Is je website gehackt, zet dan eerst de schade stil: schakel je beheerder of hostingpartij in, wijzig alle wachtwoorden en herstel een schone back-up van voor de inbraak. Controleer daarna of er persoonsgegevens kunnen zijn gelekt; dat moet je dan mogelijk melden. Pas als dat geregeld is, kijk je hoe het kon gebeuren. Meestal is het antwoord: achterstallig onderhoud.

Het begint vaak klein. Een klant mailt dat je site een vreemde melding geeft. Of je ziet in je zoekresultaten ineens teksten over producten die je niet verkoopt. Of je site doet het gewoon niet meer. Op dat moment wil je één ding weten: wat moet ik nu doen?

Wat doe je als je website gehackt is?

In deze volgorde.

1. Schakel je beheerder of hostingpartij in. Zij kunnen de site tijdelijk offline halen en zien wat er is gebeurd.
2. Wijzig alle wachtwoorden. Van je site, je hosting, je domeinnaam en de mailadressen die eraan gekoppeld zijn.
3. Controleer de accounts op je site. Verwijder beheerders die je niet kent.
4. Herstel een schone back-up van voor de inbraak, en werk daarna direct alles bij.
5. Controleer of er gegevens gelekt kunnen zijn. Bijvoorbeeld uit formulieren. Is dat zo, dan moet je dat in veel gevallen binnen 72 uur melden bij de Autoriteit Persoonsgegevens.

Heb je geen recente back-up of geen beheerder, schakel dan een specialist in. Probeer het niet zelf op te lossen door bestanden te verwijderen; vaak blijft er een achterdeur achter.

Hoe kan een website gehackt worden?

Meestal niet door een gerichte aanval op jouw bedrijf, maar door een geautomatiseerde zoektocht naar zwakke plekken. Die zoektocht treft elke site met dezelfde fout.

De grootste zwakke plek zit in uitbreidingen. In 2024 werden volgens Patchstack 7.966 nieuwe kwetsbaarheden in WordPress gevonden; 96 procent daarvan zat in plug-ins. Een derde was nog niet opgelost toen de kwetsbaarheid openbaar werd. Wie zijn plug-ins niet bijwerkt, laat de deur open op een plek die iedereen kan vinden.

Daarnaast spelen zwakke of gedeelde wachtwoorden, oude accounts van mensen die al lang weg zijn, en hosting die zelf niet wordt bijgehouden.

Hoe voorkom je dat je website gehackt wordt?

Met onderhoud dat niet afhangt van iemand die eraan denkt.

• Werk alles bij, regelmatig. WordPress zelf, plug-ins en thema’s. Een update die blijft liggen, is een zwakke plek die blijft openstaan.
• Gebruik zo min mogelijk plug-ins. Elke uitbreiding is een extra deur. Verwijder wat je niet gebruikt.
• Maak automatische back-ups, en bewaar ze op een andere plek dan je site. Test af en toe of je ze kunt terugzetten.
• Beveilig de inlog. Sterke wachtwoorden, een tweede stap bij het inloggen, en alleen accounts voor wie ze nodig heeft.
• Leg vast wie het doet. Onderhoud zonder eigenaar gebeurt niet. Lees daarover webbeheerder: wie is er verantwoordelijk voor je website?

Wat gebeurt er als je je website een jaar niet bijhoudt?

Je site blijft het waarschijnlijk gewoon doen. Dat is het verraderlijke. Ondertussen stapelen de achterstallige updates zich op, en daarmee de bekende kwetsbaarheden. Een site die een jaar niet is bijgehouden, is niet per se gehackt, maar wel een makkelijk doelwit. Ook inhoudelijk loopt hij achter; zie waarom je website na twee jaar al verouderd voelt.

Hoe zit beveiliging in het beheer van Compozer?

Bij Compozer horen updates, beveiliging en back-ups bij het vaste maandbedrag voor beheer. Je hoeft er niet aan te denken, en je hoeft er ook niet om te vragen. Eén ding beloven we niet: dat een site nooit kan worden aangevallen. Dat kan niemand eerlijk beloven. Wat we wel doen, is de deur zo goed mogelijk dichthouden en een schone back-up klaar hebben als het toch gebeurt. Wat er verder in de afspraak zit, lees je in wat website onderhoud per maand kost. Wie we zijn, lees je op Over Compozer.