Website gehackt: wat moet je nu doen?

Een klant belt: “Als ik op je website klik, kom ik op een casinosite.” Of Google zet een rode waarschuwing boven je zoekresultaat. Of je ziet opeens honderden pagina’s in het Japans in Search Console. Je website is gehackt.

Dat is schrikken, maar het is geen reden om in paniek dingen te wissen. De volgorde waarin je handelt, bepaalt hoe snel je er weer uit bent. Hieronder lees je wat je doet, van het eerste uur tot de week erna.

Hoe je herkent dat je site gehackt is

Een hack is niet altijd zichtbaar voor jou als eigenaar. Veel aanvallers verbergen hun werk juist voor ingelogde beheerders. Let op:

• bezoekers die worden doorgestuurd naar een andere site, soms alleen op mobiel of alleen vanuit Google;
• pagina’s, links of teksten die je niet kent, vaak over medicijnen, gokken of namaakproducten;
• een waarschuwing in Google of in de browser;
• nieuwe beheerdersaccounts in je CMS;
• een melding van je hostingpartij over verdachte bestanden of verstuurde spam;
• een site die ineens veel trager is.

Het eerste uur: schade beperken

1. Haal de site uit de lucht of zet hem in onderhoudsmodus. Zo bescherm je je bezoekers en stop je doorsturen of verspreiding van malware. Kan dat niet zelf, vraag het je hostingpartij.
2. Wijzig alle wachtwoorden, vanaf een apparaat waarvan je zeker weet dat het schoon is: het beheer van je website, je hostingaccount, FTP of SFTP, de database en het e-mailaccount waarmee je wachtwoorden herstelt. Zet tweestapsverificatie aan waar het kan.
3. Schakel je webbouwer of hostingpartij in. Zeg erbij wat je hebt gezien en wanneer.
4. Wis nog niets. Laat eerst een kopie maken van de site zoals hij nu is, inclusief logbestanden. Die heb je nodig om te achterhalen hoe de aanvaller binnenkwam.

Uitzoeken hoe het is gebeurd

De meeste websitehacks komen niet door een geniale aanval, maar door iets eenvoudigs:

• een verouderde plug-in, thema of CMS-versie met een bekend lek;
• een zwak of hergebruikt wachtwoord van een beheerder;
• een oude, vergeten installatie op hetzelfde hostingaccount;
• een plug-in uit een onbetrouwbare bron.

Weet je niet hoe ze binnenkwamen, dan is herstellen zinloos: dan zijn ze er volgende week weer.

De site schoon terugkrijgen

Er zijn twee routes:

• Terugzetten van een schone back-up. De snelste route, als je een back-up hebt van vóór de inbraak. Zet die terug, werk daarna direct alles bij en dicht het lek. Zonder dat laatste zet je de deur gewoon weer open.
• Handmatig opschonen. Als er geen bruikbare back-up is. Dat is specialistenwerk: aanvallers verstoppen vaak een achterdeur op meerdere plekken, en één gemiste regel is genoeg om opnieuw binnen te komen.

Controleer na het herstel of er geen onbekende beheerders meer zijn, of alle plug-ins bijgewerkt zijn en of wat je niet gebruikt is verwijderd.

Google opnieuw laten kijken

Heeft Google een waarschuwing bij je site gezet, kijk dan in Google Search Console bij Beveiligingsproblemen. Is de site schoon, dan vraag je daar een beoordeling aan. Staan er spampagina’s in de index, verwijder die en vraag via Search Console om ze uit de zoekresultaten te halen. Hoe Search Console werkt, lees je in Google Search Console: wat heb je eraan.

Moet je het melden?

• Datalek: konden persoonsgegevens worden ingezien of gestolen, bijvoorbeeld ingevulde contactformulieren, klantaccounts of bestellingen, dan moet je dat in de regel binnen 72 uur melden bij de Autoriteit Persoonsgegevens. Is het risico voor de betrokkenen hoog, dan informeer je hen ook. Twijfel je, leg dan in elk geval vast wat er is gebeurd en waarom je wel of niet meldt.
• Aangifte: doe aangifte bij de politie. Dat is ook handig voor je verzekering.
• Klanten: stuurde je site bezoekers door naar schadelijke pagina’s, overweeg dan een korte, eerlijke melding.

Zo voorkom je de volgende keer

• Houd het CMS, thema’s en plug-ins bijgewerkt, liefst automatisch en bewaakt.
• Verwijder plug-ins, thema’s en oude installaties die je niet gebruikt.
• Geef elke beheerder een eigen account met een sterk wachtwoord en tweestapsverificatie. Een wachtwoordmanager helpt; zie zakelijke wachtwoordmanager.
• Maak automatische back-ups die buiten de hostingomgeving worden bewaard, en test af en toe of terugzetten werkt.
• Laat de site bewaken, zodat een inbraak binnen uren opvalt in plaats van na weken.

Bij veel sites is WordPress met een stapel plug-ins de zwakke plek. Of dat voor jou de juiste basis is, lees je in WordPress of een beheerde website.

Hoe SEBA Connect hierbij helpt

Bij hosting en onderhoud houden we de site bijgewerkt, maken we back-ups die we ook terugzetten om te testen, en bewaken we de site zodat een probleem snel opvalt. Is je site nu gehackt en zit hij nog niet bij ons, neem dan contact op: we kijken mee wat de snelste weg terug is.