Bonifica malware30 giugno 20266 min di letturaTeam WPsec.it

Quanto costa davvero un sito infetto: il calcolo che nessuno fa prima

Il prezzo della bonifica è la voce più piccola del conto. Fatturato perso, SEO danneggiata, blacklist Google, ore interne, clienti persi: il conto completo di una compromissione WordPress, voce per voce, con il metodo per stimarlo sul tuo caso.

Quando un titolare valuta il servizio di bonifica, il confronto mentale è quasi sempre fra il prezzo della pulizia e zero. Questa aritmetica è sbagliata alla radice, ed è la ragione per cui tanti siti restano infetti settimane mentre perdono denaro ogni giorno.

La frase da tenere a mente è: il malware non ti costa quello che paghi per toglierlo, ti costa quello che produce finché resta.

Il conto completo, voce per voce

Ecco le voci che emergono sistematicamente nelle compromissioni che trattiamo. Gli importi sono intervalli realistici per una piccola azienda italiana con un sito che vende o genera lead; adatta i moltiplicatori al tuo caso.

Costi diretti immediati

Voce	Intervallo tipico	Note
Bonifica tecnica professionale	200-600 EUR	Prezzo fisso nei servizi seri, variabile se fai-da-te in ore interne
Ore interne di gestione dell'emergenza	300-1.500 EUR	Titolare o dipendente che smette il proprio lavoro per gestire il caos
Consulenza legale / notifiche GDPR	0-2.000 EUR	Se dati personali risultati accessibili, obbligo di valutare la notifica al Garante

La terza voce è quella che sorprende tutti: un sito che raccoglie lead, ordini con dati di pagamento gestiti male, o iscrizioni newsletter con dati personali, espone a obblighi di valutazione del rischio che vanno documentati. Non serve il peggioramento dello scenario per avere costi amministrativi.

Perdite di fatturato durante l'incidente

Questa è la voce dominante, e si calcola così:

Fatturato giornaliero dal sito x giorni di impatto x tasso di recupero mancato

Due precisazioni importanti. Primo: i "giorni di impatto" non sono solo i giorni di sito offline. Includono i giorni in cui il sito è online ma compromesso: redirect verso spam, pagine sostituite, checkout manipolato. Un e-commerce con redirect mobile verso pagine truffa può continuare a "funzionare" perdendo metà delle vendite mobili senza che nessuno se ne accorga subito. Secondo: il tasso di recupero mancato è reale. I clienti che trovano il sito bloccato o sospetto non tornano il giorno dopo: una quota, tra il 20 e il 50 percento a seconda del settore, compra altrove definitivamente.

Danni SEO e pubblicitari

Blacklist Google: se Safe Browsing segnala il sito, il traffico organico crolla del 90 percento circa finché la rimozione non è completata e verificata. Anche dopo la bonifica, il recupero pieno delle posizioni richiede settimane.
Google Ads sospeso: la politica "software dannoso" sospende l'intero account, non la singola campagna. La riattivazione richiede bonifica documentata e revisione, spesso 1-3 settimane di pubblicità azzerata proprio nel periodo in cui ne avresti bisogno.
Posizionamento eroso: pagine spam indicizzate, redirect rilevati, contenuto duplicato creato dall'attaccante: la pulizia serp richiede monitoraggio e disavow mirati.

Costi differiti (i più sottovalutati)

reinfezione se la bonifica è stata superficiale: il doppio conto, tecnico e di reputazione
clienti agenzia che rescindono dopo l'episodio
tempo speso nelle prossime settimane a controllare ossessivamente il sito
prezzo psicologico: molti titolari dopo un hack investono in sicurezza fai-da-te casuale più di quanto avrebbe costato un hardening professionale fatto subito

Un esempio numerico onesto

E-commerce regionale, WooCommerce, 40 ordini/giorno con carrello medio di 80 EUR, redirect spam mobile attivo per 25 giorni prima del rilevamento:

fatturato mobile perso: circa il 35 percento del canale per 25 giorni = circa 8.000-12.000 EUR
Ads sospeso per 14 giorni = 2.000 EUR di fatturato assistito perso
blacklist Google: traffico organico a zero per 20 giorni = 1.500 EUR stimati
bonifica professionale: 250 EUR
ore interne: 40 ore = 800 EUR

Totale danno: oltre 12.000 EUR. Quota bonifica sul totale: meno del 2 percento. Nessuna di queste cifre è esagerata: sono moltiplicatori conservativi di scenari che vediamo regolarmente.

Il rovesciamento utile: la prevenzione come acquisto

Una volta visto il conto completo, la domanda giusta non è più "quanto costa bonificarsi" ma "quanto vale ridurre la probabilità e la durata dell'incidente". E qui i numeri cambiano prospettiva:

un piano di manutenzione con aggiornamenti gestiti e scansioni periodiche costa da 39 EUR/mese: meno di un singolo giorno di fatturato perso nella maggior parte degli scenari
l'hardening una tantum riduce drasticamente i vettori più comuni
i backup verificati trasformano lo scenario peggiore da "settimane" a "ore"

La prevenzione si compra al dettaglio; l'emergenza si paga all'ingrosso.

Come stimare il tuo rischio in dieci minuti

Prendi carta e penna e rispondi:

Fatturato o valore dei lead generati dal sito, al giorno?
Quanta parte passa da traffico mobile? (i redirect spam colpiscono prima il mobile)
Hai campagne Ads attive? Qual è il loro contributo?
Quanti giorni passerebbero prima che qualcuno noti un redirect o una pagina alterata?
Ultimo backup verificato (cioè testato con un ripristino vero): quando?
Versioni di core, plugin e temi: aggiornate entro quante settimane?

Le risposte 1-4 stimano il costo potenziale; le risposte 5-6 stimano la probabilità. Incrocia i due numeri e avrai una valutazione del rischio più onesta di qualunque preventivo ricevuto a freddo.

Se il risultato ti convince che la prevenzione conviene, i punti di ingresso sono la pagina sulla sicurezza WordPress, i piani di continuità con prezzi pubblici e la guida sull'hardening essenziale. Se invece sei già dentro l'incidente, la pagina sulla rimozione malware WordPress descrive cosa include la bonifica con prezzo fisso, e qui trovi cosa fare nelle prime ore e come uscire dalla blacklist di Google.

Un sito piccolo, con poco traffico, rischia davvero questi danni?

Il fatturato perso scala con il traffico, ma molte voci del conto no: ore interne, GDPR, blacklist, Ads sospeso e reinfette colpiscono allo stesso modo. Paradossalmente i siti piccoli soffrono di più perché hanno meno margini per assorbire il down time.

L'assicurazione cyber copre questi costi?

Alcune polizze coprono parte dei danni da attacco informatico, con franchigie, esclusioni e obblighi di mitigazione. Leggere le clausole prima dell'incidente è fondamentale: molte richiedono misure minime di sicurezza documentate, che diventano decisive in fase di liquidazione.

Posso ridurre i costi facendo da solo la bonifica?

Puoi tentarla se hai competenze sistematiche e tempo. Nel nostro bilancio però conta anche il costo opportunità: le ore che il titolare passa sui log sono ore tolte alla vendita. E una bonifica parziale che si reinfetta raddoppia tutto.

Quanto dura in media un incidente se gestito bene?

Con backup verificati e accesso completo: 24-72 ore fino al ripristino, 2-4 settimane di monitoraggio. Senza backup né diagnosi: settimane, con rischio concreto di reinfezione. La differenza fra i due scenari è quasi tutta preparazione precedente.

Pubblicato il 30 giugno 2026

Scritto dal team WPsec.it

Team WPsec.it

Bonifica malware, hardening, performance e manutenzione WordPress.

Guide per sintomo

Il tuo sito ha un sintomo preciso? Parti dalla guida giusta.

Ogni compromissione WordPress lascia segnali diversi. Queste guide spiegano cosa fare nelle prime ore, cosa non toccare e quando serve una bonifica con analisi del vettore d'ingresso.

Continua a leggere