Website gehackt? Doe dit eerst (stappenplan)

Je opent je website en er staat iets wat er niet hoort: een vreemde pagina, een doorverwijzing naar een casino, of een rode waarschuwing van Google. Of je hostingpartij mailt dat er malware op je site is gevonden. Dit stappenplan zet de eerste uren op een rij, in de volgorde waarin je het beste kunt werken.

Wijzig eerst alle wachtwoorden, bel je hostingpartij, maak een kopie van de site zoals die nu is, en zet daarna pas schoon of terug. Zet geen back-up terug zonder het lek te dichten, want dan staat de deur nog open. Heb je er geen tijd of kennis voor, dan helpen wij bij herstel van een gehackte website.

Wat doe je als je website gehackt is?

Begin rustig en werk in deze volgorde. De stappen komen grotendeels uit de WordPress-documentatie over gehackte sites en de uitleg van Google over beveiligingsproblemen; waar het alleen voor WordPress geldt, staat dat erbij.

1. Leg vast wat je ziet

Maak screenshots van wat je ziet en noteer wanneer je het merkte en wat er recent is veranderd: een update, een nieuwe plugin, een nieuwe gebruiker. Dat helpt later bij het zoeken naar de oorzaak. Pas nog niets aan.

2. Controleer je eigen computer

Aanvallers komen soms binnen via de computer van de beheerder. Draai een virusscan op de computer waarmee je inlogt, voordat je nieuwe wachtwoorden invoert. Anders geef je ze mogelijk meteen weer weg.

3. Wijzig alle wachtwoorden

Verander de wachtwoorden van alles waarmee de site te beheren is, vanaf een schone computer:

• WordPress of het CMS, voor álle beheerders
• de hosting en het bestandsbeheer (FTP/SFTP)
• de database
• je domeinbeheer
• de mailaccounts die op de site gekoppeld zijn

Gebruik per account een uniek, lang wachtwoord en zet waar het kan tweestapsverificatie aan. Bij WordPress adviseert de documentatie ook de beveiligingssleutels in wp-config.php te vernieuwen, waarmee bestaande inlogsessies ongeldig worden.

4. Neem contact op met je hostingpartij

Vraag of zij de hack kunnen bevestigen en wat zij zien in de logbestanden. Zit je site op gedeelde hosting, dan kunnen ook andere sites op dezelfde server geraakt zijn. Sommige hosters zetten een besmette site tijdelijk offline of bieden een scan aan. Vraag ook of ze back-ups hebben en van welke datum.

5. Maak een kopie van de site zoals die nu is

Dit klinkt vreemd, maar de WordPress-documentatie adviseert het: maak ook van de besmette site een back-up. Je gebruikt die niet om terug te zetten, maar als referentie om te zien wat er is veranderd en hoe de aanvaller binnenkwam. Bewaar hem buiten de site.

6. Scan de site

Scan de site op malware. De WordPress-documentatie noemt twee soorten tools: scanners die op je site draaien, als beveiligingsplugin, en scanners die je site van buitenaf bekijken. Een scan kan een hack vinden, maar een schone scan bewijst niet dat de site schoon is. Verborgen achterdeuren zie je niet altijd.

7. Zoek de hack en verwijder hem

Dit is volgens de documentatie het lastigste deel. Zoek naar:

• bestanden die je niet kent of recent zijn gewijzigd, vooral in wp-content/uploads, in thema’s en in plugins
• gebruikers met beheerdersrechten die je niet zelf hebt aangemaakt
• vreemde code in wp-config.php, .htaccess en index.php
• onbekende geplande taken

Bij WordPress is een gangbare aanpak om de kern, plugins en thema’s te vervangen door schone kopieën van de originele bronnen, in plaats van losse regels weg te halen. Dit werk is precies waar je fouten kunt maken: een stukje code dat je mist, zorgt dat de aanvaller terugkomt. Twijfel je, laat het dan doen.

8. Werk alles bij en dicht het lek

Update WordPress, plugins en thema’s naar de nieuwste versies, en verwijder wat je niet gebruikt. Een verouderde of verlaten plugin is een veelvoorkomende ingang, maar ook een zwak wachtwoord kan de oorzaak zijn. Daarom zoek je naar de oorzaak voordat je terugzet of live gaat.

9. Wijzig de wachtwoorden nog een keer

Doe dat zodra je zeker weet dat de site schoon is. Een aanvaller die nog toegang had tijdens het schoonmaken, kan anders met de oude gegevens terugkomen.

10. Los de melding bij Google op

Zie hieronder.

Wanneer zet je beter geen back-up terug?

Zet geen back-up terug zolang je niet weet hoe de aanvaller binnenkwam. Een back-up bevat dezelfde kwetsbare plugin, hetzelfde zwakke wachtwoord of dezelfde achterdeur als de site vóór de hack. Je zet de deur dan zelf weer open.

Een back-up terugzetten kan wel een goede route zijn, als:

• de back-up van vóór de hack is (je weet vaak niet precies wanneer de hack begon, dus kies liever een ruime marge)
• je daarna meteen alle wachtwoorden vernieuwt en alles bijwerkt
• je de oorzaak hebt gevonden of op zijn minst de kwetsbare onderdelen hebt vervangen

Heb je geen werkende back-up, dan is schoonmaken de enige route. Daarom is een back-up buiten de server belangrijk, ook los van hacks. Lees hoe back-ups bij ons werken.

Mijn website wordt door Google geblokkeerd: wat nu?

Als Google op je site iets vindt wat schadelijk is, zie je bezoekers een waarschuwing in de zoekresultaten of in de browser. Je ziet dat ook in Google Search Console, als je die hebt gekoppeld. Daar staat het rapport Beveiligingsproblemen.

Dit is de route:

1. Open Google Search Console en ga naar Beveiligingsproblemen. Hier staat wat Google ziet: bijvoorbeeld geïnfecteerde pagina’s of phishing.
2. Los de problemen op. Maak de site schoon (stappen hierboven).
3. Vraag een nieuwe beoordeling aan via het rapport, nadat je alles hebt opgelost. Beschrijf kort wat je hebt gedaan.
4. Wacht op de uitkomst. Volgens Google kunnen beoordelingen tijd kosten. Dien niet opnieuw in zolang je aanvraag loopt en let op de mail van Search Console.

Heb je Search Console nog niet? Registreer je site daar alvast: je ziet dan ook sneller wanneer er iets mis is. De WordPress-documentatie noemt dit ook als stap, omdat zoekmachines gehackte sites kunnen blacklisten.

Hoe voorkom je dat het opnieuw gebeurt?

Een hack voorkom je niet voor 100%, maar je verkleint de kans:

• Updates. Houd WordPress, plugins en thema’s bij. Veel hacks gaan via verouderde onderdelen.
• Minder plugins. Verwijder wat je niet gebruikt, en kies plugins die actief worden bijgehouden.
• Sterke wachtwoorden en tweestapsverificatie voor elke beheerder.
• Back-ups buiten de server, en weten hoe je ze terugzet.
• Monitoring. Zo merk je een hack voordat een bezoeker of Google het merkt.
• Beperk beheerdersrechten. Niet iedereen die iets op de site doet hoeft beheerder te zijn.

Dat is precies wat we doen bij WordPress-onderhoud: updates, back-ups, beveiliging en monitoring, vanaf €39 per maand (excl. btw). Alle pakketten staan op de prijzenpagina. Dat voorkomt niet elke hack, maar het verkleint de kans.

Wat als je er zelf niet uitkomt?

Dan is hulp inschakelen verstandig, zeker als je webshop of klantgegevens op de site staan. Wij helpen je met het vastleggen, schoonmaken, het zoeken naar de oorzaak en het afhandelen van de Google-melding. Je hoort vooraf wat het kost. Lees meer over website of WordPress gehackt: herstel, of over een WordPress specialist.

Wil je eerst weten waar je site kwetsbaar is? De gratis website-check doet bijna 150 controles en laat onder meer zien of je HTTPS goed is ingesteld. Een scan op malware is dat niet. Wil je dat wij je site scannen en opschonen, neem dan contact op. Je hoort binnen één werkdag van ons en krijgt vooraf een vaste prijs.

Bronnen: de WordPress-handleiding FAQ: My site was hacked en de uitleg van Google over het rapport Beveiligingsproblemen in Search Console.