WordPress website gehackt? Dit doe je in het eerste uur

Is je WordPress website gehackt, werk dan in deze volgorde: haal de site offline of zet hem in onderhoudsmodus, verander alle wachtwoorden, maak een kopie van de gehackte site en zet je laatste schone back-up veilig. Daarna schoon je de site op, dicht je het lek en vraag je Google via Search Console om een nieuwe beoordeling. Zijn er persoonsgegevens gelekt, denk dan aan de meldtermijn van 72 uur.

WordPress website gehackt? Check eerst of het echt een hack is

Is je WordPress website gehackt, dan voelt dat als een inbraak. Je wilt meteen iets doen. Maar niet elke vreemde storing is een hack. Een wit scherm of de melding 'Er is een kritieke fout op deze website' na een update komt meestal door een plugin die botst. Dat los je anders op, zoals je leest in WordPress werkt niet meer.

Deze signalen wijzen wel op een hack:

• Bezoekers worden doorgestuurd naar een andere site, soms alleen op mobiel of alleen als ze via Google komen.
• In Google staan pagina's van jouw domein die je nooit hebt gemaakt, bijvoorbeeld in het Japans of over medicijnen en casino's.
• Google of je browser waarschuwt dat de site mogelijk gehackt is of je computer kan beschadigen.
• Er staan beheerders in WordPress die je niet kent.
• Je hostingpartij heeft je site geblokkeerd of meldt dat er spam vanaf je server wordt verstuurd.
• Je beveiligingsplugin meldt gewijzigde bestanden die niemand heeft aangeraakt.

Website gehackt check in vijf minuten

1. Zoek in Google op site:jouwdomein.nl en kijk of er pagina's tussen staan die je niet kent.
2. Open in Google Search Console het rapport Beveiligingsproblemen. Daar meldt Google gehackte content, malware en ongewenste software, en social engineering zoals phishing.
3. Controleer je domein in de Safe Browsing-tool van het Google Transparantierapport.
4. Bekijk in WordPress onder Gebruikers wie er allemaal beheerder is.
5. Draai de scan van je beveiligingsplugin, als je die hebt.

Hackers laten de spam soms alleen aan Google zien. Jij merkt als bezoeker dan niets, terwijl Google al vreemde pagina's van je domein kent. Daarom is die zoekopdracht in stap 1 zo nuttig.

Noodplan: dit doe je in het eerste uur

Het eerste uur draait om de schade stoppen, niet om alles al op te lossen. Opschonen komt daarna. Werk in deze volgorde.

Stap 1. Leg vast wat je ziet

Maak screenshots van de waarschuwing, de vreemde pagina's en de onbekende gebruikers. Noteer wanneer je het merkte. Die informatie heb je straks nodig voor je hostingpartij, voor wie je site opschoont en eventueel voor een melding of aangifte.

Wis nog niets. Een onbekende beheerder verwijder je pas als je hebt genoteerd wie het is en wanneer het account is aangemaakt.

Stap 2. Haal de site offline of zet hem in onderhoudsmodus

Een gehackte site kan bezoekers besmetten, doorsturen naar oplichters of spam versturen uit jouw naam. Haal hem daarom van het net. Ook Google noemt het in zijn herstelstappen voor gehackte sites als een van de eerste dingen die je doet: de site in quarantaine zetten.

Doe dat bij voorkeur via je hostingpartij en niet via een plugin. Heeft de aanvaller beheerderstoegang, dan zet hij een onderhoudsplugin net zo makkelijk weer uit. Vraag je hostingpartij om de site tijdelijk te blokkeren, of zet via het controlepaneel een wachtwoord op de hele site. Kies je voor een onderhoudspagina, zorg dan dat die statuscode 503 geeft: tijdelijk niet beschikbaar. Zo weet Google dat het om een tijdelijke situatie gaat.

Neem meteen contact op met je hostingpartij. Vraag of zij iets hebben gezien, welke back-ups er zijn en of ze de toegangslogs kunnen bewaren.

Stap 3. Verander alle wachtwoorden

Ga ervan uit dat elk wachtwoord rond je website bekend is. Verander ze allemaal, vanaf een computer waarvan je zeker weet dat hij schoon is:

• je account bij de hostingpartij en het controlepaneel;
• de toegang via (S)FTP en SSH;
• het databasewachtwoord, en pas het daarna aan in wp-config.php, anders werkt je site niet meer;
• alle WordPress-accounts met de rol beheerder of redacteur;
• het e-mailadres waar je WordPress-beheerder aan gekoppeld is.

Vervang ook de beveiligingssleutels in wp-config.php, de zogeheten salts. Daarmee wordt iedereen die nog is ingelogd direct uitgelogd, ook de aanvaller. Zet daarna tweestapsverificatie aan op elk account dat het ondersteunt.

Stap 4. Maak een kopie van de gehackte site en zet je back-ups veilig

Een back-up maken van een gehackte site klinkt vreemd. Maar die kopie heb je nodig om te onderzoeken hoe de aanvaller binnenkwam, en als bewijs. Download de bestanden en de database en zet ze apart.

Kijk daarna welke back-ups er zijn en van wanneer. Veel hostingpartijen bewaren back-ups maar een beperkte tijd. Is de hack al weken oud, dan wordt je laatste schone back-up misschien binnenkort overschreven. Download de oudste beschikbare back-ups daarom nu.

Gehackte WordPress website herstellen

Na het eerste uur is de schade ingedamd. Nu ga je de site opschonen. Daar zijn twee routes voor.

Route 1: een schone back-up terugzetten

Heb je een back-up van vóór de hack, dan is dit de snelste weg. Zet hem terug en werk WordPress, alle plugins en je thema direct bij, nog voordat de site weer openstaat voor bezoekers. Anders zit hetzelfde lek er nog in en ben je binnen korte tijd opnieuw de klos.

Het lastige is dat je vaak niet precies weet wanneer de hack begon. Een aanvaller kan al een tijd binnen zijn voordat er iets zichtbaars gebeurt. Controleer de teruggezette site daarom ook op de signalen van hierboven.

Alles wat na de back-up is veranderd, zoals bestellingen of formulierinzendingen, ben je bij terugzetten kwijt. Exporteer die eerst uit de gehackte versie als je ze nodig hebt.

Route 2: WordPress malware verwijderen door op te schonen

Is er geen schone back-up, dan schoon je de site met de hand op. Dat is precisiewerk:

1. Vervang de bestanden van WordPress zelf door een verse download van wordpress.org. Laat wp-config.php en de map wp-content staan.
2. Verwijder alle plugins en thema's en installeer ze opnieuw uit de officiële bron of rechtstreeks van de maker. Gekraakte, zogeheten 'nulled' versies gooi je weg.
3. Zoek in de map wp-content/uploads naar PHP-bestanden. Die horen daar niet en zijn vaak een achterdeur.
4. Controleer wp-config.php en .htaccess op regels die je niet herkent, zoals doorverwijzingen.
5. Kijk in de database naar onbekende beheerders en naar scripts die in berichten, pagina's of instellingen zijn gezet.
6. Scan de site opnieuw en controleer of de vreemde pagina's en doorverwijzingen weg zijn.

Een beveiligingsplugin met een scan en detectie van gewijzigde bestanden laat je zien waar je moet zoeken. Het opschonen zelf blijft handwerk. Twijfel je of je alles hebt gevonden, laat het dan doen door iemand die dit vaker doet. Een half opgeschoonde site wordt vaak opnieuw gehackt via de achterdeur die bleef zitten.

Vind en dicht het lek

Opschonen zonder het lek te vinden is dweilen met de kraan open. Veelvoorkomende oorzaken zijn een plugin met een bekend lek, een gestolen of zwak wachtwoord, een gekraakt thema of een oud account dat niemand meer gebruikte. De toegangslogs van je hostingpartij laten vaak zien via welk bestand of welke inlog de aanvaller binnenkwam.

Draait je site bij een hostingpartij met verouderde software, of krijg je daar geen hulp of logs, dan is verhuizen naar betere hosting soms de verstandigste stap. Hoe je dat doet zonder bezoekers te verliezen, lees je in website migreren zonder SEO-verlies.

Google melden via Search Console

Is je site schoon en het lek gedicht, dan vraag je Google om de waarschuwing weg te halen:

1. Open in Google Search Console het rapport Beveiligingsproblemen.
2. Controleer of je alle problemen die daar staan op de hele site hebt opgelost.
3. Klik op Beoordeling aanvragen.
4. Beschrijf wat het probleem was, welke stappen je hebt gezet en wat het resultaat is.

Volgens Google duurt een beoordeling voor gehackte sites en malware een paar dagen tot een paar weken. Heb je nog geen Search Console, maak dan nu een account aan en verifieer je domein. Zonder dat kun je geen beoordeling aanvragen.

Hebben hackers spampagina's gemaakt die in Google staan, zorg dan dat die adressen na het opschonen een foutmelding geven (404 of 410). Dan verdwijnen ze na verloop van tijd uit de zoekresultaten. Staat je site na de hack slecht in Google of vind je hem helemaal niet meer terug, lees dan website niet zichtbaar in Google.

Persoonsgegevens gelekt? Denk aan de meldplicht

Bij een hack kunnen gegevens van klanten zijn ingezien of gestolen: formulierinzendingen, klantaccounts of bestellingen in je webshop. Dan is er mogelijk sprake van een datalek.

Volgens de AVG meld je een datalek bij de Autoriteit Persoonsgegevens binnen 72 uur nadat je ervan weet, tenzij het onwaarschijnlijk is dat het lek een risico vormt voor de mensen om wie het gaat. Is het risico hoog, dan informeer je die mensen ook zelf. Leg elk datalek daarnaast vast in een eigen overzicht, ook als je besluit niet te melden.

Wacht met melden niet tot je alles precies weet: je kunt een melding later aanvullen. Dit is geen juridisch advies. Twijfel je of je moet melden, kijk dan op de website van de AP of vraag een privacyjurist. Van de hack zelf kun je ook aangifte doen bij de politie.

Zo voorkom je een volgende hack

Na het herstel wil je vooral niet dat het nog eens gebeurt. De belangrijkste maatregelen zijn alles up-to-date houden, automatische back-ups buiten je server, sterke unieke wachtwoorden en tweestapsverificatie. Alle tien maatregelen, gesorteerd op impact, staan in WordPress beveiligen: 10 maatregelen tegen hackers.

Het meeste daarvan komt elke maand terug. Daarom hoort het in vast onderhoud: een ronde met back-up, updates, beveiliging en een controle of alles nog werkt. Zo omschreef Caroline D. het in haar Google-review:

"Mijn website wordt netjes iedere maand geüpdatet, zonder dat ik me ergens zorgen over hoef te maken."

Wat zo'n pakket kost en wat erin hoort te zitten, inclusief de vraag of herstel na een hack is inbegrepen, lees je in website onderhoud: wat het kost en wat erin hoort te zitten.

Conclusie: eerst stoppen, dan herstellen

Is je WordPress website gehackt, dan is de volgorde belangrijker dan snelheid. Leg vast wat je ziet, haal de site offline, verander alle wachtwoorden en zet een kopie en je schone back-ups veilig. Schoon daarna de site op, dicht het lek en vraag Google via Search Console om een nieuwe beoordeling. Lekten er persoonsgegevens, meld dat dan binnen 72 uur bij de AP, tenzij het risico voor de betrokkenen onwaarschijnlijk is.

Wil je weten wat maandelijks onderhoud bij mij kost, zodat je dit noodplan hopelijk nooit nodig hebt? Download dan de prijslijst.