Websites
Website gehackt: wat nu?
Kort antwoord
Zet de site in onderhoudsmodus, wijzig alle wachtwoorden en zoek uit hoe de aanvaller binnenkwam voordat je iets terugzet. Een schone back-up van vóór de inbraak terugzetten is de snelste weg, maar alleen als je daarna het lek dicht: bijna altijd een verouderde plugin, een zwak wachtwoord of een vergeten oude installatie. Schoonmaken zonder de oorzaak te vinden betekent dat de site binnen een paar weken opnieuw besmet is.
Wat doe je in het eerste uur?
Niet in paniek alles weggooien. Wat je nu wist, heb je straks nodig om te zien wat er is gebeurd.
- Zet de site in onderhoudsmodus of laat de hoster hem afschermen. Bezoekers lopen dan geen risico en Google ziet geen besmette pagina’s meer.
- Maak een kopie van de besmette site. Bestanden en database. Dat klinkt vreemd, maar hierin staan de sporen.
- Wijzig de wachtwoorden. Van het beheer van de site, de hosting, de database en FTP. Van elke beheerder.
- Kijk wie er beheerder is. Een onbekend account met beheerrechten is een van de eerste dingen die een aanvaller aanmaakt.
- Bel of mail je hoster. Zij zien vaak in de logboeken wanneer en hoe het begon.
Schoonmaken of een back-up terugzetten?
| Back-up terugzetten | Schoonmaken | |
|---|---|---|
| Wanneer | Er is een back-up van vóór de inbraak | Er is geen bruikbare back-up, of je weet niet wanneer het begon |
| Voordeel | Snel, en je weet zeker dat de bestanden schoon zijn | Je verliest geen recente inhoud of bestellingen |
| Risico | Wat na de back-up is toegevoegd, is weg | Een achterdeur over het hoofd zien |
| Daarna | Lek dichten, anders is het zo weer raak | Idem |
De lastige vraag is wanneer de inbraak begon. Een site kan weken besmet zijn voordat iemand het merkt. Zet je een back-up van vorige week terug, dan zet je misschien de besmetting terug. Daarom is een back-up die ver genoeg teruggaat zo belangrijk, en daarom bewaar je die kopie uit stap 2.
Bij een webshop is terugzetten ingewikkelder, omdat er sinds de back-up bestellingen zijn binnengekomen. Dan wordt het schoonmaken van de bestanden met behoud van de database.
Hoe vind je het lek?
Zonder oorzaak is de klus niet af. Loop na:
- Welke plugins en thema’s liepen achter? Vergelijk de versies met de bekende lekken. Bijna altijd zit het hier.
- Staat er nog iets ouds op de server? Een testversie in een submap, een oude site die niemand meer bijhoudt. Eén vergeten installatie besmet de rest.
- Wat zeggen de logboeken? Het moment waarop het eerste vreemde bestand verscheen, wijst naar de ingang.
- Hadden beheerders zwakke wachtwoorden? Of een wachtwoord dat ook ergens anders is gebruikt en daar is gelekt.
Hoe zorg je dat het niet terugkomt?
- Updates op een vast ritme. Elke week, door iemand die kijkt of de site daarna nog werkt.
- Minder plugins. Elke plugin is code van iemand anders die je moet vertrouwen. Wat je niet gebruikt, verwijder je; uitschakelen is niet genoeg.
- Tweestapsverificatie voor elke beheerder.
- Een back-up buiten de server, die langer teruggaat dan een paar dagen.
- Elke site zijn eigen afgeschermde plek. Op goedkope hosting delen sites soms dezelfde ruimte, zodat één besmette site de andere meeneemt.
Dit is geen eenmalige schoonmaak maar onderhoud. Wij doen het als website-onderhoud, en op onze WordPress-hosting staat elke site afgeschermd met een dagelijkse back-up op aparte opslag.
Wat als Google een waarschuwing toont?
Dan heeft Google de besmetting gezien en waarschuwt het bezoekers. Dat kost verkeer zolang het duurt. Maak eerst schoon en dicht het lek. Vraag daarna via Google Search Console een nieuwe beoordeling aan. Doe je dat te vroeg, dan wordt de aanvraag afgewezen en duurt het langer.
Controleer ook of er pagina’s zijn toegevoegd die nu in de zoekresultaten staan. Die moeten weg, en de bijbehorende adressen moeten een foutmelding geven in plaats van naar de homepage te leiden.