Gehackte WordPress-website? Snel opgeschoond en beveiligd

Vrijwel zeker wel. Een ongeautoriseerde doorverwijzing naar een externe website is een van de meest voorkomende symptomen van een gehackte WordPress-website. De hacker heeft kwaadaardige code in je bestanden of database gezet die bezoekers doorstuurt – vaak alleen bezoekers die via Google komen. Daardoor merk je er zelf niets van als je je website rechtstreeks bezoekt.

De gevolgen zijn direct merkbaar: bezoekers haken af, Google kan je website op een blacklist zetten en je posities kelderen. Dit is een noodgeval dat binnen enkele uren actie vraagt.

Wordt je website steeds opnieuw gehackt, dan komt dat vrijwel altijd door een van deze oorzaken:

Een backdoor is niet verwijderd bij de vorige opschoning: de hacker is via die achterdeur gewoon teruggekomen

Het oorspronkelijke lek is niet gedicht: er staat nog steeds een kwetsbare plug-in of een kwetsbaar thema op je website

De wachtwoorden zijn niet gewijzigd voor alle toegangen (FTP, database, hosting, beheer)

Er is na de opschoning geen bescherming ingesteld: geen firewall, geen monitoring, geen updates

Bij een opschoning door Référenceur zoeken en verwijderen we altijd alle backdoors, dichten we de lekken en zorgen we voor blijvende bescherming.

Hackers gebruiken lijsten met wachtwoorden die bij datalekken zijn buitgemaakt (bijvoorbeeld bij LinkedIn of Adobe) om in te loggen op je WordPress-website. Gebruik je hetzelfde wachtwoord voor meerdere diensten, dan loopt je website direct gevaar, ook zonder technisch lek.

Duizenden apparaten sturen tegelijk verzoeken naar je website om die te overbelasten en onbereikbaar te maken. Je website gaat niet plat omdat hij gehackt is, maar omdat hij overspoeld wordt. Vergelijk het met een georganiseerde menigte die de ingang van je winkel blokkeert.

Je website slaat al zijn gegevens (artikelen, klanten, bestellingen) op in een database. Bij een SQL-injectie worden via een slecht beveiligd formulier of een slecht beveiligde URL kwaadaardige opdrachten ingevoegd in die database. Zo kan de hacker op afstand je gegevens lezen, wijzigen of verwijderen.

Ransomware is schadelijke software die je bestanden versleutelt en losgeld eist om ze weer vrij te geven. Je gegevens zijn onbereikbaar tot je betaalt, en zelfs dan is het niet zeker dat je ze terugkrijgt. Dit soort aanvallen treft steeds vaker mkb-bedrijven, via hun website of hun hosting.

Een backdoor (of ‘achterdeur’) is een geheime toegang die een hacker bewust in je website achterlaat. Ook als je je wachtwoord wijzigt, kan hij via die verborgen ingang altijd terugkomen. Daarom is een snelle, oppervlakkige opschoning niet genoeg: je moet die achterdeuren opsporen en verwijderen.

Bij phishing doet iemand zich voor als een betrouwbare organisatie (bank, overheid, leverancier) om mensen te misleiden en gegevens van hen los te krijgen. Je gehackte website kan buiten jouw medeweten worden gebruikt om valse inlogpagina’s van banken te hosten – en daarvoor kun je mogelijk aansprakelijk worden gesteld.

Bezoekers komen op je website, maar worden automatisch doorgestuurd naar een andere site – vaak een nepwebshop, een site met inhoud voor volwassenen of een phishingpagina. Zelf zie je het niet (de hacker richt zich vaak alleen op mobiele bezoekers of op bezoekers die via Google komen), maar je klanten krijgen het wel voorgeschoteld.

Een goede WordPress-opschoning is meer dan een antivirusplug-in installeren. Dit zijn de stappen van een professioneel herstel:

Back-up van de huidige staat, ook al is die besmet, zodat je een referentiepunt hebt voordat er iets verandert

Volledige scan van de bestanden, waarbij elk gewijzigd, toegevoegd of beschadigd bestand in kaart wordt gebracht

Handmatige opschoning, bestand voor bestand, omdat automatische tools lang niet alle infecties vinden

Opschonen van de database: verwijderen van geïnjecteerde links, scripts en inhoud

Verwijderen van backdoors: de achterdeurtjes die de hacker heeft achtergelaten om terug te komen

Beveiliging & updates: het lek dichten waarlangs de hacker binnenkwam

Pas op voor oppervlakkig opschonen: wie alleen de zichtbare bestanden verwijdert zonder naar backdoors te zoeken, krijgt vrijwel altijd binnen enkele dagen of weken een nieuwe besmetting.

Een gehackte website laat dat niet altijd duidelijk merken. Op deze signalen moet je letten:

Redirects: bezoekers worden naar een onbekende website gestuurd, vaak alleen als ze via Google komen

Waarschuwing van Google: in de zoekresultaten verschijnt een melding dat je website schadelijk kan zijn

Onbekende inhoud: in Google Search Console duiken pagina’s in het Japans, Russisch of Chinees op

Beheerdersaccounts: er staan beheerders tussen die jij niet hebt aangemaakt

Spammails: je hostingprovider meldt dat je website duizenden e-mails verstuurt

Daling van het verkeer: je verkeer uit Google zakt plotseling in zonder duidelijke reden

Handige check: typ ‘site:jouwdomein.nl’ in Google. Zie je pagina’s die je niet kent, dan is je website zeer waarschijnlijk besmet.

Dat is een serieuze vraag, zeker als je een webshop hebt of een website met contactformulieren. Afhankelijk van het soort aanval kan een hacker mogelijk toegang krijgen tot:

Namen, e-mailadressen en telefoonnummers van je klanten · Bestelgeschiedenissen · Opgeslagen wachtwoorden (als die niet versleuteld zijn) · Betaalgegevens, als je betaalproces niet goed beveiligd is.

Wettelijke verplichting: lekken er persoonsgegevens uit, dan moet je dat datalek volgens de AVG (artikel 33) binnen 72 uur nadat je het hebt ontdekt melden bij de Autoriteit Persoonsgegevens (AP), tenzij het waarschijnlijk geen risico oplevert voor de betrokkenen. Is het risico hoog, dan moet je ook de betrokkenen zelf informeren (artikel 34). Dit is geen juridisch advies: laat je bij twijfel bijstaan door een jurist of je functionaris gegevensbescherming. Référenceur onderzoekt bij elke opschoning of er gegevens zijn buitgemaakt en legt de bevindingen vast, zodat je de juiste stappen kunt zetten.