In het kort
- Raak niet in paniek, maar wacht ook niet: een hack wordt meestal erger, niet beter.
- Verwijder niet alleen het rare bestand dat je vindt. Er zit bijna altijd meer, verstopt op andere plekken.
- Zet niet blind een oude back-up terug: daar zit de hack vaak ook al in.
- Schoonmaken is pas klaar als het lek dicht is, de wachtwoorden nieuw zijn en Google de waarschuwing heeft ingetrokken.
- De meeste hacks komen door verouderde software. Onderhoud is de beste bescherming.
Het korte antwoord
Is je website gehackt? Doe dan dit, in deze volgorde:
- Maak een kopie van de website zoals hij nu is, bestanden én database. Die heb je nodig om te achterhalen wat er gebeurd is.
- Wijzig de wachtwoorden van je hosting, de beheeromgeving van je website, FTP en de database, vanaf een computer waarvan je zeker weet dat hij schoon is.
- Laat de website grondig controleren en schoonmaken: alle bestanden, de database en de gebruikers, niet alleen wat je ziet.
- Dicht het lek: werk het CMS, het thema en alle plug-ins of extensies bij, of vervang wat niet meer wordt onderhouden.
- Vraag Google om een nieuwe controle via Search Console, zodat de waarschuwing verdwijnt en de spampagina's uit de zoekresultaten gaan.
Heb je geen webbouwer of weet je niet waar je moet beginnen? Neem contact met ons op of bel 024-7504306. We kijken eerst kort mee en noemen dan een vaste prijs.
Hoe herken je een gehackte website?
Vreemde pagina's in Google
Zoek in Google op site:jouwdomein.nl. Zie je pagina's in het Japans, over medicijnen, casino's of merkkleding? Dan zijn er spampagina's op je website gezet.
Doorverwijzingen
Bezoekers komen ineens op een andere website terecht. Vaak alleen op de telefoon of alleen als ze via Google komen, zodat je het zelf niet snel ziet.
Waarschuwing van Google of je browser
"Deze site is mogelijk gehackt" in de zoekresultaten, of een rood scherm in Chrome: "Misleidende site". Bezoekers haken dan direct af.
Onbekende beheerders
In de gebruikerslijst staat een beheerder die je niet kent. Hackers maken die aan om later terug te kunnen komen.
Mail komt niet meer aan
Je server verstuurt ineens spam, waardoor je eigen mail in de spambox belandt of wordt geweigerd.
Traag of plat
De website is opeens erg traag, geeft foutmeldingen, of je hostingpartij heeft hem uitgezet omdat er iets verdachts gebeurt.
Wat je meteen doet, en wat juist niet
De eerste uren na een hack zijn belangrijk. Met de goede stappen voorkom je dat het erger wordt en houd je het herstel overzichtelijk.
Wel doen
- Kopie maken. Bewaar de huidige staat van de website, ook al is die besmet. Zonder kopie is later niet meer te achterhalen hoe de hacker binnenkwam.
- Wachtwoorden wijzigen. Van de hosting, het beheer van je website, FTP of SFTP en de database. Gebruik voor elk een ander, lang wachtwoord.
- Je hostingpartij inlichten. Zij zien soms in de logbestanden wanneer en hoe het begon.
- Nagaan of er persoonsgegevens op de website staan. Denk aan formulieren, accounts of bestellingen. Dat is belangrijk voor de meldplicht, daarover verderop meer.
Niet doen
- Alleen het rare bestand verwijderen. Een hacker laat bijna altijd meerdere achterdeurtjes achter: in andere bestanden, in de database of als extra gebruiker. Haal je er één weg, dan staat de rest binnen een paar dagen weer klaar.
- Blind een oude back-up terugzetten. Een hack zit er vaak al weken of maanden in voordat je hem ziet. De back-up van vorige week is dan net zo besmet. En zelfs een schone back-up heeft nog hetzelfde lek.
- Een willekeurige plug-in installeren die belooft alles op te lossen. Een scanner vindt veel, maar niet alles. En een plug-in op een gehackte site kan zelf ook gemanipuleerd zijn.
- Wachten tot het vanzelf overgaat. Google zet je website steeds verder weg in de zoekresultaten, en je server kan op zwarte lijsten belanden.
Zo maken wij een gehackte website schoon
Een gehackte website schoonmaken is precisiewerk. Dit is de aanpak die wij in de praktijk gebruiken, voor WordPress en Joomla.
1. Veiligstellen en onderzoeken
We maken een volledige kopie en kijken in de logbestanden van de server hoe en wanneer de hacker binnenkwam. Dat bepaalt welk lek er gedicht moet worden.
2. Alle bestanden controleren
We vergelijken de bestanden van je CMS met de originele versies en zoeken naar verstopte code: zogeheten webshells, verstopte doorverwijzingen en bestanden die er niet horen, bijvoorbeeld PHP-bestanden in een map met afbeeldingen. Dat doen we met scanners én met de hand, want hackers verstoppen hun code steeds slimmer.
3. De database en de gebruikers nalopen
Spamlinks, verstopte scripts in teksten en extra beheerders zitten vaak in de database. We controleren alle gebruikers met beheerrechten en verwijderen wat er niet hoort.
4. Opnieuw opbouwen waar nodig
De kern van het CMS zetten we opnieuw neer vanaf een schone, officiële versie. Plug-ins en extensies werken we bij, of we vervangen ze als ze niet meer worden onderhouden.
5. Het lek dichten en de deur op slot
Alle wachtwoorden en geheime sleutels worden nieuw. We zetten de bestandsrechten goed en schakelen uit wat niet nodig is. Pas dan is de website echt veilig.
6. Google opschonen
We vragen in Google Search Console een nieuwe beoordeling aan, zodat de waarschuwing verdwijnt. Spampagina's laten we netjes uit de zoekresultaten verdwijnen, zodat je eigen pagina's weer de aandacht krijgen.
7. Nacontrole
De dagen erna houden we de website extra in de gaten. Komt er toch nog iets terug, dan zien we dat meteen.
WordPress gehackt: waar zit het meestal?
WordPress is het meest gebruikte CMS ter wereld en daardoor ook het populairste doelwit. Bijna altijd komt de hacker niet binnen via WordPress zelf, maar via een plug-in of thema.
- Verouderde plug-ins. Een plug-in die al maanden of jaren geen update kreeg, met een bekend lek dat automatisch wordt misbruikt.
- Illegale ("nulled") plug-ins en thema's. Betaalde plug-ins die gratis zijn gedownload, komen vaak met een ingebouwde achterdeur.
- Uploadmap. PHP-bestanden in
wp-content/uploadshoren daar niet; daar verstoppen hackers graag hun code. - Extra beheerders met een onschuldig ogende naam, zodat ze niet opvallen in de gebruikerslijst.
- Aangepaste kernbestanden, zoals
wp-config.phpof.htaccess, met een doorverwijzing voor bezoekers uit Google.
Bij het schoonmaken zetten we WordPress opnieuw neer, controleren we elke plug-in en vervangen we wat niet te vertrouwen is.
Joomla gehackt?
Ook Joomla-websites worden regelmatig gehackt, en vaak gaat het dan om een oudere versie. Joomla 3 krijgt al sinds 2023 geen beveiligingsupdates meer, en Joomla 4 inmiddels ook niet. Daarnaast zijn verouderde extensies, zoals editors en formulierextensies, een bekende ingang.
We werken al jaren met Joomla en hebben er een apart artikel over geschreven: Joomla website gehackt: oorzaken, schoonmaken en voorkomen.
Moet je een hack melden?
Staan er persoonsgegevens op je website, bijvoorbeeld van formulieren, klantaccounts of bestellingen, en kan de hacker daarbij zijn gekomen? Dan is er mogelijk sprake van een datalek. Je moet een datalek binnen 72 uur melden bij de Autoriteit Persoonsgegevens, tenzij het waarschijnlijk geen risico voor de betrokkenen oplevert. Soms moet je ook de mensen zelf informeren.
Twijfel je? Leg dan in elk geval vast wat er gebeurd is en welke gegevens er op de website stonden. Bij het schoonmaken zoeken we voor je uit wat de hacker kon zien, zodat je een onderbouwde keuze kunt maken.
Na een goede schoonmaak
- Alle bestanden en de database zijn gecontroleerd
- Het CMS staat er opnieuw en alles is bijgewerkt
- Het lek is gevonden en gedicht
- Alle wachtwoorden en sleutels zijn nieuw
- Google heeft de waarschuwing ingetrokken
Een halve oplossing
- Alleen het bestand verwijderd dat opviel
- Een oude back-up teruggezet zonder controle
- Dezelfde verouderde plug-ins blijven staan
- Wachtwoorden niet gewijzigd
- Geen idee hoe de hacker binnenkwam
Wat kost het schoonmaken van een gehackte website?
Elke hack is anders. Een kleine website met één besmet bestand is sneller schoon dan een webshop waar de hacker al maanden zijn gang gaat. Daarom werken we zo:
- Eerst een korte check. We kijken hoe ernstig de hack is, welk CMS en welke versie er draait en wat er nodig is.
- Dan een vaste prijs. Je weet vooraf precies wat het kost, zonder verrassingen achteraf.
- Spoed? Dezelfde werkdag kan. Moet het vandaag nog opgelost worden, dan maken we daar ruimte voor, tegen een meerprijs.
Na het schoonmaken kun je je website bij ons laten hosten met een hackvrij-garantie (vanaf Webcare Gold): wordt je website toch besmet, dan maken we hem weer virusvrij. Bekijk de hostingpakketten.
Hoe voorkom je dat het opnieuw gebeurt?
Een schone website blijft alleen schoon als hij wordt bijgehouden. Bijna elke hack die wij zien, is terug te voeren op software die niet meer werd bijgewerkt.
- Houd alles up-to-date: het CMS, het thema en elke plug-in of extensie.
- Verwijder wat je niet gebruikt. Elke plug-in is een extra deur.
- Gebruik geen illegale plug-ins of thema's.
- Gebruik sterke, unieke wachtwoorden en tweestapsverificatie voor het beheer.
- Zorg voor dagelijkse back-ups, die je ook echt kunt terugzetten.
- Host op een server die wordt bijgehouden, met een actuele PHP-versie.
Geen tijd of zin om dit zelf bij te houden? Dat snappen we. Lees hoe wij dat met website onderhoud voor je regelen.
“Een hack is bijna nooit pech. Het is meestal een deur die al maanden openstond. Schoonmaken lost het probleem van vandaag op; onderhoud voorkomt dat van morgen.”
Veelgestelde vragen over een gehackte website
Maak een kopie van de website zoals hij nu is, wijzig alle wachtwoorden (hosting, beheer, FTP en database) en laat de website grondig controleren. Verwijder niet alleen het bestand dat opvalt en zet niet zomaar een oude back-up terug, want daar zit de hack vaak ook al in.
Ja. Of je website nu door een ander bureau, een freelancer of jezelf is gemaakt: zolang hij in WordPress of Joomla draait, kunnen we hem schoonmaken. Je hoeft er ook niet voor bij ons te hosten.
Dat hangt af van hoe ernstig de hack is. We doen eerst een korte check en noemen dan een vaste prijs, zodat je vooraf weet waar je aan toe bent. Moet het dezelfde werkdag gebeuren, dan kan dat tegen een meerprijs.
De meeste websites zijn binnen één tot twee werkdagen schoon. Bij spoed kan het dezelfde werkdag. Het intrekken van een waarschuwing door Google duurt daarna meestal nog een paar dagen.
Meestal niet. Bij de meeste hacks wordt er code toegevoegd, niet weggehaald. Je teksten, foto's en instellingen blijven bewaard; we halen alleen weg wat er niet hoort.
Als de hacker bij persoonsgegevens kon, zoals formulierinzendingen of klantaccounts, is er mogelijk sprake van een datalek. Dat meld je binnen 72 uur bij de Autoriteit Persoonsgegevens, tenzij het waarschijnlijk geen risico oplevert voor de betrokkenen. We helpen je uitzoeken wat de hacker kon zien.
Houd je CMS, thema en plug-ins of extensies up-to-date, verwijder wat je niet gebruikt, gebruik sterke wachtwoorden met tweestapsverificatie en zorg voor dagelijkse back-ups. Bij onze hostingpakketten vanaf Webcare Gold zit een hackvrij-garantie: wordt je website toch besmet, dan maken we hem weer virusvrij.
Website gehackt? Bel direct.
Stefan kijkt meteen mee en noemt na een korte check een vaste prijs. Spoed kan dezelfde werkdag.
