O que é Malware em Site?
Malware em site, também chamado de vírus em site, é o código malicioso que um invasor consegue inserir nos arquivos ou no banco de dados de um site sem autorização. O código roda junto com o site legítimo e executa a ação que interessa ao atacante: redirecionar visitantes, capturar dados de formulário, injetar links ou usar o servidor para atacar terceiros.
O malware raramente aparece de forma visível. Ele se esconde em arquivos com nomes parecidos com os originais, dentro de temas e plugins, ou em campos do banco de dados. Muitos códigos maliciosos exibem o conteúdo indevido apenas para visitantes vindos do Google, mantendo o site normal para quem administra.
A porta de entrada quase sempre é conhecida. Plugin desatualizado com falha pública, senha fraca no painel do CMS, tema pirata baixado fora do repositório oficial, hospedagem compartilhada com outro site já infectado. O invasor não escolhe alvo: robôs varrem a internet procurando essas brechas.
Como funciona na prática?
A infecção segue um roteiro previsível:
- Varredura: robôs testam milhares de sites por hora, procurando versões antigas de sistemas, plugins com falha conhecida e painéis com senha fraca.
- Entrada: ao encontrar a brecha, o invasor sobe um arquivo que dá acesso remoto ao servidor, conhecido como backdoor.
- Instalação do código: o malware é espalhado por vários arquivos e pelo banco de dados. Backdoors extras são plantados em pastas diferentes, para garantir o retorno.
- Execução: o site passa a redirecionar visitantes para páginas de golpe, exibir spam de conteúdo, enviar e-mails em massa ou capturar dados digitados.
- Detecção: o alerta costuma vir de fora: aviso do Google Search Console, tela vermelha do navegador, reclamação de cliente ou suspensão pela hospedagem.
Sinais de que um site está infectado
- Visitantes relatam redirecionamento para páginas estranhas, enquanto o site abre normal para você.
- O Google exibe “este site pode estar comprometido” nos resultados de busca.
- Aparecem arquivos novos no servidor, com data de modificação recente e nomes aleatórios.
- Páginas com termos que você nunca publicou surgem indexadas na busca.
- A hospedagem envia aviso de consumo anormal de recursos ou de envio de spam.
Exemplos de uso
- Um site institucional em WordPress com um plugin de formulário desatualizado é invadido; o invasor injeta redirecionamento para uma página de apostas que só dispara em celulares.
- Uma loja virtual tem o checkout comprometido por um script que copia os dados digitados no cartão e os envia para um servidor externo, sem alterar nada na tela.
- Um blog corporativo começa a exibir centenas de páginas de spam farmacêutico indexadas no Google; o conteúdo estava injetado no banco de dados.
Erros comuns
- Apagar apenas o arquivo suspeito e considerar o caso resolvido, deixando as backdoors espalhadas pelo servidor.
- Restaurar um backup sem fechar a brecha que permitiu a entrada, o que devolve o site infectado em poucos dias.
- Trocar a senha do painel e esquecer da senha do FTP, do banco de dados e do painel da hospedagem.
- Usar temas e plugins piratas, que são um dos veículos mais comuns de código malicioso.
- Deixar o CMS sem atualizar por meses, mantendo aberta uma falha já corrigida publicamente.
Perguntas frequentes sobre Malware em Site
Como saber se meu site tem malware?
Comece pelo Google Search Console, que avisa em “Problemas de segurança” quando detecta código malicioso. Compare os arquivos do servidor com a versão original do sistema, procurando datas de modificação recentes que você não fez. Peça a pessoas de fora para acessar o site pelo Google, no celular, e relatarem o comportamento.
Malware em site pega no computador de quem visita?
Pode acontecer. Parte dos códigos maliciosos redireciona o visitante para páginas que tentam instalar programas ou aplicar golpes de phishing. Mesmo quando não infecta a máquina, o site comprometido expõe o visitante a fraude e queima a confiança na marca. Por isso os navegadores bloqueiam o acesso com tela de alerta.
Certificado SSL protege contra malware?
Não. O certificado criptografa a conexão entre o navegador e o servidor, impedindo que alguém no meio do caminho leia os dados. Ele não examina o que está dentro do site. Um site infectado com HTTPS ativo entrega o malware por uma conexão criptografada. As duas frentes de segurança são independentes.