Een vreemde redirect naar een onbekende website, nieuwe beheerders die je zelf niet hebt aangemaakt, spamlinks in Google of een WordPress-website die plotseling niet meer normaal werkt: het kunnen allemaal signalen zijn dat je WordPress website gehackt is.
Soms is een hack direct zichtbaar. In andere gevallen blijft schadelijke code langere tijd onopgemerkt aanwezig. Alleen een verdacht bestand verwijderen is dan meestal niet voldoende. Je moet achterhalen wat er gewijzigd is, hoe toegang is verkregen en of er achterdeurtjes zijn achtergelaten waarmee een aanvaller later opnieuw binnen kan komen.
In dit artikel lees je hoe je een WordPress-hack herkent, wat je als eerste moet controleren, hoe een gehackte WordPress website in hoofdlijnen wordt hersteld en hoe je de kans op een nieuwe aanval verkleint.
Hoe weet je of WordPress gehackt is?
Niet iedere foutmelding betekent dat WordPress gehackt is. Een pluginconflict, verlopen SSL-certificaat of serverstoring kan eveneens vreemde problemen veroorzaken.
Er zijn echter signalen die extra onderzoek noodzakelijk maken.
Onbekende redirects
Je opent je website en wordt doorgestuurd naar een andere website, reclamepagina of onbekend domein.
Dit kan voortdurend gebeuren, maar sommige kwaadaardige redirects worden alleen aan specifieke bezoekers, apparaten of zoekmachines getoond.
Onbekende beheerders in WordPress
Controleer binnen WordPress bij Gebruikers welke accounts beheerdersrechten hebben.
Zie je een administrator die niemand binnen de organisatie kent? Dan is dat een duidelijk waarschuwingssignaal.
Spamlinks of vreemde pagina’s
Bij een gehackte website kunnen automatisch honderden of duizenden pagina’s worden toegevoegd met onderwerpen die niets met je website te maken hebben.
Deze pagina’s kunnen zichtbaar worden in Google, terwijl je ze in het normale WordPress-menu nergens ziet.
Beveiligingswaarschuwingen
Browsers, zoekmachines, hostingproviders of beveiligingssoftware kunnen waarschuwen dat er malware of verdachte inhoud is aangetroffen.
Zo’n melding moet serieus onderzocht worden.
Website werkt plotseling niet meer
Een hack kan bestanden beschadigen, verwijderen of aanpassen. Hierdoor kunnen bijvoorbeeld:
- pagina’s foutmeldingen tonen;
- formulieren stoppen;
- de WordPress-admin niet meer laden;
- plugins vreemde fouten veroorzaken;
- de website helemaal offline raken.
Onverklaarbare wijzigingen in bestanden
Vind je PHP-bestanden die je niet herkent of zijn bestaande bestanden recent gewijzigd zonder dat iemand hieraan heeft gewerkt? Dan kan nader onderzoek nodig zijn.
Wat moet je doen als je website gehackt is?
Wanneer je denkt dat je WordPress gehackt is, is snel handelen verstandig. Toch is direct willekeurig bestanden verwijderen meestal geen goede aanpak.
Daarmee kun je belangrijke informatie over de oorzaak verliezen of de website verder beschadigen.
1. Maak eerst een kopie van de huidige situatie
Maak indien mogelijk een back-up van:
- alle websitebestanden;
- de WordPress-database;
- belangrijke serverlogs.
Ook wanneer de website malware bevat, kan een kopie nuttig zijn voor technisch onderzoek.
Deze back-up moet uiteraard niet later zonder controle als schone website worden teruggezet.
2. Beperk toegang tot de website
Wanneer bezoekers gevaar lopen of de website spam verspreidt, kan het verstandig zijn de website tijdelijk af te schermen of in onderhoudsmodus te plaatsen.
Een webshop of andere bedrijfskritische website vraagt daarbij om een zorgvuldige aanpak om onnodige downtime te beperken.
3. Controleer gebruikersaccounts
Bekijk alle WordPress-gebruikers met uitgebreide rechten.
Verwijder niet zomaar accounts voordat duidelijk is wat er gebeurd is, maar noteer verdachte accounts en controleer wanneer ze zijn aangemaakt.
4. Controleer WordPress, thema’s en plugins
Bekijk welke versies actief zijn en of er sterk verouderde onderdelen tussen staan.
Controleer ook of plugins of thema’s aanwezig zijn die niemand herkent of die niet meer worden gebruikt.
5. Onderzoek bestanden en database
Een WordPress hack oplossen vereist vaak controle van zowel bestanden als database.
Kwaadaardige code kan zich bevinden in:
- plugins;
- thema’s;
- uploads;
- WordPress-kernbestanden;
- configuratiebestanden;
- databasevelden.
Daarom is alleen WordPress opnieuw installeren niet altijd genoeg.
Hoe ontstaat een WordPress-hack?
WordPress zelf is niet automatisch onveilig. Problemen ontstaan vaak doordat verschillende onderdelen van een website onvoldoende worden onderhouden of beveiligd.
Verouderde plugins en thema’s
Plugins en thema’s kunnen beveiligingslekken bevatten.
Wanneer een kwetsbaarheid bekend wordt, brengen ontwikkelaars doorgaans een update uit. Websites waarop zo’n update niet wordt geïnstalleerd, kunnen kwetsbaar blijven.
Zwakke of hergebruikte wachtwoorden
Een eenvoudig wachtwoord of een wachtwoord dat ook bij andere diensten wordt gebruikt vergroot het risico.
Wanneer gegevens elders uitlekken, kunnen geautomatiseerde systemen proberen dezelfde combinatie op WordPress te gebruiken.
Onnodige beheerdersaccounts
Hoe meer administratoraccounts bestaan, hoe meer accounts beveiligd moeten worden.
Gebruikers moeten daarom alleen de rechten krijgen die ze daadwerkelijk nodig hebben.
Verouderde serveromgeving
Ook PHP, webservers, databases en hostingsoftware moeten worden onderhouden.
Een goed beveiligde WordPress-installatie op een slecht onderhouden server blijft kwetsbaar.
Onbetrouwbare plugins of thema’s
Gratis gedownloade premium plugins of thema’s uit onbekende bronnen kunnen aangepaste of schadelijke code bevatten.
Gebruik WordPress-software daarom alleen uit betrouwbare bronnen.
WordPress malware verwijderen
WordPress malware verwijderen betekent meer dan zoeken naar één verdacht bestand.
Bij een professionele opschoning moet worden vastgesteld welke bestanden zijn aangepast en of er mechanismen zijn toegevoegd waarmee opnieuw toegang verkregen kan worden.
WordPress-kernbestanden controleren
Originele WordPress-kernbestanden kunnen worden vergeleken met een schone versie.
Afwijkende of aangepaste bestanden moeten vervolgens worden onderzocht.
Plugins en thema’s controleren
Plugins en thema’s kunnen eveneens geïnfecteerd of aangepast zijn.
Wanneer een betrouwbare schone versie beschikbaar is, kan vervanging veiliger zijn dan proberen een onbekend aangepast bestand handmatig te repareren.
Uploadmap controleren
De uploads-directory is voornamelijk bedoeld voor media.
Onverwachte uitvoerbare bestanden in locaties waar normaal alleen afbeeldingen of documenten worden opgeslagen verdienen extra aandacht.
Database controleren
Malware kan ook in de database terechtkomen.
Denk aan:
- ongewenste scripts;
- gewijzigde instellingen;
- spamlinks;
- nieuwe gebruikers;
- aangepaste pagina-inhoud.
Een gehackte website opschonen moet daarom zowel de database als de bestanden meenemen.
WordPress virus verwijderen: bestaat een WordPress-virus?
De term WordPress virus verwijderen wordt vaak gebruikt, maar technisch gaat het meestal om malware, geïnjecteerde scripts, schadelijke PHP-code, spam of een achterdeur.
Voor de website-eigenaar maakt de benaming weinig verschil: de schadelijke code moet volledig worden opgespoord en verwijderd.
Het belangrijkste is dat niet alleen de zichtbare symptomen verdwijnen.
Een redirect verwijderen terwijl een verborgen achterdeur actief blijft, betekent dat de website korte tijd later opnieuw besmet kan raken.
Back-up terugzetten na een hack: wel of niet?
Een back-up terugzetten klinkt als de snelste oplossing, maar is niet altijd voldoende.
Wanneer een back-up kan helpen
Een recente back-up van vóór de besmetting kan een belangrijke basis vormen voor herstel.
Je moet dan wel redelijk zeker weten dat de back-up daadwerkelijk gemaakt is voordat de website werd gecompromitteerd.
Waarom alleen terugzetten onvoldoende kan zijn
Stel dat de website gehackt werd doordat een kwetsbare plugin maandenlang niet is bijgewerkt.
Wanneer je vervolgens een oude back-up terugzet maar dezelfde kwetsbare plugin laat staan, kan de website opnieuw worden aangevallen.
Na herstel moeten daarom ook de oorzaak en gebruikte toegangsmethode worden aangepakt.
Een goede aanpak bestaat dus uit:
herstellen + controleren + oorzaak oplossen + beveiligen.
Wachtwoorden en beheerders controleren
Na een hack moeten belangrijke toegangsgegevens opnieuw worden ingesteld.
Denk niet alleen aan het WordPress-wachtwoord.
Controleer onder andere:
- WordPress-beheerders;
- hostingaccount;
- FTP/SFTP;
- databasegebruikers;
- e-mailaccounts die voor wachtwoordherstel worden gebruikt;
- controlepaneel;
- externe beheertools.
Gebruik voor ieder account een uniek en sterk wachtwoord.
Waar mogelijk kan tweestapsverificatie een extra beveiligingslaag toevoegen.
Controleer alle WordPress-gebruikers
Bekijk niet alleen administrators.
Een aanvaller kan een gebruiker aanmaken met beperkte rechten en deze later opnieuw proberen te misbruiken.
Verwijder accounts die aantoonbaar niet thuishoren op de website.
WordPress herstellen na een hack
Een volledige WordPress herstellen na hack-procedure bestaat grofweg uit verschillende fases.
Fase 1: analyse
Eerst wordt vastgesteld wat er veranderd is en hoe ernstig de besmetting is.
Fase 2: opschoning
Kwaadaardige bestanden, code, gebruikers en databasewijzigingen worden verwijderd of vervangen.
Fase 3: updates
WordPress, plugins, thema’s en eventueel de serveromgeving worden bijgewerkt.
Fase 4: toegangsgegevens wijzigen
Relevante wachtwoorden en beveiligingssleutels worden vervangen.
Fase 5: testen
Na herstel moeten belangrijke functies worden getest.
Denk bijvoorbeeld aan:
- formulieren;
- login;
- webshop;
- betalingen;
- redirects;
- mobiele weergave;
- e-mail;
- zoekfuncties.
Fase 6: monitoring
Na een hack is het verstandig de website extra te controleren op nieuwe verdachte wijzigingen.
WordPress na een hack beveiligen
Een gerepareerde website is pas klaar wanneer ook gekeken is naar de oorzaak.
Houd WordPress actueel
Installeer beveiligingsupdates tijdig.
Dit geldt voor:
- WordPress;
- plugins;
- thema’s;
- PHP;
- servercomponenten.
Verwijder ongebruikte plugins en thema’s
Software die niet gebruikt wordt maar wel op de server staat, levert weinig voordeel op en kan extra risico introduceren.
Verwijder onderdelen die aantoonbaar niet meer nodig zijn.
Gebruik sterke unieke wachtwoorden
Gebruik nooit hetzelfde wachtwoord voor WordPress, hosting en e-mail.
Een wachtwoordmanager kan helpen om voor iedere dienst unieke gegevens te gebruiken.
Beperk beheerdersrechten
Niet iedere gebruiker hoeft administrator te zijn.
Geef accounts uitsluitend de rechten die ze nodig hebben.
Maak automatische back-ups
Een goede back-upstrategie is onmisbaar.
Bewaar bij voorkeur meerdere herstelpunten en zorg dat niet alle back-ups uitsluitend op dezelfde server staan als de live website.
Monitor de website
Uptime-, beveiligings- en wijzigingsmonitoring kunnen helpen om problemen sneller te signaleren.
WordPress website beveiligen is een doorlopend proces
Een eenmalige beveiligingscontrole is geen garantie dat een website jarenlang veilig blijft.
WordPress verandert. Plugins veranderen. Nieuwe kwetsbaarheden worden ontdekt en websites krijgen nieuwe functionaliteiten.
WordPress website beveiligen hoort daarom bij structureel websiteonderhoud.
Dat betekent onder andere:
- updates uitvoeren;
- back-ups controleren;
- accounts beheren;
- ongebruikte software verwijderen;
- serveromgeving onderhouden;
- logs en waarschuwingen opvolgen.
Hierdoor kan een probleem eerder worden ontdekt en wordt de kans kleiner dat bekende kwetsbaarheden lang open blijven staan.
Wanneer een WordPress-specialist inschakelen?
Niet iedere WordPress-fout hoeft door een specialist onderzocht te worden.
Bij een daadwerkelijke of vermoedelijke hack kan professionele hulp echter verstandig zijn, vooral wanneer:
- je niet weet hoe de aanvaller toegang kreeg;
- de website steeds opnieuw besmet raakt;
- Google spamresultaten toont;
- meerdere websites op dezelfde hostingomgeving getroffen zijn;
- er een WooCommerce-webshop op draait;
- klant- of bedrijfsgegevens betrokken kunnen zijn;
- je geen betrouwbare schone back-up hebt;
- je onbekende PHP-bestanden aantreft;
- je website na een eerdere opschoning opnieuw wordt doorgestuurd.
Een specialist kan niet alleen de zichtbare malware verwijderen, maar ook onderzoeken of er andere gewijzigde bestanden, gebruikers of achterdeuren aanwezig zijn.
Gehackte WordPress website laten herstellen door Sanum
Is je WordPress website gehackt of vermoed je malware? Dan kan Sanum helpen bij het technisch onderzoeken, opschonen en herstellen van WordPress-websites.
Daarbij is het belangrijk om verder te kijken dan alleen de zichtbare fout.
Een duurzame oplossing bestaat uit het opsporen van verdachte wijzigingen, herstellen van de website, controleren van WordPress en de serveromgeving en vervolgens het verbeteren van de beveiliging.
Na herstel kan periodiek WordPress-onderhoud helpen om updates, back-ups en technische controles structureel uit te voeren.
Heb je problemen met een gehackte WordPress-website? Neem contact op met Sanum voor technisch onderzoek en herstel.
Veelgestelde vragen over een gehackte WordPress website
Hoe weet ik zeker dat mijn WordPress website gehackt is?
Signalen zoals vreemde redirects, onbekende beheerders, spamlinks, aangepaste bestanden of beveiligingswaarschuwingen kunnen wijzen op een hack. Technisch onderzoek is nodig om dit met zekerheid vast te stellen.
Kan ik een gehackte WordPress website zelf herstellen?
Dat kan bij beperkte problemen en voldoende technische kennis. Bij een serieuze besmetting is alleen het verwijderen van één verdacht bestand meestal onvoldoende, omdat malware op meerdere plaatsen aanwezig kan zijn.
Moet ik WordPress opnieuw installeren na een hack?
Het vervangen van WordPress-kernbestanden kan onderdeel zijn van herstel, maar lost niet automatisch besmette plugins, thema’s, de database of een achterdeur op.
Kan ik gewoon een oude back-up terugzetten?
Een schone back-up kan helpen, maar je moet ook de oorzaak van de hack oplossen. Anders kan dezelfde kwetsbaarheid opnieuw worden gebruikt.
Moet ik alle wachtwoorden veranderen?
Na een bevestigde hack is het verstandig om relevante toegangsgegevens te wijzigen, waaronder WordPress, hosting, FTP/SFTP en andere beheeraccounts.
Hoe voorkom ik dat WordPress opnieuw gehackt wordt?
Houd WordPress, plugins, thema’s en servercomponenten actueel, gebruik sterke unieke wachtwoorden, beperk beheerdersaccounts, verwijder ongebruikte software en zorg voor betrouwbare back-ups en monitoring.
Waarom komt malware soms terug na verwijdering?
Dit gebeurt vaak wanneer niet alle schadelijke code is verwijderd of wanneer de oorspronkelijke kwetsbaarheid nog aanwezig is. Ook een verborgen achterdeur kan ervoor zorgen dat een aanvaller opnieuw toegang krijgt.
Kan een gehackte WordPress website invloed hebben op SEO?
Ja. Spamlinks, ongewenste pagina’s, redirects en downtime kunnen de zichtbaarheid en betrouwbaarheid van een website aantasten. Na herstel is het verstandig ook de geïndexeerde pagina’s en eventuele beveiligingsmeldingen in zoekmachines te controleren.
