Je opent je website en ziet iets wat er niet hoort: een pagina in een vreemde taal, een melding van je browser dat de site gevaarlijk is, of een bezoeker die laat weten dat hij op een gokwebsite terechtkwam. Je WordPress-website is gehackt. Dat is vervelend, maar je kunt het oplossen. In dit artikel lees je welke stappen je zet, in welke volgorde, en hoe je voorkomt dat het opnieuw gebeurt.
Zo herken je een gehackte WordPress-website
Een hack is niet altijd meteen zichtbaar. Veel hackers willen juist dat je niets merkt, zodat ze je site zo lang mogelijk kunnen gebruiken voor spam of doorverwijzingen. Let op deze signalen:
- Bezoekers worden doorgestuurd naar een andere website. Vaak gebeurt dat alleen op mobiel of alleen als iemand via Google binnenkomt, zodat jij het als beheerder niet ziet.
- Google toont pagina’s van je site die jij niet hebt gemaakt, bijvoorbeeld met Japanse tekst of reclame voor medicijnen. Zoek in Google op
site:jouwdomein.nlom te zien wat er geïndexeerd is. - Chrome of Firefox waarschuwt bezoekers dat je site misleidend of gevaarlijk is.
- In WordPress staan beheerders die je niet kent.
- Je krijgt een melding van je hostingpartij over malware of verdacht verkeer, of een melding van Google Search Console over beveiligingsproblemen.
- Je website is opeens veel trager, of je mailserver verstuurt spam.
Herken je een van deze signalen, ga er dan van uit dat er iets mis is en volg de stappen hieronder.
Stap 1: leg vast wat je ziet
Het is verleidelijk om meteen dingen te gaan verwijderen, maar neem eerst een paar minuten om vast te leggen wat er aan de hand is. Maak screenshots van wat je ziet en noteer wanneer je het voor het eerst merkte. Dat helpt later om de juiste backup te kiezen en om uit te zoeken hoe de hacker binnenkwam.
Zorg er ook voor dat je oude backups niet verdwijnen. Overschrijven je automatische backups elkaar, zet dat dan tijdelijk stil of maak een kopie van de backups die er nu zijn. Anders loop je het risico dat de laatste schone backup wordt vervangen door een besmette versie.
Stap 2: beperk de schade
Stuurt je site bezoekers door naar een gevaarlijke website of verstuurt hij spam, haal hem dan tijdelijk offline. Dat kan met een onderhoudspagina, of je vraagt je hostingpartij om de site af te schermen. Zo voorkom je dat bezoekers besmet raken en dat je domein op een zwarte lijst komt.
Heb je een webshop, controleer dan of de betaalpagina is aangepast. Hackers plaatsen soms code die betaalgegevens onderschept.
Stap 3: wijzig alle wachtwoorden
Ga ervan uit dat de hacker je wachtwoorden kent. Wijzig ze allemaal, en doe dat vanaf een computer waarvan je zeker weet dat hij niet besmet is:
- De wachtwoorden van alle beheerders in WordPress
- Het wachtwoord van je hostingaccount of controlepaneel
- De inloggegevens voor FTP of SFTP
- Het wachtwoord van de database (en pas het daarna ook aan in
wp-config.php) - Het wachtwoord van het e-mailadres waarmee je inlogt
Vervang daarna de beveiligingssleutels (salts) in wp-config.php door nieuwe. Nieuwe sleutels maak je via de salt-generator van WordPress. Hiermee wordt iedereen uitgelogd, ook een hacker die nog was ingelogd.
Stap 4: maak je website schoon
Er zijn twee manieren om de malware kwijt te raken. Welke je kiest, hangt ervan af of je een schone backup hebt.
Met een schone backup
Dit is de snelste en veiligste route. Kies een backup van vóór de hack. Weet je niet precies wanneer de hack begon, kies dan een backup van ruim voor het moment dat je de eerste signalen zag. Zet die backup terug met zowel de bestanden als de database.
Een teruggezette backup bevat wel het lek waardoor de hacker binnenkwam. Werk daarom direct na het terugzetten WordPress, je plugins en je thema bij, voordat je de site weer openzet. Lees ook hoe je een goede backupstrategie opzet.
Zonder schone backup
Dan moet je de site met de hand opschonen. Dat is meer werk en de kans is groter dat je iets over het hoofd ziet:
- Vervang de mappen
wp-adminenwp-includesdoor die uit een verse download van WordPress.org. - Verwijder je plugins en thema’s en installeer ze opnieuw vanuit de officiële bron. Plugins en thema’s die je niet gebruikt, kun je beter meteen weggooien.
- Zoek in
wp-content/uploadsnaar PHP-bestanden. Die horen daar niet thuis en zijn bijna altijd van de hacker. - Controleer
wp-config.phpen.htaccessop code die je niet kent, bijvoorbeeld lange reeksen onleesbare tekens of doorverwijzingen. - Verwijder in de database onbekende beheerders en zoek in berichten, pagina’s en de tabel
wp_optionsnaar scripts die er niet horen.
Een scanner helpt om te zien of je iets hebt gemist. Met de gratis plugin Wordfence kun je je bestanden laten vergelijken met de originele versies, en Sucuri SiteCheck controleert van buitenaf of je site nog malware of een zwarte-lijstvermelding heeft.
Stap 5: zoek uit hoe de hacker binnenkwam
Dicht je het lek niet, dan komt de hacker vaak terug. De meest voorkomende oorzaken zijn:
- Een plugin of thema dat niet was bijgewerkt
- Een nulled plugin of thema: een betaalde versie die gratis is gedownload van een andere site dan die van de maker
- Een zwak of hergebruikt wachtwoord
- Een plugin die door de maker niet meer wordt onderhouden
Kijk welke plugins verouderd waren op het moment van de hack, en controleer bij de makers of er een beveiligingsprobleem bekend was. In ons artikel over plugins kiezen lees je waar je op let bij een plugin.
Stap 6: laat Google weten dat je site weer schoon is
Heeft Google je site gemarkeerd als gevaarlijk, dan blijft die waarschuwing staan tot je om een controle vraagt. Ga in Google Search Console naar Beveiligingsproblemen, controleer of alle genoemde problemen zijn opgelost en klik op Beoordeling aanvragen. Google bekijkt je site daarna opnieuw. Dat duurt meestal een paar dagen.
Heeft de hacker spampagina’s laten indexeren, zorg dan dat die adressen nu een foutmelding geven. Google haalt ze dan na verloop van tijd uit de zoekresultaten.
Zijn er persoonsgegevens gelekt?
Bewaar je klantgegevens op je website, bijvoorbeeld van bestellingen, accounts of formulieren, ga dan na of de hacker daarbij kon. Is dat zo en levert het een risico op voor de mensen om wie het gaat, dan is het een datalek. Dat moet je binnen 72 uur melden bij de Autoriteit Persoonsgegevens. Leg ook vast wat er is gebeurd, ook als je besluit dat melden niet nodig is.
Zo voorkom je een volgende hack
De meeste hacks zijn te voorkomen met een paar vaste gewoonten:
- Houd WordPress, plugins en thema’s up-to-date.
- Gebruik sterke, unieke wachtwoorden en zet tweefactorauthenticatie aan.
- Gebruik een firewall die verdacht verkeer tegenhoudt.
- Maak elke dag een backup en bewaar die op een andere server, minstens 30 dagen.
- Laat je site dag en nacht bewaken, zodat je een probleem ziet voordat je bezoekers het zien.
Meer uitleg vind je in onze 10 WordPress-beveiligingstips.
Hulp bij een gehackte website
Wil je dit liever niet zelf doen, of weet je niet zeker of je site helemaal schoon is? Bij WP-Beheerders.nl zitten een firewall, virusscanner, dagelijkse backups en monitoring in elk pakket. Wordt de website van een klant toch besmet, dan verwijderen we de malware en zetten we de site zo snel mogelijk terug. Bekijk wat we doen aan WordPress-beveiliging, of neem contact op als je nu hulp nodig hebt.
Veelgestelde vragen
Hoe weet ik of mijn WordPress-website gehackt is?
Veelvoorkomende signalen zijn bezoekers die worden doorgestuurd naar een andere site, vreemde pagina’s of spamlinks in Google, een waarschuwing in de browser, onbekende beheerders in WordPress en een melding van je hostingpartij of van Google Search Console. Zie je een of meer van deze signalen, ga er dan van uit dat er iets mis is.
Kan ik een gehackte WordPress-website zelf herstellen?
Met een schone backup en wat technische kennis vaak wel: je zet de backup terug, wijzigt alle wachtwoorden en werkt alles bij. Zonder schone backup moet je bestanden en database met de hand doorzoeken, en dan is de kans groot dat je iets mist. Dan is hulp van een specialist verstandig.
Hoe lang duurt het herstellen van een gehackte website?
Met een schone backup is je site meestal binnen een paar uur weer online. Moet je de site met de hand opschonen, dan kan het dagen duren. Reken daarna nog op een paar dagen tot weken voordat Google een waarschuwing bij je site weghaalt.
Moet ik een hack melden bij de Autoriteit Persoonsgegevens?
Als bij de hack persoonsgegevens zijn ingezien of gestolen, zoals klantgegevens of bestellingen, en dat een risico is voor de mensen om wie het gaat, dan moet je het datalek binnen 72 uur melden bij de Autoriteit Persoonsgegevens. Twijfel je, leg dan in elk geval vast wat er is gebeurd en waarom je wel of niet meldt.
Hoe voorkom ik dat mijn website opnieuw wordt gehackt?
Zoek uit hoe de hacker binnenkwam en dicht dat lek. Houd daarna WordPress, plugins en thema’s up-to-date, gebruik sterke wachtwoorden met tweefactorauthenticatie, zet een firewall aan en maak elke dag een backup die op een andere server wordt bewaard.
