Je website is gehackt. Wat nu?

Zit je hier omdat het nu speelt? Bel me direct op 06 21 63 56 36. De rest van dit artikel lees je later wel.

Een gehackte website voelt persoonlijk, maar dat is het bijna nooit. Websites worden automatisch gescand op bekende lekken in verouderde plugins en thema’s. Je wordt niet uitgekozen, je wordt gevonden.

Hieronder staat wat je in het eerste uur doet, wat je vooral niet moet doen en hoe je voorkomt dat het opnieuw gebeurt.

Hoe je het merkt

Soms is het duidelijk, meestal niet. Dit zijn de signalen:

• Google toont een waarschuwing voor je site in de zoekresultaten, of je browser blokkeert hem
• Bezoekers worden doorgestuurd naar een andere website, vaak alleen op mobiel
• Er staan pagina’s of links op je site die jij er niet op hebt gezet, vaak over medicijnen, gokken of merkkleding
• Je site is ineens veel trager geworden
• Je hostingpartij mailt over verdacht verkeer of over spam die vanaf jouw account wordt verstuurd
• Je kunt zelf niet meer inloggen, of er staat een beheerder in WordPress die je niet kent

Dat vierde en vijfde punt zijn de meest voorkomende. De meeste hacks gebruiken je site niet om jou te schaden, maar om spam te versturen of om in Google te scoren op andermans zoekwoorden.

Het eerste uur

1. Zet de site tijdelijk offline. Dat voelt als de wereld vergaan, maar het is de goedkoopste stap. Elke minuut dat een besmette site online staat, verzamelt Google meer bewijs en loopt je reputatie verder op. Een eenvoudige onderhoudspagina is genoeg.
2. Wijzig de wachtwoorden. Alle WordPress-beheerders, je hostingaccount, de database en FTP of SFTP. Doe dit vanaf een computer waarvan je zeker weet dat hij schoon is.
3. Kijk wanneer het begonnen is. In je hostingpaneel zie je aan de wijzigingsdatum van bestanden vaak precies op welke dag er iets is aangepast. Die datum bepaalt welke back-up je nodig hebt.
4. Bekijk de beheerders in WordPress. Staat er een account tussen dat je niet kent, verwijder het. Noteer wel eerst de naam en de aanmaakdatum.
5. Zoek de back-up van voor die datum. Niet de nieuwste. De nieuwste bevat het probleem waarschijnlijk al. Hoe je erachter komt of je back-up bruikbaar is, staat in Back-ups van je website
6. Bel iemand die dit vaker heeft gedaan. Vanaf hier is het geen klusje meer. Doe je het half, dan staat het er over twee weken weer op.

Wat je vooral niet moet doen

Niet alleen de zichtbare rommel weghalen. De pagina’s die je ziet zijn het gevolg, niet de oorzaak. Haal je die weg en laat je het lek zitten, dan komt alles binnen enkele dagen terug.

Niet meteen alles updaten. Het klinkt logisch, maar je overschrijft er sporen mee waaraan te zien is hoe ze binnen zijn gekomen. Eerst vaststellen wat er gebeurd is, dan opruimen, dan bijwerken.

Niet zomaar de nieuwste back-up terugzetten. Zat de besmetting er toen al in, dan zet je hem netjes terug.

Geen “malware removal” plugin installeren en denken dat je klaar bent. Die vinden het bekende deel. Wat ze laten staan is precies het deel waardoor het terugkomt.

Schoonmaken of terugzetten?

Twee routes, en de keuze hangt af van wat je hebt.

Heb je een betrouwbare back-up van voor de besmetting, dan is terugzetten meestal het snelst. Daarna direct alles bijwerken en het lek dichten, anders ben je binnen een week terug bij af.

Heb je die back-up niet, dan moet de site worden schoongemaakt. Dat betekent WordPress en alle plugins vervangen door schone versies, het thema bestand voor bestand nalopen, de database controleren op ingevoegde code en alle gebruikers doorlopen.

In beide gevallen hoort daarna hetzelfde rijtje: alle wachtwoorden vernieuwen, PHP en WordPress naar een ondersteunde versie, plugins die niet meer onderhouden worden vervangen, en bij Google Search Console een herbeoordeling aanvragen als je een waarschuwing hebt gekregen.

Zijn er persoonsgegevens gelekt?

Staan er persoonsgegevens op je site, bijvoorbeeld via een webshop, een klantportaal of opgeslagen formulierinzendingen, dan kan een hack een datalek zijn. Dat moet je beoordelen en in veel gevallen binnen 72 uur melden bij de Autoriteit Persoonsgegevens, en soms ook bij de betrokkenen zelf.

Leg daarom vast wat je aantreft en wanneer: welke bestanden waren aangepast, welke gegevens waren benaderbaar, wanneer is het begonnen. Twijfel je of het meldplichtig is, overleg dan met iemand die daar verstand van heeft. Wat hier staat is uitleg, geen juridisch advies.

Zo voorkom je het

Er is geen enkele maatregel die alles tegenhoudt, maar deze vijf halen het grootste deel van het risico weg:

• Bijwerken, elke twee weken. Verreweg het belangrijkste. Zie Hoe vaak moet je je website updaten?
• Geen plugins die niet meer onderhouden worden. Elke plugin is een deur. Een deur die niemand meer onderhoudt, blijft openstaan.
• Tweestapsverificatie op alle beheerdersaccounts. Kost vijf minuten en blokkeert de simpelste aanvallen volledig.
• Een ondersteunde PHP-versie. Onder de ondersteunde versies krijg je geen beveiligingsfixes meer, wat je verder ook doet.
• Monitoring. Zodat je het merkt op dag een en niet op dag veertig, wanneer al je back-ups besmet zijn.

Dat is precies wat er in mijn beheerpakket zit. Ik neem de website inclusief hosting over en zorg dat dit lijstje gewoon geregeld is, vanaf 29 euro per maand. Wat er verder in zit staat in Wat kost WordPress onderhoud?

Speelt het nu? Bel me. Speelt het niet en wil je weten hoe kwetsbaar je site is? Stuur me het adres, dan kijk ik ernaar.