vedono il tuo marchio accanto a una truffa. Se dal sito passano dati personali, una violazione va valutata secondo il GDPR e, nei casi previsti, notificata al Garante entro 72 ore.

I segnali che il sito è a rischio

• Gira su PHP 8.1 o su una versione precedente. Anche la 8.2 smette di ricevere aggiornamenti di sicurezza il 31 dicembre 2026.
• Il CMS, il tema o i plugin non vengono aggiornati da anni, o non ne escono più versioni nuove.
• Nessuno sa più chi ha gli accessi a hosting e dominio, o il fornitore di allora non risponde.
• C'è ancora un'area commenti, un forum o una registrazione aperta che nessuno controlla.
• Non sai quando è stato fatto l'ultimo backup, né dove si trova.

Aggiornare o rifare

Se il sito è in buono stato basta aggiornarlo: PHP e server su versioni supportate, CMS e plugin aggiornati, codice incompatibile corretto. Lo spieghiamo nella pagina sull'aggiornamento di PHP e server e, per WordPress, in quella sull'aggiornamento di PHP su WordPress.

Se invece il sito è fermo da molti anni, gli aggiornamenti costano quasi quanto un sito nuovo e lasciano comunque in piedi codice vecchio. In quel caso un restyling è la scelta più sicura, a patto che la sicurezza sia un requisito fin dall'inizio e non un ritocco finale.

Un restyling fatto per durare

• Versione di PHP supportata per anni e server aggiornato.
• Meno plugin e meno codice: ogni pezzo in meno è una porta in meno.
• Niente pubblicazione libera: commenti, registrazioni e recensioni solo se servono davvero, con moderazione e protezione dai bot.
• Moduli protetti contro lo spam e limiti ai tentativi di accesso.
• Accessi intestati a te, password robuste e verifica in due passaggi per chi amministra.
• Backup automatici su un server esterno.
• Vecchi indirizzi reindirizzati ai nuovi, per non perdere le posizioni su Google.
• Aggiornamenti e controlli continui dopo la consegna.

L'ultimo punto conta quanto gli altri: un sito nuovo lasciato senza aggiornamenti torna vecchio in un paio d'anni. Per questo, dopo la consegna, possiamo continuare a occuparcene noi, ogni mese.

Se è già successo

Pagine strane tra i risultati di Google, avvisi del browser, l'hosting che sospende il sito: leggi cosa fare subito e la pagina sulla pulizia di un sito hackerato.