Is je WordPress-site gehackt? Je merkt het meestal niet zelf, maar via een klant die belt over een vreemde doorverwijzing, via Google die waarschuwt of via je hoster die je site offline haalt. Hieronder lees je aan welke signalen je het herkent en wat je als eerste doet. Het belangrijkste: niet in paniek alles verwijderen, want dan raak je ook de sporen kwijt.

Wat betekent dit voor jou?

Denk je dat je site gehackt is, verwijder dan niets en bel je bouwer of beheerder. Wijzig je wachtwoorden en vraag je hoster om de logs. Bewaart je site gegevens van klanten of cliënten, schakel dan ook direct iemand in die je helpt met de afweging of het een datalek is. De stappen hieronder zijn voor wie het opruimen zelf wil begrijpen.

De signalen

Een hack is zelden zichtbaar als een vernield ontwerp. Aanvallers willen juist dat het niet opvalt, zodat ze je site zo lang mogelijk kunnen gebruiken. Let op deze signalen:

  • Bezoekers worden doorgestuurd naar een andere site, soms alleen vanaf Google of alleen op mobiel.
  • In Google staan pagina's van jouw site met titels over medicijnen, loterijen of goedkope merkkleding.
  • Je browser of Google laat een rode waarschuwing zien.
  • Er staan gebruikers in WordPress die je niet kent, vaak met beheerdersrechten.
  • Je hoster meldt dat je site spam verstuurt of veel rekenkracht gebruikt.
  • Er staan PHP-bestanden in je map met uploads. Daar horen alleen afbeeldingen en documenten.

Google beschrijft in de hulp bij het rapport Beveiligingsproblemen in Search Console welke soorten problemen het zelf ziet en meldt. Heb je Search Console gekoppeld, dan krijg je daar ook een melding.

Wat je als eerste doet

Leg vast wat je ziet

Maak schermafbeeldingen van de vreemde pagina's en noteer wanneer je het merkte. Dat helpt later bij het uitzoeken hoe het is gebeurd.

Maak een kopie van de huidige toestand

Ook al is de site besmet: maak een volledige back-up van hoe hij nu is, en bewaar die apart. Daarin staan de sporen die je nodig hebt om te begrijpen wat er gebeurde. Gebruik hem niet om terug te zetten.

Wijzig alle wachtwoorden

Dat geldt voor WordPress, je hostingpaneel, FTP, de database en je mail. Doe dat vanaf een computer waarvan je zeker weet dat hij schoon is.

Vraag je hoster om de logs

Je hoster bewaart vaak een paar weken aan toegangslogs. Daarin is te zien wat er is opgevraagd. Vraag ze op voordat ze worden overschreven.

Kijk of er persoonsgegevens bij zijn

Bewaart je site formulierinzendingen, klantgegevens of bestellingen? Dan kan er sprake zijn van een datalek. Een datalek moet je binnen 72 uur nadat je het ontdekte melden bij de Autoriteit Persoonsgegevens, tenzij het waarschijnlijk geen risico oplevert voor de mensen om wie het gaat. Die afweging maak jij als eigenaar; laat je daarover adviseren door een specialist.

Opruimen

Een gehackte site opruimen is meer dan de zichtbare spam weghalen. Aanvallers laten meestal een achterdeur achter, zodat ze terug kunnen komen. WordPress zelf geeft in de FAQ over gehackte sites een overzicht van de stappen. Grofweg komt het hierop neer:

  • WordPress, thema en plugins opnieuw installeren vanuit een schone bron.
  • Alle bestanden doorzoeken op onbekende of aangepaste PHP-bestanden.
  • Onbekende gebruikers verwijderen en de database nakijken op ingevoegde code.
  • Het lek dichten waardoor de aanvaller binnenkwam, vaak een verouderde plugin.
  • Daarna Google vragen de site opnieuw te beoordelen.

Voorkomen is minder werk

De meeste hacks zijn te voorkomen met updates, sterke wachtwoorden met tweestapsverificatie en het opruimen van wat je niet gebruikt. Lees daarvoor ook wie er kan inloggen op je WordPress en hoe je een goede back-up maakt.

Veelgestelde vragen

Kan ik gewoon een oude back-up terugzetten?

Dat kan als tijdelijke oplossing, maar alleen als je zeker weet dat die back-up van vóór de hack is. En het lek waardoor de aanvaller binnenkwam, zit er dan nog steeds in.

Moet ik een gehackte site melden?

Bij je hoster altijd. Bij de Autoriteit Persoonsgegevens als er persoonsgegevens kunnen zijn ingezien en er een risico is voor de mensen om wie het gaat.

Kun jij een gehackte site opruimen?

Bij WordPress-sites op gewone hosting help ik met het opruimen en beveiligen. Gaat het om een groot of onduidelijk datalek, dan hoort het onderzoek en de juridische afweging bij een specialist. Wil je eerst weten hoe je site er van buiten voor staat? Doe de gratis websitecheck.