WordPress-site van een klant gehackt: wat nu?
Kort antwoord: Blijf rustig en werk in vaste stappen: leg vast wat je ziet, wijzig alle wachtwoorden, zet een schone backup terug of schoon de site op, dicht het lek (meestal een verouderde plugin of een gelekt wachtwoord) en hou de site daarna extra in de gaten.
Een klant belt: de site stuurt bezoekers door naar een vreemde pagina, Google toont een waarschuwing, of de hoster heeft de site offline gehaald. Voor een bureau is dat stressvol, want de klant kijkt naar jou. Dit stappenplan helpt.
Stap 1: vastleggen en isoleren
- Maak screenshots en noteer wanneer het begon. Dat helpt later om de juiste backup te kiezen.
- Maak een kopie van de gehackte toestand (bestanden en database) voor onderzoek, maar zet die apart.
- Zet de site eventueel in onderhoudsmodus, zodat bezoekers niet doorgestuurd worden.
Stap 2: toegang afsluiten
Wijzig alle wachtwoorden: WordPress-beheerders, hosting, FTP/SFTP en database. Controleer de lijst met gebruikers op onbekende beheerders en verwijder die. Laat WordPress nieuwe beveiligingssleutels (salts, willekeurige codes die inlogsessies beveiligen) aanmaken, zodat iedereen opnieuw moet inloggen.
Stap 3: opschonen of terugzetten
Heb je een backup van vóór de hack, dan is terugzetten vaak de snelste weg. Let op: een hack wordt soms pas na weken opgemerkt. Daarom is een lange bewaartijd van backups belangrijk. Is er geen schone backup, dan moet de site handmatig opgeschoond worden: WordPress-core opnieuw installeren, plugins en thema's vervangen door verse kopieën, en de uploads-map en database nakijken op vreemde code.
Stap 4: het lek dichten
Zonder oorzaak komt de hack terug. De meest voorkomende oorzaken zijn een verouderde plugin met een bekende kwetsbaarheid, een zwak of hergebruikt wachtwoord, of een plugin die niet meer onderhouden wordt. Update alles, verwijder wat niet gebruikt wordt en zet tweestapsverificatie aan voor beheerders. Lees ook wat te doen bij een kwetsbare plugin.
Stap 5: nazorg
- Vraag bij een Google-waarschuwing een nieuwe controle aan via Google Search Console.
- Hou de site de komende weken extra in de gaten.
- Bevat de site persoonsgegevens? Ga na of er een datalek gemeld moet worden. In Nederland is dat bij de Autoriteit Persoonsgegevens, in België bij de Gegevensbeschermingsautoriteit, binnen 72 uur na ontdekking.
- Leg de klant in gewone woorden uit wat er gebeurde en wat je hebt aangepast.
Voorkomen is goedkoper
De meeste hacks gebeuren via software die niet up-to-date is. Vaste updates, externe backups met voldoende bewaartijd en monitoring maken een hack minder waarschijnlijk en het herstel veel sneller. Dat is precies wat goed onderhoud doet. Bij Stilbeheer zitten wekelijkse updates, dagelijkse externe backups (30 dagen bij Basis, 90 bij Plus), 24/7 uptime-monitoring en een regelmatige beveiligingsscan in het onderhoud. Lees meer over backups uitbesteden.
Veelgestelde vragen
Moet ik een gehackte site melden als datalek?
Als er persoonsgegevens op de site staan en die mogelijk ingezien of gestolen zijn, moet je dat nagaan. Een datalek meld je binnen 72 uur bij de toezichthouder: de Autoriteit Persoonsgegevens in Nederland of de Gegevensbeschermingsautoriteit in België.
Is een backup terugzetten genoeg?
Nee. Een backup haalt de schade weg, maar niet de oorzaak. Wijzig ook alle wachtwoorden en dicht het lek, anders komt de hack terug.
Hoe lang moeten backups bewaard worden om een hack te herstellen?
Langer dan je denkt, want een hack wordt soms pas na weken opgemerkt. Met maar 7 dagen bewaartijd is er dan vaak geen schone versie meer.