Hosting violato: cosa fare per proteggere sito, email e PC aziendali

Quando scopri che il tuo hosting, il sito web o le caselle email aziendali potrebbero essere stati compromessi, cambiare immediatamente tutte le password non è sempre sufficiente. Se uno dei computer utilizzati per accedere ai servizi contiene un malware capace di sottrarre credenziali, anche le nuove password potrebbero essere intercettate.

La risposta deve quindi coinvolgere sia l'infrastruttura online sia i dispositivi aziendali. Occorre contenere gli accessi non autorizzati, contattare il provider, verificare le postazioni potenzialmente coinvolte e ripristinare le credenziali da dispositivi affidabili. In parallelo bisogna conservare le informazioni necessarie a ricostruire l'incidente.

In breve: se sospetti una violazione dell'hosting, contatta subito il provider e metti in sicurezza gli accessi compromessi. Verifica con strumenti antivirus e antimalware aggiornati i computer che utilizzano gli account coinvolti, cambia le credenziali da postazioni affidabili, revoca le sessioni attive e monitora eventuali anomalie successive. Se sono coinvolti dati personali, valuta tempestivamente gli obblighi previsti dal GDPR.

Questa guida offre un orientamento operativo e non sostituisce una valutazione professionale sul caso specifico.

Come riconoscere una possibile violazione dell'hosting

Una compromissione dell'hosting non comporta necessariamente l'interruzione del sito web.

In alcuni casi, il sito continua a funzionare normalmente mentre un soggetto non autorizzato accede alle caselle email, modifica file o utilizza credenziali sottratte.

Tra i segnali da verificare troviamo:

• Accessi sconosciuti: notifiche di login da dispositivi o posizioni non riconosciute.
• Password modificate: credenziali che smettono di funzionare senza un intervento autorizzato.
• Email sospette: messaggi inviati dall'azienda senza che il personale li abbia scritti.
• File modificati: pagine, script o contenuti comparsi senza autorizzazione.
• Inoltri email sconosciuti: messaggi aziendali reindirizzati verso indirizzi esterni.
• Avvisi del provider: comunicazioni ufficiali su accessi anomali, credenziali esposte o problemi di sicurezza.

Questi elementi non dimostrano necessariamente che sia avvenuto un attacco, ma richiedono una verifica.

Il primo passaggio è controllare le comunicazioni attraverso i canali ufficiali del fornitore, evitando di inserire credenziali nei collegamenti ricevuti via email.

Il caso DreamHost di ottobre 2026

Il 29 ottobre 2026 DreamHost ha pubblicato una comunicazione relativa a un incidente informatico che ha coinvolto il proprio File Manager, lo strumento utilizzato per gestire i file dei siti web.

Secondo quanto dichiarato dall'azienda, un soggetto non autorizzato ha sfruttato una vulnerabilità del software, ottenendo accesso a credenziali FTP/SFTP e, in alcuni casi, a informazioni relative agli account webmail.

La compromissione ha interessato una parte limitata degli account, con attività risalenti al periodo compreso tra agosto e il 23 ottobre 2026.

DreamHost ha dichiarato di aver disattivato temporaneamente il servizio coinvolto, corretto la vulnerabilità, reimpostato le credenziali potenzialmente esposte e terminato le sessioni interessate.

Il caso è documentato nel comunicato ufficiale di DreamHost.

L'incidente mostra perché un sito apparentemente funzionante non sia sufficiente per escludere una compromissione.

Dimostra inoltre che la causa può trovarsi nell'infrastruttura del provider, indipendentemente dalla presenza di malware sui computer dei clienti.

Le tre possibili origini di una compromissione

Prima di intervenire è importante distinguere dove potrebbe essersi verificato il problema.

Una violazione può partire dai sistemi del provider, da un dispositivo utilizzato dal personale oppure da una vulnerabilità del sito.

Queste cause possono anche sovrapporsi.

Compromissione dell'infrastruttura del provider

Il problema riguarda un servizio o un componente gestito dal fornitore dell'hosting.

In questo scenario, l'azienda cliente potrebbe aver subito un'esposizione dei dati o delle credenziali anche senza errori nella gestione dei propri computer.

Occorre contattare il provider per comprendere quali sistemi siano coinvolti e quali interventi abbia già eseguito.

Furto delle credenziali aziendali

Un dipendente può perdere il controllo di un account attraverso phishing, password riutilizzate o malware presenti sul computer.

Alcuni software malevoli, come gli infostealer, possono sottrarre password salvate, informazioni del browser e token di sessione.

In questa situazione, cambiare le password senza verificare i dispositivi utilizzati potrebbe non risolvere il problema.

Vulnerabilità del sito web

Un plugin WordPress, un componente CMS o un'applicazione non aggiornata possono presentare vulnerabilità sfruttabili per ottenere accesso al sito.

In questo caso, la rotazione delle credenziali è soltanto una parte dell'intervento: bisogna correggere anche la vulnerabilità che ha consentito l'accesso.

Per approfondire la gestione degli aggiornamenti abbiamo pubblicato una guida su come aggiornare WordPress senza compromettere il funzionamento del sito.

Prima verifica i computer aziendali e contatta il provider

Quando si sospetta una compromissione delle credenziali, la sicurezza dei dispositivi da cui vengono utilizzate diventa una priorità.

Se il computer conserva password, utilizza client FTP, gestisce la posta aziendale o accede al pannello dell'hosting, un eventuale malware potrebbe intercettare informazioni anche dopo il cambio delle credenziali.

Per questo conviene eseguire una verifica sulle postazioni coinvolte prima di considerare completato il ripristino degli accessi.

Quali computer bisogna controllare?

Il perimetro non comprende soltanto i computer presenti fisicamente in ufficio.

Occorre identificare tutti i dispositivi utilizzati per accedere ai servizi interessati, compresi:

• Computer aziendali collegati agli account email coinvolti.
• Postazioni utilizzate per gestire hosting, dominio e sito web.
• Computer personali eventualmente autorizzati ad accedere ai servizi aziendali.
• Dispositivi utilizzati per collegamenti FTP o SFTP.
• Postazioni amministrative con accesso ai pannelli di gestione.

Se l'azienda dispone di un dominio informatico centralizzato, il responsabile IT dovrebbe valutare anche gli altri dispositivi appartenenti alla stessa infrastruttura, in base agli account e alle risorse condivise.

Utilizzare lo stesso dominio email, invece, non significa automaticamente che tutti i computer siano compromessi o appartengano alla stessa rete.

Come eseguire il controllo antivirus

Sulle postazioni potenzialmente coinvolte è opportuno:

1. Verificare che antivirus e strumenti antimalware siano attivi e aggiornati.
2. Eseguire una scansione approfondita del sistema.
3. Controllare eventuali rilevazioni e anomalie segnalate dagli strumenti di sicurezza.
4. Verificare la presenza di software, estensioni o processi sospetti.
5. Coinvolgere un tecnico quando emergono elementi che richiedono ulteriori analisi.

Se esiste un sospetto concreto di compromissione, il dispositivo dovrebbe essere isolato dalla rete secondo le indicazioni del responsabile tecnico, evitando operazioni che possano compromettere le prove.

Un antivirus che non rileva minacce non garantisce automaticamente l'assenza di malware. In determinate situazioni possono essere necessari controlli più approfonditi o una reinstallazione controllata.

La regola fondamentale è non inserire nuove credenziali su dispositivi che potrebbero essere ancora compromessi.

Contattare il provider fin dalle prime fasi

Il contatto con il fornitore non deve essere rimandato alla conclusione dell'analisi interna.

Apri una segnalazione attraverso i canali ufficiali e chiedi:

• Se risultano incidenti di sicurezza sull'infrastruttura.
• Se sono stati rilevati accessi anomali agli account.
• Quali servizi potrebbero essere coinvolti.
• Se sono disponibili registri degli accessi.
• Se alcune credenziali o sessioni sono già state revocate.
• Quali verifiche o interventi vengono consigliati.

Il provider potrebbe disporre di informazioni che l'azienda non può ottenere autonomamente.

È importante coordinare gli interventi, evitando che modifiche non concordate cancellino registrazioni o compromettano l'analisi tecnica.

Cambiare le password in modo coordinato e sicuro

Una volta individuati gli account potenzialmente coinvolti e verificata la disponibilità di una postazione affidabile, è necessario procedere con la reimpostazione delle credenziali.

Non bisogna però attendere la conclusione della scansione di tutti i computer quando un account risulta già compromesso.

In quel caso, l'accesso deve essere bloccato o recuperato tempestivamente da un dispositivo sicuro, eventualmente con il supporto del provider.

Quali credenziali modificare

La rotazione dovrebbe comprendere gli account coinvolti e quelli che potrebbero essere stati esposti:

• Pannello di controllo del provider.
• Caselle email aziendali.
• Account amministrativi del sito e del CMS.
• Accessi FTP e SFTP.
• Credenziali del database, quando necessario.
• Account collegati a servizi esterni.
• Chiavi API, token applicativi e altre credenziali tecniche potenzialmente compromesse.

La priorità dipende dall'incidente e dai privilegi dei singoli account.

In particolare, gli account amministrativi e quelli utilizzati per recuperare altre password richiedono attenzione immediata.

Utilizza password nuove, robuste e differenti per ciascun servizio, preferibilmente generate da un password manager.

Quando disponibile, attiva l'autenticazione a più fattori.

Non basta modificare la password

Un accesso non autorizzato può rimanere attivo attraverso sessioni già aperte, token o collegamenti applicativi.

Dopo la modifica delle credenziali occorre verificare anche:

• Sessioni attive e dispositivi collegati.
• Applicazioni autorizzate ad accedere agli account.
• Token e chiavi di accesso.
• Account amministrativi sconosciuti.
• Metodi di recupero delle credenziali.
• Autenticazione a più fattori e dispositivi associati.

Le sessioni sospette devono essere revocate attraverso le funzionalità disponibili, con il supporto del provider quando necessario.

La reimpostazione massiva deve essere coordinata per evitare di bloccare servizi aziendali che utilizzano credenziali tecniche.

Controllare le caselle email dopo una compromissione

Le caselle email aziendali meritano particolare attenzione perché vengono spesso utilizzate per recuperare le credenziali di altri servizi.

Un accesso non autorizzato alla posta può quindi avere conseguenze che vanno oltre la lettura dei messaggi.

Dopo aver messo in sicurezza gli account, verifica:

• Inoltri automatici: controlla che non esistano destinatari esterni non autorizzati.
• Regole e filtri: verifica che non siano state create regole per nascondere, cancellare o spostare messaggi.
• Accessi delegati: controlla quali utenti e applicazioni possono leggere la casella.
• Sessioni attive: verifica i dispositivi collegati ed elimina gli accessi sconosciuti.
• Messaggi inviati: controlla eventuali comunicazioni non riconosciute.
• Impostazioni di recupero: verifica email secondarie e altri metodi di recupero dell'account.

Prima di eliminare regole o impostazioni sospette, documentale quando necessario per consentire l'analisi dell'incidente.

Se dall'indirizzo aziendale sono partiti messaggi fraudolenti, valuta una comunicazione ai destinatari interessati.

Il messaggio dovrebbe spiegare che alcune comunicazioni potrebbero non essere autentiche, invitando a non aprire allegati sospetti o inserire credenziali attraverso collegamenti ricevuti.

Anche in questa fase è utile coordinarsi con il provider, soprattutto quando il servizio email è gestito all'interno dello stesso contratto hosting.

Quando coinvolgere un tecnico e valutare un data breach

Una verifica antivirus e il cambio delle password non permettono, da soli, di stabilire l'estensione di una compromissione.

Un tecnico specializzato può analizzare le informazioni disponibili per ricostruire gli accessi e individuare eventuali elementi ancora compromessi.

Tra le verifiche possibili:

• Analisi dei registri di accesso disponibili.
• Controllo dei file modificati o aggiunti.
• Verifica degli account e dei privilegi.
• Individuazione di eventuali componenti malevoli.
• Controllo delle vulnerabilità sfruttabili.
• Verifica delle misure di contenimento applicate.

Prima di rimuovere file sospetti o reinstallare sistemi coinvolti, occorre valutare la conservazione delle prove.

Non sempre una semplice copia del sito è sufficiente per un'analisi forense. In presenza di incidenti significativi, la raccolta delle evidenze dovrebbe essere gestita da personale competente.

Cosa prevede il GDPR

Se l'incidente coinvolge dati personali, l'impresa deve valutare anche gli obblighi previsti dal Regolamento generale sulla protezione dei dati.

Il GDPR stabilisce che il titolare del trattamento debba notificare al Garante una violazione dei dati personali senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, salvo che sia improbabile un rischio per i diritti e le libertà delle persone.

Quando la violazione comporta un rischio elevato, può essere necessaria anche una comunicazione agli interessati, secondo le condizioni previste dalla normativa.

La valutazione deve iniziare tempestivamente e non attendere necessariamente la conclusione dell'indagine tecnica.

Il titolare deve inoltre documentare le violazioni dei dati personali, anche nei casi in cui non sia necessaria la notifica al Garante.

Per approfondire, consulta le indicazioni ufficiali del Garante Privacy sui data breach.

Se il provider opera come responsabile del trattamento, ha l'obbligo di informare il titolare senza ingiustificato ritardo quando viene a conoscenza di una violazione dei dati personali trattati per suo conto.

La gestione dell'incidente dovrebbe quindi coinvolgere il referente IT e, quando pertinente, il DPO o un consulente specializzato.

Monitorare gli accessi dopo la messa in sicurezza

Il ripristino delle credenziali non coincide necessariamente con la conclusione dell'incidente.

Dopo gli interventi iniziali è necessario osservare il comportamento dei sistemi per verificare che non emergano nuove anomalie.

Il monitoraggio dovrebbe comprendere:

• Tentativi di accesso sospetti.
• Nuove modifiche ai file del sito.
• Ricomparsa di account o regole email non autorizzate.
• Invii anomali di posta elettronica.
• Nuove rilevazioni antivirus.
• Avvisi del provider.
• Eventuali segnalazioni dei clienti o dei destinatari delle email.

Il periodo e l'intensità dei controlli devono essere proporzionati al tipo di incidente e alle informazioni disponibili.

Se compaiono nuove anomalie dopo il cambio delle password, occorre verificare se l'origine della compromissione sia stata effettivamente eliminata.

Per esempio, un dispositivo ancora infetto, una sessione non revocata o una vulnerabilità del sito non corretta potrebbero consentire nuovi accessi.

La sicurezza non si considera ripristinata soltanto perché le password sono state cambiate. Bisogna verificare che il problema non si ripresenti.

Quando valutare il cambio di hosting

Una violazione non rende automaticamente necessario cambiare provider.

La decisione dipende dalla causa dell'incidente, dalla capacità del fornitore di contenerlo e dalla qualità degli interventi effettuati.

Se il problema riguarda una password sottratta attraverso phishing, trasferire il sito su un altro hosting non elimina necessariamente il rischio.

Se invece emergono gravi criticità nell'infrastruttura del fornitore, nella gestione degli accessi o nella risposta all'incidente, una migrazione può essere una soluzione da valutare.

In caso di trasferimento è importante:

1. Verificare quali dati e file possono essere recuperati in sicurezza.
2. Preparare un nuovo ambiente aggiornato e configurato correttamente.
3. Evitare di trasferire file potenzialmente compromessi senza controllo.
4. Collaudare sito, database, moduli e caselle email.
5. Pianificare le modifiche DNS e gli eventuali cambi dei record MX.
6. Disattivare il vecchio servizio soltanto dopo aver verificato il nuovo ambiente e conservato le prove necessarie.

Una migrazione mal gestita può introdurre ulteriori problemi, compresa la perdita di email o l'interruzione del sito.

Per comprendere quali attività rientrano nella gestione ordinaria e quali richiedono interventi straordinari, puoi consultare la nostra guida ai costi di manutenzione di un sito web.

Checklist operativa nelle prime ore

1. Registra l'incidente: annota quando hai rilevato il problema, quali account o servizi sembrano coinvolti e quali anomalie hai osservato.
2. Contatta il provider: apri una segnalazione attraverso i canali ufficiali e chiedi indicazioni su accessi, sistemi interessati e interventi di contenimento.
3. Contieni gli accessi compromessi: blocca o recupera tempestivamente gli account interessati utilizzando dispositivi affidabili, senza attendere il completamento di tutte le verifiche.
4. Conserva le prove disponibili: raccogli comunicazioni, registri e copie dei dati pertinenti, evitando modifiche inutili ai sistemi sospetti.
5. Verifica i dispositivi aziendali: identifica i computer che utilizzano gli account coinvolti ed esegui controlli antivirus e antimalware aggiornati, con supporto tecnico quando necessario.
6. Reimposta le credenziali: modifica le password potenzialmente compromesse da postazioni affidabili e sostituisci eventuali token o chiavi esposte.
7. Revoca le sessioni: termina gli accessi non riconosciuti e controlla applicazioni, dispositivi e autorizzazioni collegate.
8. Controlla le caselle email: verifica inoltri, filtri, deleghe e messaggi inviati senza autorizzazione.
9. Coinvolgi un tecnico specializzato: richiedi l'analisi delle possibili cause e verifica che le vulnerabilità individuate siano state risolte.
10. Valuta gli obblighi privacy: accerta se sono coinvolti dati personali e documenta la valutazione, considerando tempestivamente le eventuali notifiche.
11. Monitora gli accessi: osserva le attività successive al ripristino e verifica che non emergano nuovi segnali di compromissione.

Gli errori da evitare

• Cambiare password da un computer potenzialmente infetto: un malware potrebbe intercettare anche le nuove credenziali. Utilizza una postazione affidabile e verifica i dispositivi coinvolti.
• Aspettare la fine di tutte le scansioni per bloccare un account compromesso: gli accessi non autorizzati devono essere contenuti tempestivamente, anche mentre prosegue l'analisi.
• Limitarsi al controllo del sito: una violazione può coinvolgere anche email, dispositivi aziendali e credenziali utilizzate su altri servizi.
• Non coinvolgere il provider: il fornitore potrebbe disporre di registri e informazioni fondamentali per comprendere l'incidente.
• Cambiare soltanto la password principale: sessioni, token, account secondari o applicazioni collegate potrebbero mantenere accessi attivi.
• Cancellare immediatamente i file sospetti: modifiche non documentate possono compromettere le prove e rendere più difficile ricostruire l'attacco.
• Considerare concluso l'incidente dopo una scansione antivirus negativa: alcuni malware possono non essere individuati. La verifica deve considerare anche accessi, credenziali e sistemi interessati.
• Ripristinare backup senza controllarli: una copia precedente potrebbe contenere già componenti compromessi. Verifica l'integrità prima del ripristino.
• Cambiare hosting senza individuare la causa: una migrazione non risolve un dispositivo infetto o una password sottratta tramite phishing.
• Trascurare gli obblighi GDPR: la valutazione di un'eventuale violazione dei dati personali deve iniziare tempestivamente.

Domande frequenti su hosting violato e account compromessi

Cosa devo fare per prima cosa se sospetto una violazione dell'hosting?

Contatta il provider attraverso i canali ufficiali, documenta i segnali dell'incidente e contieni gli accessi compromessi. Se sospetti il furto di credenziali, verifica anche i dispositivi utilizzati per accedere agli account e reimposta le password da una postazione affidabile.

Devo fare un controllo antivirus su tutti i computer aziendali?

È opportuno verificare almeno tutti i dispositivi che utilizzano gli account potenzialmente compromessi. In presenza di una rete aziendale condivisa o di segnali di diffusione del malware, il responsabile IT può estendere il controllo ad altre postazioni.

Basta cambiare tutte le password?

No. La modifica delle credenziali deve essere accompagnata dalla revoca delle sessioni, dal controllo dei dispositivi, dall'analisi delle eventuali vulnerabilità e dal monitoraggio degli accessi successivi.

Se il problema dipende dal provider, devo comunque controllare i miei computer?

Non necessariamente tutti i dispositivi sono coinvolti in un incidente originato dal fornitore. Tuttavia, se le credenziali sono state esposte o emergono segnali di compromissione degli account, è opportuno verificare anche i dispositivi interessati. Il perimetro deve essere definito sulla base dell'incidente.

Devo cambiare hosting dopo una violazione?

Non sempre. Prima bisogna comprendere la causa, gli interventi effettuati e le garanzie di sicurezza disponibili. Una migrazione può essere valutata quando il fornitore non riesce a risolvere adeguatamente le criticità o non offre le condizioni richieste dall'impresa.

Quando devo notificare una violazione al Garante Privacy?

Se una violazione di dati personali comporta un rischio per i diritti e le libertà delle persone, il titolare deve notificare l'incidente senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza. La valutazione deve essere documentata anche quando la notifica non è necessaria.

Il punto centrale

Una violazione dell'hosting non riguarda necessariamente soltanto il server su cui si trova il sito. Può coinvolgere credenziali, caselle email, dispositivi aziendali e servizi collegati. Per questo, limitarsi a cambiare una password o ripristinare un backup rischia di lasciare irrisolta la causa del problema.

La risposta efficace combina contenimento, verifica dei dispositivi, rotazione delle credenziali e collaborazione con il provider. Dopo aver messo in sicurezza gli accessi, occorre verificare che l'origine della compromissione sia stata eliminata e monitorare i sistemi nel periodo successivo. Per una PMI, conoscere gli account utilizzati, i dispositivi autorizzati e i referenti tecnici permette di affrontare l'incidente in modo più rapido e organizzato.