WordPress gehackt?

Hoe zie je dat je site gehackt is?

Een hack is lang niet altijd zichtbaar op je voorpagina. Eén signaal kan toeval zijn, twee of meer is reden om de stappen hieronder te volgen. Let op deze signalen:

• Bezoekers worden doorgestuurd naar een andere site, soms alleen als ze via Google of op hun telefoon binnenkomen, zodat jij er zelf niets van merkt.
• In Google verschijnen pagina’s van jouw site met teksten over pillen, casino’s of in een vreemde taal; typ eens site:jouwdomein.nl in Google en kijk wat er voorbijkomt.
• Je browser of die van een klant toont een rode waarschuwing bij je site.
• Je hostingpartij meldt dat je site spam verstuurt of zet hem uit.
• In je WordPress staan beheerders of plug-ins die je niet kent.
• Je kunt ineens niet meer inloggen.

Eerst: geen paniek, en niets wissen

De eerste neiging is alles weggooien wat er vreemd uitziet. Doe dat nog niet. Verwijderde bestanden en accounts zijn ook sporen: daaraan kan iemand later zien hoe de inbreker binnenkwam en wanneer. Schrijf op wat je ziet, met datum en tijd, en maak schermafbeeldingen. Maak als het kan een kopie van de site zoals hij nu is, gehackt en wel, en bewaar die apart. Niet om terug te zetten, maar als bewijs en om te onderzoeken. Zet je site eventueel tijdelijk offline, of vraag je hoster dat te doen, zodat bezoekers geen schade oplopen.

Bel je hostingpartij

Je hoster is bij een hack je belangrijkste bondgenoot. Die kan in de logboeken van de server zien wat er is gebeurd, heeft vaak eigen scanners en houdt meestal back-ups bij van de afgelopen dagen of weken. Soms heeft de hoster je site zelf al stilgezet omdat er spam vanaf kwam. Vertel wat je hebt gezien en vraag drie dingen: kunnen jullie zien hoe ze binnenkwamen, welke back-ups zijn er en van welke datum, en kunnen jullie meekijken bij het opschonen. Heeft een webbouwer of onderhoudspartij je site in beheer, schakel die dan tegelijk in.

Verander al je wachtwoorden, en wel allemaal

Ga ervan uit dat de inbreker je wachtwoorden kent. Verander ze daarom allemaal, niet alleen dat van WordPress. Het gaat om: elk beheerdersaccount in WordPress, het klantenpaneel van je hosting, de FTP- of SFTP-toegang, de database en het mailaccount dat aan je site gekoppeld is. Het databasewachtwoord moet ook in het bestand wp-config.php worden aangepast, anders gaat je site plat; laat dat deel gerust aan je hoster over. Gebruik voor elk account een ander, lang wachtwoord en doe dit vanaf een computer waarvan je zeker weet dat hij schoon is. Kijk daarna in WordPress bij Gebruikers welke beheerders er zijn. Ken je er een niet, noteer dan de gegevens en haal het account daarna weg.

Scan je site, maar vertrouw niet blind op één scan

Er zijn twee soorten scanners. Een scanner van buitenaf, zoals de gratis Sucuri SiteCheck, bekijkt je site zoals een bezoeker hem ziet en vindt bijvoorbeeld kwaadaardige doorverwijzingen en of je op een zwarte lijst staat. Hij kan niet in de bestanden op de server kijken, dus een schone uitslag zegt niet alles. Een scanner binnenin WordPress, zoals de plug-in Wordfence, vergelijkt de bestanden van WordPress, je thema en je plug-ins met de originele versies en zoekt naar bekende kwaadaardige code. Doe het allebei en bewaar de uitslag. Vinden ze iets, dan weet je waar je moet zoeken. Vinden ze niets terwijl je wel signalen ziet, laat dan iemand met verstand van zaken meekijken.

Zet een schone back-up terug

De betrouwbaarste weg terug is een back-up van vóór de hack. Het lastige is weten wanneer de hack begon: inbrekers zitten soms weken stil voordat ze iets doen. Kies daarom een back-up van ruim vóór het eerste signaal, en reken erop dat je de wijzigingen van daarna opnieuw moet doen. Werk direct na het terugzetten WordPress, je thema en al je plug-ins bij. Doe je dat niet, dan zet je ook het gat terug waardoor ze binnenkwamen. Heb je geen bruikbare back-up, dan moet de site handmatig opgeschoond worden; dat is werk voor een specialist. Een eigen kopie hebben voor de volgende keer? Lees hoe je een WordPress-back-up maakt.

Laat Google weten dat het opgelost is

Heeft Google de hack opgemerkt, dan zie je dat in Google Search Console. Heb je nog geen Search Console, dan kun je je site er gratis aanmelden.

1. Open in Search Console het rapport Beveiligingsproblemen. Daar staat bijvoorbeeld of er gehackte inhoud of malware is gevonden.
2. Schoon alles op en test het. Vraag de beoordeling pas aan als echt alles schoon is.
3. Klik in dat rapport op Beoordeling aanvragen en beschrijf kort wat het probleem was en wat je hebt gedaan. Dien niet meerdere verzoeken tegelijk in.
4. Heb geduld: spampagina’s die in Google zijn beland, verdwijnen daarna niet meteen; dat kan even duren.

Daarna: zet de deuren op slot

Veel WordPress-hacks komen binnen via een verouderde plug-in of thema, of via een zwak of gelekt wachtwoord. Wil je dit niet zelf bijhouden, lees dan wat website laten onderhouden inhoudt.

• Werk WordPress, thema en plug-ins voortaan bij zodra er een update is.
• Verwijder plug-ins en thema’s die je niet gebruikt; uitgeschakeld is niet genoeg, ook die bestanden staan nog op de server.
• Zet tweestapsverificatie aan voor elke beheerder, zodat een wachtwoord alleen niet genoeg is om binnen te komen.
• Geef niet meer mensen beheerdersrechten dan nodig.
• Zorg voor automatische back-ups die je zelf kunt terugzetten.

Kunnen er persoonsgegevens gelekt zijn?

Denk ook even verder dan je website. Kwamen er via je contactformulier, nieuwsbrief, offerteaanvragen of een klantomgeving gegevens van mensen binnen, dan kan de inbreker die hebben ingezien. Dan is er mogelijk sprake van een datalek. Volgens de Autoriteit Persoonsgegevens moet je een datalek binnen 72 uur na ontdekking melden als het waarschijnlijk een risico is voor de mensen van wie de gegevens zijn. Is dat risico niet waarschijnlijk, dan hoeft melden niet, maar leg je het lek wel vast in je eigen administratie. Bij een hoog risico moet je de betrokkenen soms ook zelf informeren. Dit is geen juridisch advies: lees de uitleg op autoriteitpersoonsgegevens.nl of vraag iemand die er verstand van heeft, en wacht daar niet te lang mee.

Een site zonder inlogpagina en plug-ins

Is je site eenmaal schoon, dan is de vraag: hoe groot is de kans dat het opnieuw gebeurt? Bij WordPress blijft dat een kwestie van bijhouden. Er is ook een andere route. WordSwap zet je site over naar een versie zonder WordPress: kant-en-klare pagina’s, zonder database, zonder PHP en zonder plug-ins. Er is dan geen inlogpagina op je site waar bots wachtwoorden op uitproberen, en geen plug-ins met lekken. Onhackbaar bestaat niet, voor geen enkele website, maar de inbraakroutes waar de meeste gehackte WordPress-sites op sneuvelen, zijn dan weg. Hoe dat zit, lees je bij veiligheid en controle. De overstap kost eenmalig €150 tot €650, daarna vanaf €19 per maand, excl. btw. Zet je site wel eerst helemaal schoon voordat je overstapt.