Website gehackt? Wat nu: stappenplan voor WordPress

Is je website gehackt? Doe in het eerste uur vier dingen: noteer wat je ziet en wanneer, maak een volledige back-up van de besmette site, wijzig elk wachtwoord (WordPress, hostingpaneel, SFTP, database) en waarschuw je hostingbedrijf. Ga niet lukraak bestanden verwijderen en zet niet gewoon de back-up van vorige week terug: het lek waarlangs de aanvaller binnenkwam, staat dan nog steeds open. Daarna maak je de site grondig schoon, dicht je dat lek en vraag je Google om een nieuwe beoordeling. In dit stappenplan lees je hoe, wat je meldplicht is als klantgegevens gelekt kunnen zijn, en wat het kost om het zelf te doen of te laten doen.

Website gehackt check: gehackt of gewoon offline?

"Gehackt" kan van alles betekenen. De WordPress-documentatie noemt de symptomen indicators of compromise, en hoe preciezer je ze benoemt, hoe sneller het herstel gaat. Dit zijn de meest voorkomende.

Wat je ziet	Wat het meestal betekent	Eerste stap
Bezoekers belanden op een spam-, casino- of nepwinactiesite, vaak alleen op mobiel of alleen vanuit Google	Code-injectie, meestal in .htaccess, een themabestand of de database	Controleer .htaccess en recent gewijzigde bestanden; test niet op je werkcomputer
Japanse of medicijnspam-pagina's onder jouw domein in Google	URL-injectie: de aanvaller heeft spampagina's aangemaakt, soms verborgen voor jou (cloaking)	Zoek op site:jouwdomein.nl en open Search Console
"Deze site is mogelijk gehackt" onder je zoekresultaat	Google vond gewijzigde of toegevoegde spampagina's	Search Console, rapport Beveiligingsproblemen
Rood waarschuwingsscherm in de browser (Safe Browsing)	Google vond malware, phishing of schadelijke downloads	Search Console, rapport Beveiligingsproblemen
Beheerders die je niet kent	Iemand heeft (of had) beheerderstoegang	Verwijder ze na je back-up en reset alle toegang
Je host heeft het account geblokkeerd	De host vond malware of spam die vanaf je site werd verstuurd	Vraag precies wat ze vonden en in welke bestanden
"Briefly unavailable for scheduled maintenance" dat niet verdwijnt	Meestal geen hack: een update werd onderbroken en liet een .maintenance-bestand achter	Verwijder .maintenance uit de hoofdmap via SFTP

Laadt je site gewoon niet, of zie je een databasefout of "kritieke fout"? Dan is hij waarschijnlijk offline en niet gehackt. Daarvoor hebben we een aparte checklist: Mijn WordPress website is offline: wat nu?

WordPress website gehackt: wat nu in het eerste uur

1. Blijf rustig en schrijf alles op. Wat zie je, wanneer zag je het voor het eerst, en wat is er recent veranderd: een nieuwe plugin, een aanpassing aan het thema, een nieuwe gebruiker? Dit wordt je incidentverslag en bespaart wie de site opschoont uren werk. Je hebt het ook nodig voor je datalekregister.
2. Open de besmette pagina's niet gewoon in je browser. Google raadt dat af. Gebruik de URL-inspectietool in Search Console.
3. Maak een momentopname van de besmette site. Bestanden en database, ook al zijn ze vuil. Gaat het opschonen mis, dan heb je nog iets om mee te vergelijken.
4. Reset alle toegang. Wachtwoorden van alle WordPress-gebruikers, het hostingpaneel, SFTP/FTP en de database (pas wp-config.php aan als je dat wijzigt). Log iedereen uit door de geheime sleutels in wp-config.php te vervangen door een nieuwe set van de officiële generator op api.wordpress.org/secret-key/1.1/salt/.
5. Scan de computer waarmee je inlogt. Volgens het WordPress-team begint een infectie vaak met malware op de laptop van de eigenaar, die inloggegevens voor wp-admin of FTP steelt.
6. Neem contact op met je host. Op gedeelde hosting kan de aanval verder gaan dan jouw site. De host kan ook zeggen of het om een hack of een storing gaat, en heeft soms een back-up van vóór de besmetting.

Gehackte WordPress-site opschonen, stap voor stap

1. Zoek uit wat er veranderd is

Draai een scanner binnen WordPress (Wordfence of Sucuri Security, beide genoemd in de WordPress-documentatie) en een externe scanner zoals Sucuri SiteCheck of VirusTotal. Ze vinden verschillende dingen, dus gebruik ze allebei. Kijk daarna naar de bestanden die aanvallers het vaakst aanpassen: elk .htaccess-bestand (er kunnen er meerdere zijn, en ze zijn verborgen), index.php en de header.php, footer.php en functions.php van je thema. Google voegt eraan toe: let op recent gewijzigde of ongewoon grote PHP-bestanden en verhulde code met functies als base64_decode, eval of gzinflate.

2. Vervang kernbestanden in plaats van ze te bewerken

Download dezelfde WordPress-versie die je nu draait van wordpress.org en vervang /wp-admin en /wp-includes volledig via SFTP. Gebruik niet de knop "opnieuw installeren" in het dashboard: die overschrijft bestaande bestanden, maar laat extra bestanden van de aanvaller staan. Installeer ook plugins en thema's opnieuw vanaf de originele bron en verwijder wat je niet gebruikt.

3. Database en gebruikers opschonen

Verwijder onbekende beheerders en zoek naar ingevoegde scripts in berichten, widgets en instellingen. Kom je niet meer in wp-admin? Dan kun je je gebruiker resetten via phpMyAdmin in je hostingpaneel, of daar je e-mailadres aanpassen en "Wachtwoord vergeten" gebruiken.

4. Back-up terugzetten, als je een schone hebt

Een back-up van vóór de besmetting terugzetten is vaak het snelst. Maar: je moet weten wanneer de besmetting begon, en de teruggezette site heeft nog dezelfde kwetsbare plugin of hetzelfde gestolen wachtwoord. Zet terug, en update en reset daarna meteen alles.

5. Alles updaten en wachtwoorden opnieuw wijzigen

Is de site schoon? Update dan WordPress, plugins en thema's naar de nieuwste versie en wijzig alle wachtwoorden een tweede keer. De eerste reset gebeurde toen de site nog besmet was.

Doorverwijzing naar spam en Japanse pagina's in Google

Een redirect-hack en Japanse keyword-spam merk je meestal als eerste, vaak omdat een klant het meldt. Ze zijn lastig, want de aanvaller verbergt ze vaak voor ingelogde beheerders en toont een nep-404 terwijl Google de spam wel ziet. Google raadt voor dit soort hacks aan:

• Zoek op site:jouwdomein.nl in Google welke spampagina's geïndexeerd zijn.
• Open in Search Console Instellingen > Gebruikers en rechten en verwijder eigenaren die je niet kent. Aanvallers verifiëren zichzelf om hun spam-sitemaps in te dienen. Verwijder hun verificatiebestand (een google…html-bestand) of de regel in .htaccess die het aanmaakt.
• Vervang elk .htaccess-bestand door een schone standaardversie.
• Haal spamlinks uit je sitemaps en verwijder sitemaps die je niet zelf hebt gemaakt.

De Google-waarschuwing laten verwijderen

Het label "Deze site is mogelijk gehackt" en het rode Safe Browsing-scherm komen allebei uit het rapport Beveiligingsproblemen van Google. Google haalt ze weg na een beoordeling:

1. Verifieer je site in Google Search Console als dat nog niet gebeurd is.
2. Open Beveiliging en handmatige acties > Beveiligingsproblemen en bekijk de voorbeeld-URL's.
3. Los het probleem op de hele site op, niet alleen op de voorbeeldpagina's, en los alle genoemde problemen op.
4. Klik op Beoordeling aanvragen en leg uit wat het probleem was, wat je hebt gedaan en wat het resultaat is.
5. Wacht af. Volgens Google duurt een beoordeling bij gehackte content en malware een paar dagen tot een paar weken. Dien niet opnieuw in voordat je antwoord hebt: dat kan het vertragen.

Klantgegevens: je meldplicht binnen 72 uur

Bewaart je site persoonsgegevens, zoals WooCommerce-bestellingen, ingevulde contactformulieren of klantaccounts? Dan kan een hack een datalek zijn. Volgens artikel 33 van de AVG meld je een datalek zonder onredelijke vertraging en zo mogelijk binnen 72 uur nadat je het ontdekt, tenzij het waarschijnlijk geen risico voor de betrokkenen oplevert. In Nederland meld je bij de Autoriteit Persoonsgegevens via het meldloket datalekken; in België bij de Gegevensbeschermingsautoriteit (GBA) via haar elektronisch formulier. Weet je nog niet alles, meld dan toch binnen de termijn en vul later aan. Leg elk datalek vast in je interne datalekregister, ook als je niet hoeft te melden. Is het risico hoog, dan informeer je ook de betrokkenen zelf. Dit is geen juridisch advies; twijfel je, bel dan dezelfde dag je privacyjurist of FG.

Hoe voorkom je dat het opnieuw gebeurt?

• Updates: houd WordPress, plugins en thema's bij en zet automatische updates aan waar dat kan. Verwijder wat je niet gebruikt.
• Tweestapsverificatie op elk beheerdersaccount, en lange unieke wachtwoorden uit een wachtwoordmanager.
• Minder beheerders: geef iedereen de laagste rol die volstaat.
• Zet de bestandseditor uit met define( 'DISALLOW_FILE_EDIT', true ); in wp-config.php.
• Bestandsrechten: 755 voor mappen, 644 voor bestanden en 400 of 440 voor wp-config.php.
• Back-ups van bestanden en database, buiten de server bewaard, en echt eens getest.
• Monitoring, zodat jij een probleem eerder ziet dan je klanten. Een gratis check met EngineeringScore toont in een paar minuten de zwakke plekken in beveiliging, snelheid en betrouwbaarheid van je site.

Wat kost het om een gehackte website te herstellen?

Optie	Prijs (zoals gepubliceerd)	Goed om te weten
Zelf doen	Gratis tools, je eigen tijd	Prima voor eenvoudige gevallen als je SFTP en phpMyAdmin kent. Riskant als je een achterdeur mist.
Je hostingbedrijf	Verschilt per host en pakket	Sommige hosts schonen op of zetten terug, andere blokkeren alleen. Vraag wat inbegrepen is.
Sucuri Website Security Platform	Van $229 per jaar (Basic) tot $549 per jaar (Business)	Onbeperkt handmatig opschonen; geschatte reactietijd 30 uur bij Basic, 6 uur bij Business.
Seahawk hacked site repair	$299 eenmalig (2 tot 4 werkdagen), $399 met voorrang (1 werkdag)	Vaste prijs voor malwareverwijdering bij WordPress, met 30 dagen garantie. Engelstalig.
We Do Dev Work spoedhulp	€75 per uur excl. btw, geen minimum	Een senior developer begint dezelfde dag, schoont op, zoekt uit hoe ze binnenkwamen en helpt met de Google-beoordeling. Nederlandstalig contact.

Een beveiligingsabonnement is goed voor preventie. Een specialist heb je nodig als iemand ook de oorzaak moet vinden, kwetsbare maatwerkcode moet repareren of een webshop draaiende moet houden. Is één hack het teken dat je site structureel onderhoud nodig heeft? Onze abonnementen beginnen bij €480 per maand voor 8 uur updates en monitoring, en met een strippenkaart heb je 14 vooruitbetaalde uren voor €910. Alle prijzen staan op onze prijspagina.

Wanneer schakel je een professional in?

• Je site verwerkt betalingen of bewaart klantgegevens en de meldtermijn van 72 uur loopt misschien al.
• De besmetting komt terug na het opschonen: er zit een achterdeur die je niet gevonden hebt.
• Je host heeft je account geblokkeerd, of je e-mails belanden in spam omdat de server spam verstuurde.
• Google toont een rode waarschuwing en elke dag kost je omzet.
• Je site heeft maatwerkcode of plugins die een scanner niet kan beoordelen.
• Je hebt geen tijd om onder druk SFTP, .htaccess en phpMyAdmin te leren.

Heeft een bureau of freelancer de site gebouwd en is die onbereikbaar? Dan nemen we het ook over. Lees hoe we vastgelopen softwareprojecten redden.

Website nu gehackt? We beginnen vandaag

Vraag spoedhulp aan en een senior developer gaat dezelfde dag met je site aan de slag, voor €75 per uur excl. btw, zonder minimum en zonder intakegesprek. We schonen de site op, dichten het lek, documenteren wat er gebeurd is voor je datalekregister en de toezichthouder, en dienen de beoordeling bij Google in. We kunnen niet beloven hoe snel Google reageert, maar we vertellen je eerlijk wat we vinden. Liever eerst even praten? Neem contact op, gewoon in het Nederlands.