Mijn website is gehackt: stappenplan

Een gehackte website is vervelend, maar met een vast stappenplan krijg je hem weer schoon en voorkom je dat het opnieuw gebeurt. Het belangrijkste: alleen een back-up terugzetten is niet genoeg. Als je niet weet hoe de inbreker binnenkwam, staat de deur nog open.

Hoe merk je dat je site gehackt is?

• Bezoekers komen op een andere website terecht, vaak alleen vanaf Google of alleen op een telefoon.
• Google toont bij je site Deze site is mogelijk gehackt, of er staan vreemde pagina's van je domein in de zoekresultaten.
• Je browser of virusscanner waarschuwt voor je eigen site.
• Er staan bestanden of beheerders in WordPress die je niet kent.
• Je krijgt een melding van ons, of Imunify360 heeft malware gevonden.
• Je mailbox verstuurt spam, of je bereikt plotseling de verzendlimiet (zie Wat te doen als je e-mailadres is misbruikt).

Stap 1: rustig blijven en vastleggen

Gooi niet meteen alles weg. Noteer wat je ziet, wanneer het begon en maak schermafbeeldingen. Die informatie heb je straks nodig om de oorzaak te vinden, en wij ook als je hulp vraagt.

Stap 2: alle wachtwoorden wijzigen

Ga ervan uit dat een inbreker een wachtwoord kent. Wijzig ze allemaal, bij voorkeur vanaf een andere computer dan die je normaal gebruikt, voor het geval die besmet is:

1. Het wachtwoord van Mijn WebOké. De extra code bij het inloggen staat daar altijd aan; wil je in plaats van de code per e-mail een authenticator-app, stel die dan in bij Mijn Administratie en Inloggegevens.
2. Je DA-wachtwoord (zie Je DA-wachtwoord instellen of wijzigen). Dat geldt ook voor het standaard FTP-account.
3. De wachtwoorden van extra FTP-accounts (zie FTP-accounts aanmaken en beheren). Verwijder accounts die je niet meer gebruikt.
4. Alle beheerders in WordPress of je andere CMS. Verwijder beheerders die je niet kent.
5. Het wachtwoord van de databasegebruiker (zie Database-gebruikers, rechten en wachtwoorden). Pas het daarna ook aan in het configuratiebestand van je website, zoals wp-config.php.
6. Verstuurt een mailbox spam? Wijzig dan ook dat wachtwoord (zie Het wachtwoord van een e-mailadres wijzigen).

Zet daarna in DirectAdmin Twee-Staps Authenticatie aan (zie Twee-Staps Authenticatie instellen).

Stap 3: scannen met Imunify360

Open in DirectAdmin onder Extra Programma's de Imunify360 Plugin. Daar zie je welke bestanden als besmet zijn gevonden, en kun je je pakket opnieuw laten scannen. Hoe dat werkt en wat de meldingen betekenen, lees je in Imunify360: je website scannen op malware.

Stap 4: zoek uit hoe de inbreker binnenkwam

De meest voorkomende oorzaken, van vaak naar zelden:

1. Verouderde software. Een oude versie van WordPress, een plugin of een thema met een bekend lek. Kijk in Installatron of in WordPress welke onderdelen achterlopen (zie Updates en automatische updates).
2. Een plugin of thema uit een onbetrouwbare bron. Gratis versies van betaalde plugins (nulled) bevatten vaak bewust een achterdeur.
3. Een gelekt of zwak wachtwoord. Kijk bij Aanmelding Geschiedenis wie er wanneer in DirectAdmin inlogde (zie Aanmelding Geschiedenis: wie logde wanneer in?).
4. Een besmette computer waarop FTP-wachtwoorden zijn opgeslagen.

Handige plekken om te zoeken:

• In Bestandsbeheer sorteer je op de datum van wijziging. Bestanden die op hetzelfde moment zijn veranderd, zeker in mappen voor uploads, verdienen aandacht.
• In het toegangslog onder Siteoverzicht & logboeken zie je welke adressen veel worden aangeroepen, vaak met POST-verzoeken naar één bestand (zie Siteoverzicht en logboeken: het foutlog en het toegangslog).

Stap 5: opschonen of een schone back-up terugzetten

Je hebt twee mogelijkheden:

• Een back-up van voor de hack terugzetten. Met WebOké Backups in Mijn WebOké kies je zelf een moment uit de afgelopen 30 dagen (zie Kan dit ook in Mijn WebOké? WebOké Backups). Kies een moment van voordat de eerste vreemde bestanden verschenen. Werk direct daarna alles bij (stap 6), want het lek zit ook in de back-up.
• Zelf opschonen. Laat Imunify360 de besmette bestanden opschonen, verwijder onbekende bestanden en zet WordPress en alle plugins opnieuw neer vanuit de officiële bron.

Let op: Kies bij WebOké Backups bij twijfel eerst Als kopie naast het huidige. Dan verandert er niets aan wat er nu staat en kun je rustig vergelijken.

Stap 6: alles bijwerken en opruimen

• Werk WordPress (of je andere CMS), alle plugins en thema's bij naar de nieuwste versie.
• Verwijder plugins en thema's die je niet gebruikt. Ook uitgeschakelde plugins kunnen een lek bevatten.
• Verwijder oude kopieën en testinstallaties in submappen.
• Gebruik een actuele PHP-versie (zie De PHP-versie kiezen (Select PHP version)).

Stap 7: nazorg

• Toont Google een waarschuwing? Vraag na het opschonen een nieuwe beoordeling aan in Google Search Console.
• Heeft je mailbox spam verstuurd? Lees Wat te doen als je e-mailadres is misbruikt en Verzenden geweigerd: blacklists en limieten.
• Laat de Web Applicatie Firewall aan staan (zie Web Applicatie Firewall).
• Controleer de komende weken af en toe Imunify360 en je lijst met WordPress-beheerders.

Hulp nodig?

Kom je er niet uit, of gaat het om een webshop met klantgegevens? Maak dan een ticket aan en vertel wat je al hebt gedaan (zie Hulp vragen: wat geef je door aan support?). Gaat het om persoonsgegevens, dan moet je een datalek mogelijk melden bij de Autoriteit Persoonsgegevens.