O site do seu alojamento foi pirateado? Sinais, o que fazer e como pedir à Google que retire o aviso

Atualizada: 10 de novembro de 2026

Um aviso vermelho da Google à frente do seu site, ligações estranhas nos resultados de pesquisa ou um motor de reservas que deixa de funcionar: é muitas vezes assim que um alojamento descobre que o site foi pirateado. E cada dia com aviso são reservas diretas perdidas. Esta guia resume o que pudemos comprovar a 10 de novembro de 2026 na ajuda da Google, no texto do RGPD e nas fontes sobre o CNCS, e assinala claramente o que não conseguimos confirmar. Não recomendamos nenhum serviço pago.

A resposta curta

O essencial:

Consulte o relatório «Problemas de segurança» do Search Console: é aí que a Google indica se detetou conteúdo pirateado, malware ou engenharia social (phishing).
Limpe o site, feche a falha por onde entraram e só depois peça a revisão a partir desse mesmo relatório.
A Google diz que uma revisão pode demorar de alguns dias a algumas semanas; se o site estiver limpo, os avisos do navegador e dos resultados são retirados em 72 horas.
Em Portugal, o CERT.PT está alojado no Centro Nacional de Cibersegurança (CNCS); não confirmámos um canal de ajuda gratuito para pequenas empresas.
Se dados de clientes podem ter sido expostos, o RGPD (art. 33) fixa 72 horas para notificar a autoridade de proteção de dados.

Sinais de que o site foi pirateado

O que a Google descreve:

Um aviso de página inteira no navegador antes de entrar no site, ou uma etiqueta de aviso junto ao site nos resultados da Google. A Google descreve ambos na ajuda do relatório de segurança.
Páginas que não criou (por exemplo, de produtos ou apostas) a aparecer na Google com o seu domínio: a Google chama-lhe conteúdo pirateado.
Transferências que o Chrome marca como perigosas, ou formulários que pedem dados que nunca pede (engenharia social).
Sinais práticos, conselho nosso: utilizadores administradores que não reconhece, alterações na página de reservas ou no botão de pagamento, ou hóspedes a dizer que o site os redireciona para outro lado.

O que fazer nas primeiras horas

Passos práticos:

Mude todas as palavras-passe: gestor de conteúdos, alojamento web (hosting), FTP, base de dados, email e Search Console. Use palavras-passe fortes e diferentes, como recomenda a Google.
Reveja os utilizadores do gestor de conteúdos e do hosting e apague os que não reconhece.
Atualize o gestor de conteúdos (por exemplo, WordPress), o tema e os plugins, e elimine os que não usa: a Google aponta o software desatualizado e os complementos de terceiros como portas de entrada.
Reponha uma cópia de segurança limpa, anterior ao ataque, e volte a atualizar tudo depois: se repuser sem corrigir a falha, podem voltar a entrar.
Verifique o motor de reservas: que os botões «Reservar» levam ao seu motor real e que a página de pagamento não mudou. Se o motor for de um fornecedor externo, avise-o. Conselho nosso.
Passe um antivírus atualizado nos computadores usados para gerir o site: a Google recomenda proteger também esses equipamentos.

Como pedir à Google que retire o aviso

Segundo a ajuda da Google:

Requisitos: site verificado no Search Console, conteúdo malicioso eliminado, vulnerabilidade corrigida e site de novo online.
Confirme que a página inicial e uma página que estava pirateada já carregam limpas e que a Google as consegue rastrear (sem bloqueios nem noindex).
No relatório «Problemas de segurança», selecione «Pedir revisão» e explique o problema, o que fez e o resultado. Não envie outro pedido enquanto um estiver pendente.
Prazos que a Google publica: pirataria com spam, até várias semanas; malware, alguns dias; phishing, cerca de um dia. Se o site estiver limpo, os avisos são retirados em 72 horas.

Dados de hóspedes e RGPD: a regra das 72 horas

Informação geral, não aconselhamento jurídico:

O artigo 33 do RGPD diz que o responsável deve notificar uma violação de dados pessoais à autoridade de controlo sem demora injustificada e, sempre que possível, até 72 horas após ter tido conhecimento, a menos que seja improvável que resulte num risco para as pessoas.
Se a notificação for feita mais tarde, deve ser acompanhada dos motivos do atraso.
Se o motor de reservas ou o fornecedor web trata os dados por si (subcontratante), o art. 33 obriga-o a avisá-lo sem demora injustificada.
Em Portugal a autoridade é a CNPD. Não revimos o seu procedimento de notificação: consulte o site da CNPD ou um profissional. Isto não é aconselhamento jurídico.

Ajuda gratuita por país

O que pudemos comprovar:

Portugal: o CERT.PT, alojado no Centro Nacional de Cibersegurança (CNCS), cobre o ciberespaço português e o domínio .pt. Não encontrámos um formulário para pequenas empresas que conseguíssemos ler: não confirmado.
Espanha: a linha 017 do INCIBE, gratuita e confidencial, das 8:00 às 23:00 todos os dias (La Moncloa, 14 de julho de 2026).
Itália: o guia da ACN (julho de 2024) permite a empresas não obrigadas notificar um incidente ao CSIRT Italia de forma voluntária, através do formulário em csirt.gov.it/segnalazione.
Grécia: o EL-CSIRT, da Autoridade Nacional de Cibersegurança, serve entidades críticas, essenciais e importantes; não confirmámos que sirva um pequeno hotel.

Como ajuda a iQuota

A iQuota põe alojamentos independentes à disposição dos assistentes de IA com reserva direta, pagamento no alojamento e 0 % de comissão, com o preço e as condições que cada alojamento define. Não podemos garantir que um assistente de IA o recomende.

Quer que as IA deem os seus dados reais, com reserva direta e sem comissão? Os primeiros 30 hotéis entram grátis até 30 de junho de 2027.

Ver o programa Founding Hotels (em inglês)

Perguntas frequentes

Quanto tempo demora a Google a retirar o aviso vermelho?

A Google diz que uma revisão pode demorar de alguns dias a algumas semanas (phishing cerca de um dia, malware alguns dias, spam até várias semanas). Se o site estiver limpo, os avisos são retirados em 72 horas.

Onde peço a revisão?

No relatório «Problemas de segurança» do Search Console, depois de limpar o site e corrigir a falha.

Há ajuda gratuita em Portugal?

O CERT.PT, no CNCS, cobre o ciberespaço português, mas não confirmámos um canal gratuito para pequenas empresas equivalente ao 017 espanhol.

Tenho de avisar a CNPD?

Se houve uma violação de dados pessoais com risco para as pessoas, o art. 33 do RGPD fixa 72 horas. É informação geral, não aconselhamento jurídico.

Tenho de pagar a uma empresa de limpeza?

Não necessariamente. A Google publica os passos gratuitamente e o pedido de revisão é gratuito. Se não se sentir capaz, peça ajuda ao seu fornecedor web.

Fontes

Mais guias para hotéis

Mais guias para hotéis →

Español · English · Italiano · Ελληνικά