WordPress site gehackt:
eerste hulp

Een gehackte WordPress-site is nachtmerriescenario voor elke ondernemer. Maar het overkomt meer mensen dan je denkt, WordPress drijft meer dan 40% van alle websites wereldwijd, wat het een populair doelwit maakt voor geautomatiseerde aanvallen. Hoe sneller je handelt, hoe minder schade.

Stap 1: Bevestig de hack

Soms lijkt een site gehackt maar is er een andere oorzaak (plugin-conflict, server­storing). Bevestig eerst het probleem via twee onafhankelijke bronnen:

• Surf vanuit een ander netwerk: gebruik een mobiele dataverbinding of een VPN. Sommige redirects activeren zich alleen voor nieuwe bezoekers, niet voor jou als beheerder.
• Google Safe Browsing: controleer je domein via de transparantierapport-tool van Google. Een rode vlag daar betekent dat Google actief bezoekers waarschuwt.
• Vraag je hostingprovider: zij zien vaak als eersten wanneer er kwaadaardige activiteit is op serverniveau.
• Scan met een online malware-checker: tools als Sucuri SiteCheck geven snel een extern oordeel.

Stap 2: Zet de site tijdelijk offline

Zo snel mogelijk offline gaan beperkt de schade voor je bezoekers en voorkomt dat Google je site massaal afstraft. Je hebt hiervoor twee opties:

• Via je hostingpanel: de meeste providers (cPanel, Plesk, Kinsta, SiteGround…) hebben een knop om de site tijdelijk te deactiveren of in onderhoudsmodus te zetten zonder dat je toegang tot WordPress nodig heeft.
• Via een onderhoudsmodus-plugin via FTP: upload een eenvoudig index.php-bestand met een "tijdelijk offline" melding naar de root van je site.

Stap 3: Wijzig alle wachtwoorden

Doe dit voordat je ook maar één andere stap zet, anders kunnen aanvallers terugkeren terwijl je bezig bent te herstellen.

Stap 4: Maak een forensische back-up

Dit klinkt contra-intuïtief, back-up maken van een gehackte site?, maar het is cruciaal. Je hebt de besmette versie nodig om achteraf te achterhalen hoe de aanval plaatsvond en welke bestanden gewijzigd zijn.

• Download alle bestanden via FTP/SFTP naar een offline locatie (niet op de server).
• Exporteer een dump van de database via phpMyAdmin of de CLI.
• Bewaar deze back-up apart van je gewone back-ups, label hem duidelijk als "gehackt – forensisch".

Stap 5: Herstel vanaf een schone back-up

Als je recente, niet-besmette back-ups heeft, is dit de snelste weg naar herstel. De meeste hosting­providers bewaren automatische dagelijkse back-ups, vraag ernaar als je ze niet vindt.

Controleer altijd de datum. Een back-up van vóór de hack is nuttig; een back-up van na de hack bevat mogelijk al de malware. Vergelijk bestandsdatums en -groottes als je twijfelt.

Na het terugzetten van de back-up: update onmiddellijk alle plugins, thema's en de WordPress-core. De kwetsbaarheid waardoor de aanvaller binnenkwam, bestaat anders nog steeds.

Stap 6: Handmatig malware opsporen (als er geen back-up is)

Geen bruikbare back-up? Dan begint het handwerk. Dit zijn de plaatsen waar aanvallers het vaakst kwaadaardige code verbergen:

• wp-content/themes/[uw-thema]/: met name functions.php, header.php en footer.php worden aangepast.
• wp-content/uploads/: PHP-bestanden horen hier nooit thuis. Elk .php-bestand in de uploads­map is verdacht.
• wp-config.php: check op vreemde code boven of onder de standaard inhoud.
• .htaccess: aanvallers voegen hier redirect-regels aan toe die onzichtbaar zijn voor de beheerder maar actief zijn voor gewone bezoekers.
• Databasetabel wp_options: de velden siteurl en home worden soms gewijzigd naar een andere URL.

Plugins als Wordfence of MalCare doen dit scanwerk geautomatiseerd en markeren gewijzigde bestanden ten opzichte van de officiële WordPress-broncode.

Stap 7: Verwijder onbekende gebruikers en herstel bestandspermissies

Ga naar Gebruikers → Alle gebruikers in WordPress en verwijder elke beheerder die je niet herkent. Controleer ook je hosting­panel op FTP-accounts die je niet zelf aangemaakt heeft.

Stel daarna de bestandspermissies correct in, aanvallers verhogen deze soms om schrijftoegang te krijgen:

• Bestanden: 644
• Mappen: 755
• wp-config.php: 600 (alleen lezen door de eigenaar)

Stap 8: Beveilig de site en kom terug online

Herstel zonder extra beveiliging is een herhaling van zetten. Neem deze maatregelen voordat je de site terug online zet:

• Installeer een beveiligingsplugin: Wordfence (gratis) of iThemes Security blokkeren brute-force aanvallen en scannen op malware.
• Activeer tweefactorauthenticatie: voor alle beheerdersaccounts. Dit maakt gestolen wachtwoorden nutteloos.
• Verberg de inlogpagina: de standaard URL /wp-admin is wereldkundig; gebruik een plugin om hem te hernoemen.
• Beperk inlogpogingen: na 5 mislukte pogingen tijdelijk blokkeren volstaat om 99% van de bots te stoppen.
• Schakel XML-RPC uit: tenzij je het actief gebruikt, is dit een veelgebruikt aanvalsvector dat je beter sluit.
• Zet automatische updates aan: voor WordPress-core en beveiligings­updates van plugins.
• Kies veilige hosting: een goede host met dagelijkse back-ups, monitoring en serverbeveiliging vangt veel aanvallen op vóór ze je bereiken; zie onze hosting.

Oorzaken en preventie, overzicht

Aanvalsvector	Hoe het gebeurt	Preventie
Verouderde plugins of thema's	Bekende kwetsbaarheden worden geautomatiseerd uitgebuit	Automatische updates aanzetten
Zwak wachtwoord	Brute-force of credential stuffing	Sterk wachtwoord + 2FA
Geïnfecteerde nulled plugins	Gratis illegale versies bevatten backdoors	Nooit nulled software gebruiken
Gedeelde hosting zonder isolatie	Andere sites op de server besmetten de uwe	VPS of geïsoleerde hosting kiezen
Zwakke FTP-credentials	Aanvallers loggen in en uploaden malware	SFTP met sleutelauthenticatie
Geen back-ups	Geen hersteloptie na aanval	Dagelijkse offsite back-ups

Wanneer vraag je hulp?

Niet iedereen heeft de technische kennis of tijd om dit zelf af te handelen, en dat is volkomen begrijpelijk. Schakel een professional in als:

• Je geen bruikbare back-up kunt vinden.
• De malware terugkeert na verwijdering (backdoor nog aanwezig).
• Google je site heeft gemarkeerd en de verzoek tot herziening moet ingediend worden.
• Je niet zeker bent of de site volledig schoon is voor bezoekers terug toe te laten.
• Er persoonlijke data van klanten mogelijk gelekt is, dan speelt ook de GDPR-meldplicht.

Lees ook: WordPress inloggen lukt niet · WordPress kritieke fout oplossen · WordPress update mislukt? Oplossen · WordPress website sneller maken: case

← Terug naar alle blogberichten