Is je website gehackt? Scherm de site direct af, meld het bij je hoster, wijzig alle wachtwoorden en maak een kopie voordat je iets wist. Ruim daarna grondig op (of zet een schone back-up terug), dicht het lek waardoor ze binnenkwamen en herstel je reputatie bij Google. Hieronder staan de zeven stappen op volgorde, voor elke site: WordPress, Joomla, Magento of een andere webshop.
Eerste hulp bij een hack: het stappenplan
1. Scherm de website af
Een gehackte site besmet vaak zijn bezoekers: met doorverwijzingen naar gok- of phishingsites, nep-betaalpagina's of malware die gedownload wordt. Zet de site daarom in onderhoudsstand, of vraag je hoster om de toegang tijdelijk te blokkeren. Liever een paar uur offline dan dat je klanten iets oplopen of Google je domein op de zwarte lijst zet.
2. Licht je hoster in
Je hoster ziet meer dan jij: serverlogboeken, welke bestanden wanneer gewijzigd zijn, en of er spam vanaf je account wordt verstuurd. Vaak hebben ze ook back-ups van vóór de inbraak. Meld het dus meteen. Staan er meer sites op hetzelfde hostingaccount, noem die dan ook; een hack springt makkelijk over naar de buren.
3. Wijzig alle wachtwoorden
Ga ervan uit dat elk wachtwoord dat met de site te maken heeft bekend is. Wijzig daarom:
- de beheerdersaccounts van je site (WordPress, Joomla, de webshop);
- het hostingpaneel (DirectAdmin, Plesk, cPanel of wat je hoster gebruikt);
- FTP/SFTP en de databasegebruiker;
- de e-mailaccounts op het domein, zeker als er spam vandaan komt.
Gebruik overal een uniek, lang wachtwoord en zet tweestapsverificatie aan waar dat kan. Loop meteen de beheerderslijst na: een onbekend account is vrijwel altijd de achterdeur van de inbreker.
4. Maak een volledige kopie en wis nog niets
Het voelt tegenstrijdig, maar maak eerst een kopie van alle bestanden, de database en de logboeken, hoe besmet ook. Die forensische kopie vertelt wanneer de inbraak begon en hoe de aanvaller binnenkwam. Gooi je de sporen weg, dan dicht je het lek niet en sta je volgende maand op hetzelfde punt. Zet de kopie buiten de webroot of download hem naar je eigen computer.
5. Ruim grondig op of zet een schone back-up terug
Je hebt twee routes:
- Opruimen. Vervang de kern van je CMS, alle plugins en thema's door verse downloads van de officiële bron, in plaats van besmette bestanden één voor één te repareren. Zoek naar PHP-bestanden op plekken waar ze niet horen (zoals de uploads-map) en kijk ook in de database: daar slapen vaak verborgen beheerders en ingespoten scripts.
- Een back-up terugzetten. Prima, mits die back-up van vóór de hack is. Veel inbraken blijven weken onopgemerkt, dus kijk eerst naar de datum van het eerste vreemde bestand of account.
Welke route je ook kiest: scan daarna opnieuw. Bij de sites die wij opschonen vindt een tweede scan regelmatig nog een achterdeurtje dat de eerste ronde miste. Pas als een verse scan niets meer vindt, is de site schoon.
6. Dicht het lek
Een schone site met een open deur is binnen een week weer besmet. Zoek dus uit hoe ze binnenkwamen. De meest voorkomende ingangen:
- een verouderde plugin, extensie of thema met een bekend lek;
- een gelekt of zwak wachtwoord, of een brute-force-aanval op het inlogscherm;
- een 'nulled' (gekraakte) plugin of thema met een ingebouwde achterdeur;
- een andere besmette site op hetzelfde hostingaccount.
Werk daarna alles bij, verwijder plugins en thema's die je niet gebruikt en ververs de beveiligingssleutels (bij WordPress de salts in wp-config.php). Gebruik je WordPress, dan staat in het WordPress-stappenplan per onderdeel waar je moet kijken.
7. Herstel je reputatie en controleer op een datalek
- Google. Was je site gemarkeerd ("Deze site is mogelijk gehackt" of een rode waarschuwing), vraag dan via Google Search Console een herbeoordeling aan.
- E-mail. Is er spam vanaf je domein verstuurd, controleer dan of je domein of server op zwarte lijsten staat en vraag waar nodig verwijdering aan. Meer daarover in spam vanaf je domein stoppen.
- Datalek. Staan er persoonsgegevens op de site (klantaccounts, bestellingen, formulierinzendingen) en kunnen die zijn ingezien, dan meld je dat binnen 72 uur bij de Autoriteit Persoonsgegevens. Aangifte bij de politie is niet verplicht, maar kan wel.
Algemene adviezen over digitale incidenten vind je ook bij het Nationaal Cyber Security Centrum (NCSC).
Wat je beter niet doet
- Alleen de zichtbare rommel weghalen. De spampagina of doorverwijzing is het symptoom; de achterdeurtjes blijven staan.
- Direct alles wissen en opnieuw beginnen. Zonder kopie weet je nooit hoe ze binnenkwamen.
- Een willekeurige back-up terugzetten. Is die ook besmet, dan zet je de hack gewoon terug.
- Afwachten. Hoe langer malware op je site staat, hoe groter de schade: in Google, bij je mail en bij je klanten. Wat er allemaal op het spel staat, lees je in de gevolgen van een gehackte website.
Wanneer schakel je hulp in?
Veel kun je zelf, met de stappen hierboven. Maar haal er iemand bij als de hack terugkomt nadat je hebt opgeruimd, als er een webshop draait of klantgegevens op de site staan, of als je niet thuis bent in FTP, databases en serverbestanden. Half opruimen is riskanter dan niets doen, omdat het een vals gevoel van veiligheid geeft.
Zo pakt Correcthosting het aan
Wil je het uit handen geven? Correcthosting (Beverwijk, hostingbedrijf sinds 2006) maakt gehackte websites en webshops schoon voor € 50 inclusief btw per website, meestal binnen een uur. Niet opgelost betekent niet betalen. Je site hoeft er niet voor bij ons gehost te staan; we helpen je bij elke hostingpartij, overal in Nederland.
We werken met eigen scansoftware: eerst een volledige back-up, dan alle malware en achterdeurtjes eruit, ook uit de database. Daarna dichten we het lek, werken we alles bij en verversen we wachtwoorden en beveiligingssleutels. Tot slot scannen we opnieuw, net zo lang tot er niets meer gevonden wordt.
Je bereikt ons elke dag van 06:00 tot middernacht, ook in het weekend, via WhatsApp of telefoon. Je krijgt direct een specialist aan de lijn, geen callcenter of ticketsysteem. Meer weten? Kijk op de spoedhulppagina.