Um site institucional hackeado é um problema técnico. Uma loja WooCommerce hackeada é um problema técnico, comercial e legal: há dados de clientes em jogo, encomendas a entrar e o RGPD a impor obrigações com prazos. Este guia cobre o que uma loja online tem de fazer diferente de um site normal — pela ordem certa.
Primeira hora: conter sem destruir
1. Ative o modo de manutenção — não desligue a loja. Um "site em manutenção, voltamos já" preserva a confiança; uma loja a servir malware destrói-a. Se o checkout está comprometido (ver abaixo), esta decisão não é opcional.
2. Verifique se o checkout foi comprometido. A pergunta mais urgente numa loja hackeada: os dados de pagamento dos clientes estão a ser roubados? O malware de "skimming" injeta JavaScript na página de checkout que copia os dados do cartão no momento em que o cliente os digita. Abra o checkout, inspecione os scripts carregados e procure domínios desconhecidos. Se usa redirecionamento para gateway externo (MB Way, PayPal, Stripe hosted), o risco é menor — mas o malware pode ter substituído o redirecionamento por uma página falsa.
3. Preserve a evidência. Backup completo do estado atual (ficheiros + base de dados) e exporte os logs de acesso do servidor. Vai precisar deles para perceber a extensão do acesso — e, se houver dados pessoais comprometidos, para a notificação à CNPD.
4. Mude todas as credenciais — WordPress, alojamento, FTP, base de dados, e as chaves API dos gateways de pagamento (Stripe, PayPal, Ifthenpay, etc.). Chaves de API comprometidas permitem criar reembolsos fraudulentos.
A dimensão legal: RGPD e notificação
Se o atacante teve acesso a dados pessoais de clientes (nomes, moradas, emails, históricos de compras — tudo o que uma loja WooCommerce guarda), está perante uma violação de dados pessoais nos termos do RGPD. As regras práticas:
72 horas — é o prazo para notificar a CNPD a partir do momento em que toma conhecimento da violação, quando há risco para os titulares. Documente tudo — mesmo que conclua que não há obrigação de notificar, o RGPD exige que a avaliação fique registada. Clientes — se o risco for elevado (dados de pagamento, passwords), tem também de os informar diretamente.
Não entre em pânico com multas: a CNPD valoriza resposta rápida e documentada. O erro grave não é ser atacado — é esconder ou ignorar. Para a componente técnica da conformidade, veja o nosso guia RGPD para PMEs: o que cumprir.
Limpar a loja sem perder encomendas
Aqui está a grande diferença técnica para um site normal: numa loja, não se pode simplesmente restaurar o backup de antes da infeção — perderia todas as encomendas, clientes e movimentos de stock desde essa data. O processo correto:
1. Restaurar/reconstruir os ficheiros a partir de fontes limpas (core, tema e plugins reinstalados de origem — o processo normal de limpeza de um site hackeado).
2. Limpar a base de dados atual em vez de a substituir: remover código injetado, utilizadores maliciosos e opções alteradas, preservando as tabelas de encomendas e clientes.
3. Auditar especificamente as tabelas WooCommerce: encomendas falsas, reembolsos não autorizados, cupões criados pelo atacante (cupões de 100% de desconto são um clássico) e contas de cliente com privilégios elevados.
4. Verificar os webhooks e chaves REST API do WooCommerce (WooCommerce → Definições → Avançado): atacantes registam webhooks para continuar a receber dados de encomendas depois da limpeza.
Depois da limpeza: recuperar a confiança
Google: se houve aviso de segurança, o pedido de revisão é prioritário — uma loja com aviso vermelho não vende nada. Processo em como remover o aviso de site perigoso.
Clientes: comunique com transparência e sem dramatismo: o que aconteceu, o que foi feito, o que devem fazer (tipicamente: mudar a password da conta na loja). Lojas que comunicam bem saem de um incidente com a reputação intacta.
Prevenção a sério: uma loja online não pode depender de "logo se vê". Atualizações semanais, firewall de aplicação, monitorização de alterações a ficheiros e backups diários testados com retenção longa. Numa loja, cada um destes itens paga-se com uma única encomenda não perdida — compare com o custo de um incidente como o que acabou de gerir.
A sua loja foi comprometida?
Intervenção de emergência para WooCommerce: contenção, verificação do checkout, limpeza sem perda de encomendas, apoio na avaliação RGPD e revisão do Google. Cada hora conta — fale connosco hoje.
Pedir intervenção urgente