Magento-beveiliging: voor de inbraak, en erna.

Zet de shop in onderhoudsmodus en verander niets aan de bestanden. Elke wijziging wist sporen die nodig zijn om de ingang te vinden. Neem contact op met wie de shop beheert, en met je betaalprovider als er mogelijk betaalgegevens zijn geraakt. Wij maken eerst een kopie van de situatie, zoeken daarna het lek en schonen pas dan op.

Door te zoeken naar code die er niet hoort: scripts in de afrekenpagina, in de database-instellingen voor de kop- en voettekst, en in gewijzigde bestanden van Magento. De datum van die wijzigingen vertelt vanaf wanneer er is meegelezen. Verwerk je betalingen volledig op de pagina van de betaalprovider, dan is het risico kleiner, maar niet nul.

Als er persoonsgegevens zijn ingezien of gestolen, is het een datalek en moet je het uiterlijk 72 uur nadat je het ontdekte melden bij de Autoriteit Persoonsgegevens. Dat is een wettelijke termijn uit de AVG. Zijn de gevolgen voor klanten ernstig, dan informeer je ook hen. Wij leveren de technische feiten voor die melding; de melding zelf doe jij.

Door patches te installeren zodra ze uitkomen, de beheeromgeving af te schermen met tweestapsverificatie en een eigen adres, ongebruikte modules te verwijderen en wijzigingen in de code te bewaken. Geen van die maatregelen is ingewikkeld. Het gaat mis wanneer niemand zich er eigenaar van voelt en een patch drie maanden blijft liggen.