Dinsdagochtend, tien over negen. Een klant stuurt je een schermafbeelding: wie op jouw website klikt, krijgt van Google een knalrood scherm met de waarschuwing dat de site misleidend kan zijn. Even later ontdek je in je dashboard een beheerdersaccount dat je niet kent. Je website is gehackt.
Het goede nieuws: je kunt je site redden. WordPress malware verwijderen is een precies werkje, maar met de juiste volgorde voorkom je dat de hacker morgen gewoon weer binnenstapt. In dit artikel lees je hoe je een besmetting herkent, welke stappen je zet en hoe je een volgende inbraak voorkomt.
Malware is als een inbreker met een kopie van je sleutel
Malware is schadelijke code die iemand ongemerkt op je website zet. Soms zie je het meteen, zoals spam voor dubieuze producten of een doorverwijzing naar een vreemde webshop. Maar vaak is het slim verstopt. Je merkt het pas als klanten klagen dat hun virusscanner alarm slaat, of als je eigen e-mail ineens in de spambox van klanten belandt.
Zie het als een inbraak. Het zichtbare deel, de ingeslagen ruit, is snel opgeruimd. Maar een slimme inbreker laat ook een kopie van je sleutel achter: een zogeheten backdoor of achterdeur in je bestanden. Zolang die er zit, komt hij gewoon terug. Twijfel je of er echt iets mis is? Lees dan eerst de vijf signalen dat je website gehackt is.
Waarom snel handelen zo belangrijk is
Elke dag dat de malware blijft staan, loopt de schade op. Google kan je site markeren als onveilig, waardoor bezoekers een waarschuwing zien voordat ze je website bereiken. Ook als alles weer schoon is, kan het weken duren voordat je posities in de zoekresultaten zijn hersteld. Daarnaast kan je server misbruikt worden om spam te versturen, waardoor je domein op zwarte lijsten belandt.
En dan is er de juridische kant. Verwerkt je website persoonsgegevens, bijvoorbeeld via een contactformulier of webshop, dan kan een hack een datalek betekenen. Vormt dat een risico voor de betrokkenen, dan moet je het volgens de AVG binnen 72 uur melden bij de Autoriteit Persoonsgegevens.
Stappenplan: zo verwijder je malware uit WordPress
Houd deze volgorde aan. Het is verleidelijk om meteen te gaan wissen, maar juist de eerste stappen bepalen of je het probleem echt oplost.
1. Leg vast wat je ziet en maak een back-up van de huidige situatie
Maak schermafbeeldingen van wat er mis is en noteer wanneer je het ontdekte. Maak daarna een back-up van de besmette website en zet die apart. Dat klinkt gek, maar als je tijdens het opschonen per ongeluk een belangrijk bestand wist, heb je anders niets meer. Een specialist kan bovendien aan die bestanden zien hoe de aanvaller binnenkwam.
2. Schakel je hostingpartij in
Veel hostingpartijen hebben eigen scanners en kunnen zien of er vanaf je account spam wordt verstuurd. Soms zetten ze je site tijdelijk op slot om andere klanten te beschermen. Neem dus contact op, dan weet je waar je staat en voorkom je verrassingen.
3. Scan je website met een beveiligingsplugin
Plugins als Wordfence of Sucuri vergelijken je bestanden met de originele WordPress-code en wijzen aan welke bestanden zijn aangepast of verdacht zijn. Meer over deze en andere opties lees je in de 7 beste beveiligingsplugins voor WordPress.
4. Vervang de kernbestanden van WordPress
De kernbestanden, ook wel de core genoemd, zijn de bestanden van WordPress zelf. Download een schone versie van WordPress en vervang de mappen wp-admin en wp-includes volledig. Laat de map wp-content en het bestand wp-config.php staan: daar zitten je eigen thema, plugins, afbeeldingen en instellingen.
5. Controleer plugins, thema’s, uploads en gebruikers
Verwijder plugins en thema’s die je niet gebruikt, en installeer de rest opnieuw vanaf de officiële bron. Kijk in je uploadsmap: daar horen afbeeldingen en documenten te staan, geen PHP-bestanden. En loop je gebruikerslijst na. Een onbekend beheerdersaccount verwijder je direct.
6. Vervang alle sloten: wachtwoorden en sleutels
Wijzig de wachtwoorden van alle beheerders, de database, je FTP-toegang (waarmee bestanden op je server worden beheerd) en je hostingaccount. Vernieuw ook de zogeheten salts in wp-config.php: geheime sleutels waarmee WordPress inlogsessies beveiligt. Daarmee wordt iedereen die nog ingelogd is, ook de aanvaller, automatisch uitgelogd.
7. Vraag Google om een nieuwe beoordeling
Heeft Google je site als onveilig gemarkeerd, controleer dan in Google Search Console het rapport over beveiligingsproblemen. Search Console is een gratis dienst van Google waarmee je ziet hoe je site in de zoekresultaten staat. Is alles schoon, dan vraag je daar een nieuwe beoordeling aan. Daarna verdwijnt de waarschuwing meestal binnen enkele dagen.
Wat je beter niet kunt doen
- Alleen de zichtbare hack verwijderen. Je ziet een vreemd bestand en gooit het weg. Probleem opgelost? Meestal niet. De achterdeur zit vaak op een onschuldige plek, zoals in je uploadsmap.
- Meteen alles wissen. Je teksten en instellingen staan in de database en zijn vaak gewoon te redden. Een volledige herinstallatie zonder plan kost veel werk en lost de oorzaak niet op.
- Een plugin installeren en denken dat je klaar bent. Een scanner wijst problemen aan, maar sluit niet vanzelf het lek waardoor de aanvaller binnenkwam.
Waar je op moet letten
Heb je een schone back-up van vóór de besmetting, dan is terugzetten soms de snelste weg. Maar let op: alles wat je sinds die back-up hebt gewijzigd ben je kwijt, en als het lek zelf niet gedicht is, ben je zo weer besmet. Een terugzetactie is dus nooit het hele verhaal. Hoe je zorgt dat je altijd een bruikbare back-up hebt, lees je in hoe vaak moet je een WordPress back-up maken.
Schakel daarnaast een specialist in als de malware na het opschonen terugkomt, als er mogelijk klantgegevens zijn gelekt of als je geen bruikbare back-up hebt. In die gevallen loont het om het in één keer goed te laten doen.
Zo voorkom je een volgende inbraak
- Houd alles up-to-date. Verouderde plugins en thema’s zijn de meest gebruikte toegangsweg voor aanvallers.
- Maak automatische back-ups buiten je eigen server, en test af en toe of je ze kunt terugzetten.
- Gebruik tweestapsverificatie voor iedereen die kan inloggen.
- Geef niet iedereen beheerdersrechten. Lees hoe je dat aanpakt in het beheer van gebruikersrollen.
- Laat je website monitoren, zodat je een probleem ontdekt voordat je klanten het doen.
Tot slot
Een gehackte website voelt als een inbraak, en zo moet je hem ook aanpakken: eerst vastleggen, dan opruimen en vooral alle sloten vervangen. Wie alleen de ingeslagen ruit repareert, laat de inbreker met zijn sleutel gewoon rondlopen. Met de stappen uit dit artikel maak je je site niet alleen schoon, maar ook weer veilig.
Geen risico nemen met je bedrijfsdata? Bij Webconneqt maken we je site binnen 24 uur gegarandeerd malware-vrij, en met doordachte website beveiliging helpen we je herhaling te voorkomen. Neem gerust contact op, dan kijken we direct naar jouw situatie.