Website hacked: what to do in the first 24 hours

You open your own website and see a strange page, a warning from Google, or a business site that suddenly talks about medication or cheap watches. Website hacked, what to do? Take a breath, then work in the right order. The order matters more than speed.

If you delete everything straight away or restore a backup, you often wipe the evidence and leave the back door open. Below is a checklist for the first 24 hours. You don't need to be a specialist to take the first steps. For the later steps, we tell you honestly when it's better to bring in someone else.

Step 1: check whether your site is really hacked

Not every outage is a hack. A broken plugin or an expired certificate can look just as scary. These are signs that do point to a hack:

• Your site shows pages or text you didn't create, for example in another language or about products you don't sell.
• Visitors are redirected to another website, often only from Google or only on mobile. That's why you sometimes don't see it yourself.
• Google shows a warning in the search results, or your pages have strange titles.
• Your hosting provider reports suspicious activity, or your site has been suspended.
• There are new administrators in WordPress that you don't know.
• Your server is suddenly slow or sends email you didn't ask for.

Not sure? Run the free website check, which looks at security, among other things. It's not a forensic investigation, but it shows whether something is visibly wrong.

Step 2: shield the site, first hour

As long as the hacker is in and visitors keep coming, the damage grows. Visitors can pick up malware and Google can flag your site as dangerous. So close the door first.

1. Take the site offline or put it in maintenance mode. A simple maintenance page is fine. If you can, have it return a 503 status, so Google understands it's temporary.
2. First change your own password, from a clean device. If your own laptop is infected, a new password won't help. So run a virus scan before you continue.
3. Lock down access to the server. Change FTP and SSH passwords and remove accounts you don't recognize.
4. Waarschuw je hostingpartij. Die kan vaak in de logs zien waar het is misgegaan en kan helpen met het afschermen.

Dit kost ongeveer een half uur tot een uur. Het voelt als weinig vooruitgang, maar je stopt hiermee de bloeding.

Stap 3: zet het bewijs veilig voordat je iets verwijdert

Maak eerst een kopie van de gehackte site, bestanden en database, en bewaar die apart. Dat voelt vreemd, want je gaat een besmette site opslaan. Maar zonder die kopie kun je later niet uitzoeken hoe de hacker binnenkwam. En als je dat niet weet, gebeurt het opnieuw.

Bewaar ook de logbestanden van de webserver als je die kunt downloaden. Zet de kopie niet terug op een publiek bereikbare plek. Voor een gewone ondernemer is dit een kwartier werk in Plesk of via je hostingpartij. Heb je persoonsgegevens van klanten op de site, schrijf dan ook op wanneer je de hack ontdekte. Dat heb je straks nodig (zie verderop).

Stap 4: schoonmaken of back-up terugzetten

Dit is de stap waar de meeste mensen beginnen, en waar de meeste fouten worden gemaakt. Je hebt twee routes.

Route A: een schone back-up terugzetten

Meestal de snelste en veiligste route. Het addertje: de back-up moet van vóór de besmetting zijn. Maar wanneer de hack begon, weet je vaak niet precies. Kijk naar de datum waarop de eerste vreemde bestanden zijn aangemaakt en kies een back-up van daarvoor. Hoe dat werkt bij ons, lees je in back-up maken en terugzetten.

Zet direct na het terugzetten alles bij: WordPress, thema en plugins. De back-up bevat namelijk ook het lek waardoor de hacker binnenkwam. Doe je dat niet, dan sta je binnen een paar dagen weer op nul.

Route B: handmatig opschonen

Heb je geen bruikbare back-up, dan moet je zelf aan de slag. Dat is veel werk en lastig om helemaal goed te doen. Dit zijn de plekken waar je zoekt:

• Je map met uploads. Daar horen afbeeldingen te staan, geen PHP-bestanden.
• Bestanden met rare namen of recente wijzigingsdatums die je niet kunt verklaren.
• You .htaccess, waar vaak onzichtbare doorverwijzingen in zijn gezet.
• De gebruikerslijst in WordPress, voor beheerders die niet van jou zijn.
• Ongebruikte of onbekende plugins en thema’s. Verwijder wat je niet gebruikt.

Bij WordPress kun je de kernbestanden vervangen door een schone download van dezelfde versie. In Plesk kan WordPress Toolkit de kernbestanden vergelijken met het origineel, wat scheelt zoekwerk. Plugins en thema’s installeer je opnieuw vanuit een betrouwbare bron.

Wees eerlijk tegen jezelf. Een goed verstopte backdoor vind je met het blote oog vaak niet. Als je na een paar uur nog steeds niet zeker weet of alles schoon is, laat het dan door iemand doen. Ons cybersecurityteam doet incident response, dus zoeken naar de oorzaak en het dichten van het lek.

Stap 5: wachtwoorden en toegang vernieuwen

Doe dit pas ná het schoonmaken, of op zijn minst opnieuw daarna. Anders geef je een nieuw wachtwoord aan een site waarin de hacker nog meekijkt. Ga langs:

• Alle WordPress-gebruikers met beheerrechten. Laat ze uitloggen en nieuwe wachtwoorden kiezen.
• FTP, SSH, Plesk en je hostingaccount.
• Het databasewachtwoord. Dit pas je ook aan in wp-config.php, anders is je site onbereikbaar.
• De beveiligingssleutels in wp-config.php. Door die te vervangen worden alle bestaande sessies ongeldig.
• Je e-mailaccount en domeinaccount. Daar kan een hacker meer schade aanrichten dan op de site zelf.

Gebruik overal een uniek wachtwoord uit een wachtwoordmanager en zet tweestapsverificatie aan waar het kan. Hergebruikte wachtwoorden zijn een veelvoorkomende reden dat hacks gebeuren, dus verander ze ook op andere plekken waar je ze gebruikte.

Stap 6: meld, controleer en laat Google weten dat het weer goed is

Als er persoonsgegevens van klanten zijn ingezien of buitgemaakt, kan een meldplicht gelden bij de Autoriteit Persoonsgegevens, met een korte termijn. Zoek dit op of vraag er iemand naar. Dat is het moment om de datum van ontdekking bij de hand te hebben.

Controleer daarnaast:

• Google Search Console: staat er een melding over beveiligingsproblemen? Na het opschonen kun je daar een nieuwe beoordeling aanvragen.
• Staan er rare pagina’s in Google? Zoek op je eigen domein en kijk of er spampagina’s zijn geïndexeerd. Verwijder die en zorg dat ze een 404 of 410 geven.
• Gaat er vanaf jouw domein ongewenste e-mail weg? Dan kan je afzenderreputatie geraakt zijn. Goed ingestelde SPF, DKIM en DMARC helpen om misbruik van je domein tegen te gaan, zoals uitgelegd in DMARC instellen voor Microsoft 365 en Google.

Heb je een webshop of klanten die op je site inlogden? Informeer ze kort en feitelijk wat er is gebeurd en wat ze moeten doen. Meestal is dat een wachtwoord wijzigen.

Voorkomen dat het weer gebeurt

Bijna elke hack op een kleine site komt neer op een paar dingen. Dit werkt het best:

• Houd alles up-to-date. Verouderde plugins zijn de meest voorkomende ingang. Zet automatische updates aan waar het kan.
• Verwijder wat je niet gebruikt. Elke plugin en elk oud thema is een mogelijke zwakke plek.
• Sterke wachtwoorden en tweestapsverificatie voor alle beheerders.
• Dagelijkse back-ups, en test af en toe of je ze echt kunt terugzetten.
• Geef gebruikers niet meer rechten dan nodig. Niet iedereen hoeft beheerder te zijn.
• Monitoring. Hoe eerder je het merkt, hoe kleiner de schade.

Op onze WordPress-hosting zijn automatische updates, dagelijkse back-ups en DDoS-bescherming standaard ingeschakeld. Het neemt niet alle risico weg, want een zwak wachtwoord blijft een zwak wachtwoord. Maar het scheelt een hoop gedoe.

Wat je nu concreet doet

Staat je site op dit moment in brand? Loop dan deze lijst langs, in deze volgorde:

1. Zet de site offline en scan je eigen computer.
2. Wijzig je wachtwoorden bij hosting, FTP en SSH, en bel of mail je hostingpartij.
3. Maak een kopie van de gehackte site en bewaar die apart.
4. Zet een schone back-up terug of ruim handmatig op, en update direct alles.
5. Vernieuw alle wachtwoorden en sleutels opnieuw en controleer gebruikers.
6. Controleer Google Search Console, e-mail en eventuele meldplicht.

Wil je een tweede paar ogen of weet je niet of je site echt schoon is? Lees dan onze korte instructie mijn website is gehackt: dit doe je eerst, of vraag een specialist om mee te kijken. Dat kost minder dan een tweede hack.

Frequently asked questions

Hoe lang duurt het om een gehackte website te herstellen?

Met een schone back-up ben je vaak binnen een paar uur klaar. Handmatig opschonen kost al snel een dag of langer, vooral als je ook de oorzaak moet vinden. Het herstel in Google, zoals het laten verdwijnen van een waarschuwing, kan daarna nog enkele dagen duren.

Kan ik een gehackte website zelf opschonen?

Soms wel, als je een schone back-up hebt en weet hoe je bestanden en gebruikers controleert. Het risico zit in verstopte backdoors die je niet ziet. Is de site belangrijk voor je omzet, of staan er klantgegevens op, laat dan een specialist meekijken.

Verdwijnt mijn website uit Google na een hack?

Niet automatisch, maar Google kan een waarschuwing tonen of spampagina's van je site indexeren, waardoor je positie daalt. Na het opschonen vraag je in Search Console een nieuwe beoordeling aan. Hoe sneller je dat doet, hoe sneller het herstelt.

Moet ik mijn klanten waarschuwen als mijn site is gehackt?

Zijn er persoonsgegevens ingezien of gestolen, dan moet je mogelijk melden bij de Autoriteit Persoonsgegevens en is het verstandig om de getroffen klanten te informeren. Houd dat kort en feitelijk: wat er gebeurd is en wat ze zelf moeten doen. Bij twijfel vraag je juridisch of technisch advies.