Caso studio · sicurezza, SEO, ecommerce
Un CBD shop che rischiava di scomparire dal web.
La storia di come un attacco di SEO cloaking ha trasformato un restyling WordPress in una migrazione completa a Shopify.
Doveva essere un restyling.
I primi contatti sono iniziati a dicembre. La richiesta era rendere più moderno e semplice da usare un ecommerce WordPress e WooCommerce attivo a Berlino.
A gennaio ho iniziato a lavorare sul sito esistente. Sembrava funzionare, anche se era molto lento. Prodotti, pagine e ordini erano ancora accessibili. Il problema vero non era evidente durante la normale navigazione.
La scoperta
Il primo segnale era su Google.
Una ricerca semplice.
La prima anomalia è emersa cercando site:hempvizer.com. Al posto del solo catalogo comparivano circa 1,5 milioni di URL: parametri numerici, percorsi casuali e pagine .phtml mai create dal negozio.
Il dominio reale veniva utilizzato per far apparire su Google contenuti che non appartenevano a Hempvizer.
Parametro numerico mai creato dal negozio e conservato nell’indice di Google.
Un pattern estraneo a WordPress, WooCommerce e alla struttura reale del catalogo.
Ricostruzione basata sugli URL documentati durante l’analisi. I risultati originali sono stati successivamente rimossi.
Search Console misura l’estensione.
Dopo il primo riscontro, Google Search Console ha permesso di verificare la crescita anomala dell’indice e distinguere le pagine reali dagli URL generati dal cloaking.
Il sito mostrava il negozio alle persone, mentre i crawler potevano ricevere contenuti differenti. È questo che rende il cloaking difficile da individuare: il sito può sembrare normale proprio a chi lo gestisce ogni giorno.
In parole semplici
Che cos’è il SEO cloaking?
Il cloaking avviene quando lo stesso indirizzo restituisce contenuti diversi in base a chi lo visita. Una persona vede il sito vero; il crawler di un motore di ricerca può ricevere una pagina costruita apposta per entrare nell’indice. Nel caso di Hempvizer non era una funzione del negozio, ma il comportamento prodotto da codice malevolo.
Vede il negozio.
Homepage, prodotti e checkout sembrano funzionare. Per chi gestisce il sito il problema può quindi restare nascosto.
Riceve altro.
Pagine spam, testi o collegamenti estranei vengono associati al dominio e possono moltiplicarsi nell’indice.
Google scopre migliaia o milioni di URL che non fanno parte del sito reale.
Le pagine legittime competono con contenuti spam ospitati sullo stesso dominio.
Aprendo normalmente il sito, proprietario e visitatori possono non accorgersi di nulla.
La diagnosi
Il codice era ancora dentro WordPress.
Un componente che non compariva tra i normali plugin.
L’analisi dell’installazione ha portato a un MU-plugin sospetto, con codice offuscato e comunicazioni verso risorse esterne.
I must-use plugin vengono caricati automaticamente da WordPress e possono restare fuori dalla normale lista dei plugin. Il comportamento era compatibile con la generazione di contenuti differenti in base alla richiesta ricevuta.
Il progetto cambia direzione.
Rifare il tema avrebbe significato costruire una grafica nuova sopra un’installazione compromessa. Il codice sospetto è stato rimosso, ma restava il rischio di altri accessi o meccanismi di persistenza non ancora visibili.
Per separare il nuovo negozio dall’ambiente precedente è stata scelta Shopify: non come scorciatoia, ma come riduzione strutturale della superficie d’attacco lato hosting, PHP e plugin.
La migrazione
Mantenere il business. Cambiare quello che c’era sotto.
Catalogo pulito
Prodotti, varianti, immagini e contenuti necessari, senza trasferire plugin o file PHP.
WooCommerce → Shopify
Collezioni, navigazione, due lingue e flussi di acquisto ricostruiti sulla nuova piattaforma.
Go-live a metà febbraio
Dominio e negozio mantenuti, con un’esperienza di acquisto più ordinata.
SEO tecnica
I 301 solo dove servivano.
Salvare le pagine reali, non lo spam.
WooCommerce e Shopify usano URL differenti. Per non perdere il valore delle pagine legittime sono stati creati redirect 301 tra vecchi prodotti, categorie, pagine e nuove destinazioni.
Gli URL generati dal malware non sono stati reindirizzati alla homepage. Parametri come ?he=... e percorsi .phtml dovevano uscire dall’indice, non trasferire la propria storia alla nuova piattaforma.
Il lavoro continua dopo la pubblicazione.
Google deve tornare sugli indirizzi, riconoscere quelli non più esistenti, seguire i redirect validi e sostituire la vecchia struttura con quella Shopify.
Sono quindi proseguiti monitoraggio in Search Console, controllo dei 404, richieste di rimozione e verifica dell’indicizzazione delle nuove pagine.
Il risultato
Un ecommerce nuovo, senza portarsi dietro il vecchio problema.
Hempvizer ha mantenuto dominio, catalogo, logiche commerciali e continuità del negozio, ma non il codice WordPress compromesso.
La nuova struttura ha migliorato la navigazione e la gestione quotidiana. Dopo la migrazione è stato riscontrato anche un miglioramento delle vendite online e della presenza digitale, senza attribuirlo a una singola modifica o inventare percentuali.
Il progetto era partito come un restyling. L’analisi iniziale ha evitato che restasse soltanto quello.
Altre storie
