Gehackte website? Zo herken je het en zo herstel je het

In het kort: verander eerst je wachtwoorden en verwittig je hostingbedrijf of webbouwer. Zet dan een schone back-up terug of laat de website grondig opkuisen, en dicht het lek waarlangs de aanvaller binnenkwam. Vraag daarna in Google Search Console een controle aan.

Signalen dat er iets mis is

Een hack is niet altijd zichtbaar op je homepage. Aanvallers verstoppen hun werk liefst, zodat het zo lang mogelijk blijft staan. Let op deze signalen:

• Vreemde zoekresultaten. In Google verschijnen pagina’s van jouw website die je niet kent, vaak over medicijnen, casino’s, merkkleding of in een andere taal.
• Doorverwijzingen. Bezoekers belanden op een andere website. Soms gebeurt dat alleen op een telefoon of alleen voor wie via Google komt, zodat jij het zelf niet ziet.
• Een waarschuwing in de browser voor je website geopend wordt.
• Onbekende beheerders in je CMS, of nieuwe plugins en bestanden die niemand geïnstalleerd heeft.
• Een melding van je hostingbedrijf, bijvoorbeeld omdat je server spam verstuurt of veel rekenkracht verbruikt.
• Mailproblemen. Je mails komen plots in spamfilters terecht, of je krijgt foutmeldingen van mails die je nooit verstuurde.
• Een melding in Google Search Console onder Beveiligingsproblemen.

Een snelle controle

Typ in Google site:jouwdomein.be, met je eigen domeinnaam. Je ziet dan de pagina’s die Google van je website kent. Staan daar titels tussen die je niet herkent, dan is dat een duidelijk alarmsignaal.

De eerste uren: zo beperk je de schade

Blijf rustig en werk in deze volgorde.

1. Noteer wat je ziet. Maak schermafbeeldingen, noteer adressen van vreemde pagina’s en het moment waarop je het merkte. Dat helpt bij het opkuisen.
2. Verander je wachtwoorden. Van je CMS, je hostingaccount, FTP of SSH, je database en je e-mail. Doe het vanaf een toestel waarvan je zeker bent dat het in orde is, en zet tweestapsverificatie aan waar dat kan.
3. Verwittig je hostingbedrijf of webbouwer. Zij kunnen in de logbestanden kijken en weten vaak wat te doen.
4. Haal de website tijdelijk offline als bezoekers gevaar lopen, bijvoorbeeld bij doorverwijzingen naar schadelijke downloads of een nagemaakte betaalpagina.

Je kunt een cyberincident ook melden bij het Centrum voor Cybersecurity België, dat bedrijven daarnaast tips en waarschuwingen geeft via Safeonweb@work.

Opkuisen en herstellen

Er zijn grofweg twee manieren om een gehackte website schoon te krijgen.

Een schone back-up terugzetten. Dat is meestal de snelste weg, als je een back-up hebt van vóór de hack. Let op: aanvallers zitten soms al weken binnen voor iemand het merkt. Kies dus een back-up van ruim voor de eerste signalen, en kijk na of ook die schoon is.

De website grondig laten opkuisen. Is er geen bruikbare back-up, dan moet iemand de bestanden en de database doorzoeken. Aanvallers laten vaak een achterdeur achter, zoals een verborgen bestand, een extra beheerder of een geplande taak. Zie je die over het hoofd, dan staan ze morgen weer binnen. Dit is werk voor een specialist.

Daarna, in beide gevallen:

• werk WordPress of je CMS, alle plugins, het thema en de PHP-versie bij;
• verwijder plugins en thema’s die je niet gebruikt;
• verwijder onbekende beheerders en kijk alle accounts na;
• verander alle wachtwoorden opnieuw, nu de website schoon is.

Het lek dichten

De belangrijkste vraag is niet hoe je opkuist, maar hoe de aanvaller binnenkwam. Google waarschuwt dat een website die opgekuist is zonder dat het lek gedicht werd, waarschijnlijk opnieuw besmet raakt.

De gebruikelijke ingangen:

• een verouderde plugin of een verouderd thema met een bekend lek;
• een zwak of hergebruikt wachtwoord, of een wachtwoord dat elders gelekt is;
• een verouderde PHP-versie op de server;
• een besmette computer van iemand met toegang tot de website.

Waarom vooral plugins een risico vormen, lees je in PHP-lekken en verouderde plugins.

Google laten weten dat het opgelost is

Heeft Google je website gemarkeerd, dan zie je dat in Search Console bij Beveiligingsproblemen. Daar staan ook voorbeelden van besmette pagina’s.

Kuis eerst alle problemen op, op alle pagina’s, niet alleen op de voorbeelden. Vraag daarna in hetzelfde rapport een beoordeling aan, en beschrijf wat je gedaan hebt. Volgens Google kan een aanvraag die te vroeg komt, terwijl het probleem er nog is, de behandeling verlengen.

Vergeet ook de vreemde pagina’s in de zoekresultaten niet. Zijn ze van je website verwijderd, dan verdwijnen ze na verloop van tijd ook uit Google. Met de tool Verwijderingen in Search Console kun je dringende gevallen tijdelijk sneller laten verbergen.

Voorkomen is eenvoudiger

Een hack kost tijd, geld en vertrouwen. Voorkomen kost een paar vaste gewoontes:

• Updates voor je CMS, plugins, thema en PHP-versie, en iemand die er verantwoordelijk voor is.
• Back-ups buiten je server, een tijd bewaard, en af en toe getest.
• Tweestapsverificatie voor elk account met toegang tot je website, hosting en domeinnaam.
• Zo weinig mogelijk plugins, en alleen plugins die onderhouden worden.
• Een firewall voor je website, die bekende aanvallen tegenhoudt.
• Search Console ingesteld, zodat Google je verwittigt als het iets vindt.

En bij een statische website?

Een statische website heeft geen database, geen plugins en geen loginpagina op de server. De meest gebruikte ingangen bestaan er dus niet. Herstellen is ook eenvoudiger: je zet de laatste goede versie opnieuw online.

Helemaal zonder risico is het niet. Wie het account van je domeinnaam, DNS, hosting of CMS overneemt, kan nog altijd schade aanrichten. Tweestapsverificatie en sterke wachtwoorden blijven dus nodig. Meer over die aanpak in Waarom een statische website sneller en veiliger is.