Website gehackt? Dit doe je vandaag

Een gehackte website voelt als een inbraak in je zaak. Klanten zien ineens een spamsite, Google zet een waarschuwing bij je naam of je browser weigert je eigen site te openen. Het goede nieuws: met een vaste volgorde krijg je het meeste vandaag al onder controle.

In dit artikel lees je hoe je een hack herkent, wat je in het eerste uur doet, hoe je site weer schoon wordt, hoe de waarschuwing van Google verdwijnt en wanneer je iets moet melden. Onderaan staan een checklist voor vandaag en wat je daarna doet om het niet nog eens te laten gebeuren.

Hoe weet je of je website gehackt is?

Een hack is niet altijd te zien als je je eigen homepage opent. Hackers willen juist dat het lang onopgemerkt blijft. Let op deze signalen:

• Je site stuurt bezoekers door naar een andere site, bijvoorbeeld over gokken, medicijnen of nepwinkels. Soms gebeurt dat alleen op een telefoon, of alleen als iemand via Google binnenkomt. Typ je je webadres zelf in, dan kan alles normaal lijken. Vraag daarom iemand anders om je zaak te googelen en op de link te tikken.
• Een rode waarschuwingspagina in de browser, die bezoekers vertelt dat je site gevaarlijk of misleidend is. Google kan zo'n waarschuwingspagina tonen als het denkt dat een site schadelijk is voor bezoekers (Search Console Help (opent in een nieuw tabblad)).
• Een melding in Google zelf, zoals "Deze site is mogelijk gehackt" onder je naam in de zoekresultaten. Google toont die als het denkt dat een hacker bestaande pagina's heeft veranderd (Google Zoeken Help (opent in een nieuw tabblad)).
• Vreemde pagina's in Google. Zoek in Google op site:jouwdomein.nl, met je eigen webadres. Je ziet dan welke pagina's Google van je site kent. Staan daar pagina's tussen die jij nooit hebt gemaakt, in een andere taal of over producten die je niet verkoopt, dan heeft iemand ze op je site gezet.
• Een bericht van je hostingpartij of van Google Search Console dat er iets mis is met je site.
• Wijzigingen die je niet zelf deed: een nieuwe beheerder in je website, een andere tekst op je homepage of klanten die vreemde mails krijgen uit naam van je zaak.

Zie je een of meer van deze signalen, ga dan meteen door naar het eerste uur. Is je site alleen ineens traag, zonder vreemde pagina's of doorsturen, kijk dan eerst bij een trage website.

Is het een hack of een verlopen ssl-certificaat?

Niet elke waarschuwing in de browser betekent dat je gehackt bent. De waarschuwing kan ook over het ssl-certificaat gaan. Dat is het digitale bewijs waarmee je site een beveiligde verbinding maakt, te zien aan https aan het begin van je webadres. Zo'n certificaat heeft een einddatum. Is het verlopen of verkeerd ingesteld, dan zegt de browser dat de verbinding niet privé of niet veilig is.

Dat is vervelend, want veel bezoekers klikken dan weg. Maar het is geen hack: er staat geen vreemde code op je site en niemand heeft ingebroken. De oplossing is dat je hostingpartij of webbouwer het certificaat vernieuwt. Bij veel hostingpartijen gaat dat vanzelf.

Wat doe je in het eerste uur?

Het eerste uur draait om twee dingen: de hacker buitensluiten en voorkomen dat bezoekers schade oplopen. Ga niet zelf in bestanden zoeken en verwijderen. Daarmee kun je sporen wissen die nodig zijn om te zien hoe de hacker binnenkwam.

1. Bel je hostingpartij of webbouwer. De partij waar je website online staat, ziet meer dan jij: welke bestanden zijn veranderd en vanaf welk moment. Google raadt zelf aan je hostingpartij meteen in te lichten (web.dev (opent in een nieuw tabblad)). Weet je niet wie dat is of heb je geen toegang, zoek dan je facturen op. Hoe je terugvindt wie wat beheert, lees je in wie eigenaar is van je website en domeinnaam.
2. Laat de site tijdelijk offline halen. Zo krijgen bezoekers geen spam of schadelijke code meer te zien. Google noemt dit als een van de eerste stappen (web.dev (opent in een nieuw tabblad)). Je hostingpartij kan in de tussentijd een korte melding tonen dat de site tijdelijk niet beschikbaar is.
3. Verander alle wachtwoorden. Niet alleen dat van je website, maar alles wat met je site te maken heeft: de beheeromgeving van je website, het account bij je hostingpartij, de database en de toegang voor bestanden (FTP) (web.dev (opent in een nieuw tabblad)). Doe dat vanaf een computer waarvan je zeker weet dat hij schoon is. Een hacker kan ook via een besmette computer van een beheerder aan wachtwoorden komen (web.dev (opent in een nieuw tabblad)).
4. Zet tweestapsverificatie aan. Dat betekent dat je naast je wachtwoord ook een code nodig hebt, bijvoorbeeld uit een app op je telefoon. Een gestolen wachtwoord is dan niet genoeg om in te loggen. Doe het voor je website, je hostingaccount en het mailadres waarmee je die accounts beheert.
5. Controleer wie er toegang heeft. Kijk in de beheeromgeving van je website of er beheerders bij staan die je niet kent, en verwijder die.
6. Schrijf op wat je ziet. Noteer wanneer je het merkte, wat er gebeurde en maak schermafbeeldingen. Dat heb je nodig voor je hostingpartij, voor een eventuele melding bij de Autoriteit Persoonsgegevens en voor de aangifte.

Opschonen of een schone back-up terugzetten?

Als de hacker is buitengesloten, moet de site weer schoon worden. Daarvoor zijn twee wegen, en in de praktijk gebruik je vaak allebei.

Een schone back-up terugzetten. Een back-up is een kopie van je hele site van een eerder moment. Belangrijk: die kopie moet gemaakt zijn vóór de hack. Google zegt dat je eerst moet controleren dat je back-up van vóór het moment van de hack is (web.dev (opent in een nieuw tabblad)). Daarom is het zo handig om te weten wanneer de hack begon: dan weet je welke back-ups nog schoon zijn (web.dev (opent in een nieuw tabblad)). Zet je een back-up terug van na de hack, dan zet je de hacker gewoon weer terug.

Opschonen. Is er geen schone back-up, of zou je dan te veel nieuwe pagina's en bestellingen kwijtraken, dan moet iemand de site handmatig opschonen: vreemde bestanden en pagina's verwijderen en de software opnieuw installeren. Google raadt een schone, volledig nieuwe installatie aan, geen gewone update over de oude heen (web.dev (opent in een nieuw tabblad)). Dit is werk voor een specialist of een ervaren webbouwer.

Bij allebei geldt: dicht het lek. Een back-up terugzetten haalt de schade weg, maar niet de deur waardoor de hacker binnenkwam. Google noemt zwakke of hergebruikte wachtwoorden en software die niet is bijgewerkt als bekende oorzaken (web.dev (opent in een nieuw tabblad)). Google waarschuwt ook dat er soms meerdere lekken tegelijk zijn, dus stop niet na het eerste. Werk daarom direct na het terugzetten alles bij en verander de wachtwoorden nog een keer (web.dev (opent in een nieuw tabblad)).

Heb je een WordPress-website?

Bij WordPress kan het lek zitten in een uitbreiding (plugin) of een thema dat niet is bijgewerkt. Controleer na het opschonen welke uitbreidingen er staan, verwijder alles wat je niet gebruikt en werk de rest bij. Google noemt het weghalen van onnodige toepassingen en uitbreidingen als manier om je site minder kwetsbaar te maken (web.dev (opent in een nieuw tabblad)). Installeer ook nooit gratis versies van betaalde uitbreidingen van onbekende sites: daar kan precies de code in zitten die je wilde kwijtraken.

Hoe krijg je de waarschuwing van Google weg?

Heeft Google je site gemarkeerd, dan verdwijnt de waarschuwing niet vanzelf als je site schoon is. Je moet Google laten weten dat het opgelost is.

1. Open Google Search Console. Dat is een gratis dienst van Google die laat zien hoe Google je website ziet. Heb je het nog niet, dan stel je het eerst in. Hoe dat stap voor stap gaat, lees je in website niet gevonden in Google.
2. Kijk in het rapport Beveiligingsproblemen. Daar staat wat Google vond: gehackte inhoud, schadelijke software of misleidende pagina's die bezoekers proberen over te halen om gegevens te delen of iets te downloaden. Je ziet er ook voorbeelden van besmette adressen op je site (Search Console Help (opent in een nieuw tabblad)).
3. Los alles op, op alle pagina's. Vraag pas een beoordeling aan als alle problemen weg zijn. Google waarschuwt dat te vroeg aanvragen de doorlooptijd kan verlengen (Search Console Help (opent in een nieuw tabblad)).
4. Klik op Beoordeling aanvragen. Beschrijf daarin precies wat het probleem was, wat je hebt gedaan en wat het resultaat is. Bijvoorbeeld: "Spampagina's verwijderd, verouderde uitbreiding vervangen, alle wachtwoorden veranderd." Dien geen nieuw verzoek in zolang het vorige nog loopt. Je krijgt een mail als Google klaar is (Search Console Help (opent in een nieuw tabblad)).

Hoe lang het duurt, hangt af van het probleem. Volgens Google duurt een beoordeling bij misleidende pagina's ongeveer een dag, bij schadelijke software een paar dagen en bij een site vol spampagina's soms enkele weken (web.dev (opent in een nieuw tabblad)). Is je site nog niet schoon, dan blijft de waarschuwing staan en toont het rapport nieuwe voorbeelden om verder te zoeken.

Moet je een datalek melden bij de Autoriteit Persoonsgegevens?

Een hack kan een datalek zijn. Dat is zo als de hacker bij persoonsgegevens kon: namen, e-mailadressen en telefoonnummers uit je contactformulier, klantaccounts of bestellingen. Een hack door cybercriminelen is een van de voorbeelden die de overheid zelf noemt (Ondernemersplein (opent in een nieuw tabblad)).

Wat de regels zeggen, volgens Ondernemersplein van de overheid:

• Of je moet melden, hangt af van het risico voor de mensen van wie de gegevens zijn. Twijfel je, meld dan wel.
• Moet je melden, dan doe je dat binnen 72 uur nadat je het datalek ontdekte, bij de Autoriteit Persoonsgegevens (AP).
• Moet je melden bij de AP, dan informeer je ook de mensen zelf over wat er met hun gegevens is gebeurd. Dat hoeft bijvoorbeeld niet als de gegevens versleuteld waren en de sleutel veilig is.
• Leg elk datalek vast, ook als je het niet hoeft te melden: wat er gebeurde, wat de gevolgen zijn en wat je hebt gedaan.

De 72 uur gaan dus lopen op het moment dat je het ontdekt, niet als het onderzoek klaar is. Wacht daarom niet tot je hostingpartij alles heeft uitgezocht. Niet of te laat melden is volgens de KVK strafbaar (KVK (opent in een nieuw tabblad)). Vraag je hostingpartij direct of er gegevens zijn ingezien of meegenomen.

Moet je aangifte doen van een hack?

Ja, dat is verstandig. De KVK roept ondernemers op om zich niet te schamen en aangifte te doen. Een digitaal rechercheur van de politie zegt daar: "Als je geen aangifte doet, gaat er sowieso niks gebeuren." Meer meldingen helpen de politie ook om patronen te zien en daders te vinden (KVK (opent in een nieuw tabblad)).

Hoe je aangifte doet, staat op de site van de politie (opent in een nieuw tabblad). Weet je niet welke route je moet kiezen, bel dan het nummer voor geen spoed, wel politie: 0900-8844. Neem je aantekeningen en schermafbeeldingen uit het eerste uur mee, en vraag je hostingpartij om een kort overzicht van wat er is gebeurd.

Volgens de KVK kun je de aanval ook melden bij de Fraudehelpdesk, die andere ondernemers kan waarschuwen (KVK (opent in een nieuw tabblad)).

Hoe voorkom je dat je website opnieuw gehackt wordt?

De meeste maatregelen zijn niet ingewikkeld. Ze moeten alleen wel steeds gebeuren, ook als je druk bent.

• Houd alles bijgewerkt. De software van je website, het thema en de uitbreidingen. Google noemt verouderde software als een waarschijnlijke oorzaak wanneer een site gehackt is (web.dev (opent in een nieuw tabblad)).
• Maak automatisch back-ups, regelmatig en buiten je website zelf. Google raadt regelmatige, automatische back-ups aan (web.dev (opent in een nieuw tabblad)). Probeer ook eens of terugzetten echt werkt.
• Gebruik minder uitbreidingen. Elke uitbreiding is een extra deur. Wat je niet gebruikt, haal je weg.
• Sterke, unieke wachtwoorden. Gebruik een wachtwoord voor één account, niet overal hetzelfde (web.dev (opent in een nieuw tabblad)). Een wachtwoordbeheerder helpt daarbij.
• Tweestapsverificatie op alles waar het kan.
• Weinig beheerders. Geef oud personeel of een vorige webbouwer geen toegang meer.
• Een onderhoudscontract, zodat iemand anders dit voor je bijhoudt.

Wil je dit niet zelf doen, dan is een onderhoudscontract de logische keuze. Wat zoiets kost en wat erin hoort te zitten, lees je in wat website-onderhoud kost. Ons eigen pakket hosting en onderhoud kost €49 per maand, exclusief btw en maandelijks opzegbaar. Daarin zitten snelle hosting met een beveiligde verbinding, updates, back-ups en controle of alles werkt, plus kleine wijzigingen tot 30 minuten per maand. Alle pakketten staan op onze prijzenpagina.

Checklist: dit doe je vandaag

• Hostingpartij of webbouwer gebeld en de situatie uitgelegd.
• Site tijdelijk offline, zodat bezoekers geen spam of schadelijke code zien.
• Alle wachtwoorden veranderd: website, hosting, database, FTP en het bijbehorende mailadres.
• Tweestapsverificatie aangezet.
• Onbekende beheerders verwijderd.
• Aantekeningen en schermafbeeldingen gemaakt.
• Gevraagd of er persoonsgegevens zijn ingezien, en zo ja: binnen 72 uur bepaald of je moet melden bij de AP.
• Besloten: schone back-up van vóór de hack terugzetten of laten opschonen.
• Lek gedicht: alles bijgewerkt, ongebruikte uitbreidingen weg.
• Beoordeling aangevraagd in Search Console, als Google een waarschuwing toont.
• Aangifte gedaan.

Hoe ga je verder na een hack?

Een hack is een goed moment om eerlijk naar je website te kijken. Is hij goed onderhouden en was dit pech, dan is opschonen en daarna goed bijhouden genoeg. Maar soms blijkt dat niemand de site nog bijhield, dat er tientallen uitbreidingen op staan die niemand meer kent, of dat je oude webbouwer niet meer reageert.

Wil je je site bij een andere partij onderbrengen die hem wel bijhoudt, lees dan hoe website overzetten werkt. Wil je weten of je huidige site na het opschonen ook sneller en duidelijker kan, kijk dan bij website verbeteren. En is de site zo verouderd dat repareren niet meer loont, dan is een nieuwe website vaak verstandiger. Wij bouwen eerst gratis een werkende preview, zodat je ziet wat je krijgt voordat je iets beslist.