Je WordPress-site als springplank voor hackers — en wat jij er nú aan kunt doen

Stel je voor: iemand bezoekt jouw website. Netjes, via de gewone browser. Ze zien een melding: “Uw browser heeft een update nodig.” Ze klikken op de knop. En daarmee installeren ze zonder het te weten malware op hun computer — malware die wachtwoorden, bankgegevens en andere persoonlijke informatie buitenmaakt. Jij, als websiteeigenaar, wist van niets. Jouw site deed gewoon zijn werk. Of toch niet?

Dit is precies wat er op grote schaal is gebeurd dankzij het zogeheten SocGholish-botnet — en het raakt rechtstreeks WordPress-eigenaren, WooCommerce-webwinkeleigenaren, zzp’ers en mkb’ers in Nederland. De afgelopen dagen sloeg het Nationaal Cyber Security Centrum (NCSC) alarm, en kwamen er twee nieuwsberichten voorbij die bij ons, na meer dan twintig jaar in de cybersecurity voor ondernemers, meteen alle alarmbellen lieten rinkelen.

Wat is er precies gebeurd?

Bij een grote internationale politieoperatie werd het SocGholish-botnet offline gehaald. Meer dan honderd servers en domeinnamen die het botnet gebruikte zijn uit de lucht gehaald. Bij deze operatie kwamen autoriteiten in het bezit van gestolen wachtwoorden en e-mailadressen van gecompromitteerde accounts, die vervolgens zijn gedeeld met de bekende datalekzoekmachine Have I Been Pwned (HIBP).

Het gaat om meer dan een half miljoen niet eerder geziene wachtwoorden én 154.000 e-mailadressen van slachtoffers. Van die e-mailadressen was al 86 procent via een eerder datalek bij HIBP bekend. Niet bepaald een geruststellend gegeven.

Maar hoe werkte dit botnet dan? Het SocGholish-botnet infecteerde WordPress-sites en voorzag die van malafide code. Die code liet bezoekers van de gehackte sites een melding zien dat ze hun browser moesten updaten — terwijl die ‘update’ in werkelijkheid infostealer-malware was die allerlei inloggegevens van de bezoeker buitmaakte.

Met andere woorden: jouw WordPress-site kon, zonder dat je er erg in had, een val zijn voor jouw eigen bezoekers. Dat is niet alleen technisch vervelend. Het kan ook juridische en reputatieschade opleveren die veel verder gaat dan een hack.

Het NCSC trekt aan de bel

Het Nationaal Cyber Security Centrum roept beheerders en eigenaren van WordPress-sites op om hun website te beveiligen tegen malware, en waarschuwt bezoekers om alert te zijn op verdachte update-meldingen in de browser.

De politie heeft in Nederland zelfs de hackbevoegdheid ingezet om besmette WordPress-sites op te schonen. Dat is opmerkelijk — want normaal gesproken is het de overheid niet toegestaan om zonder toestemming in systemen in te grijpen. Dat ze dat hier wél deden, geeft aan hoe ernstig de situatie werd ingeschat.

Het NCSC informeert eigenaren van gehackte WordPress-sites actief, maar geeft ook aan: ben je beheerder van een WordPress-website en heb je geen notificatiemail ontvangen, ga dan alsnog aan de slag met de adviezen. Geen mail ontvangen betekent dus zeker niet dat je veilig bent.

Wat moet je nú doen? De NCSC-checklist (met wat extra’s van ons)

Het NCSC geeft een concrete reeks adviezen voor het beveiligen van WordPress-sites: controleer of er admin-accounts zijn die beginnen met “wp-maintenance-” of “wp-backup”, schakel MFA in, beperk toegang tot /wp-admin via IP-whitelisting, beperk het aantal admins, gebruik sterke wachtwoorden, schakel logging in, zet meldingen aan voor ongewone acties, blokkeer de uitvoering van PHP-bestanden in de uploads-map, houd WordPress, plugins en themes up-to-date, en zorg voor goede back-ups en monitoring.

Dat is een stevige lijst — en eerlijk gezegd zien we bij Inventix, na twintig jaar in dit vak, dat juist deze basismaatregelen bij veel mkb’ers en zzp’ers niet op orde zijn. Niet omdat ze het niet willen, maar omdat ze het druk hebben met hun échte werk. Logisch. Maar de cybercriminelen weten dat ook.

Een paar extra tips die wij altijd meegeven:

Controleer Have I Been Pwned. Ga naar haveibeenpwned.com en voer je e-mailadres in. Staat jouw adres erbij? Dan is het hoog tijd om alle wachtwoorden die je hergebruikt te wijzigen. En ja, ook dat ene wachtwoord dat je al tien jaar gebruikt en dat “echt heel sterk” is. Echt.

Gebruik een wachtwoordmanager. Unieke, lange wachtwoorden per site — dat is de standaard. Een wachtwoordmanager (zoals Bitwarden, 1Password of KeePass) helpt je daarbij zonder dat je je geheugen overbelast.

Back-ups buiten de server. Maak dagelijkse back-ups en sla ze op een externe locatie op — niet alleen op de server zelf. Als die server geïnfecteerd is zijn je back-ups dat namelijk ook.

Kijk kritisch naar je plugins. Elke plugin die je installeert is een potentiële ingang voor kwaadwillenden. Gebruik alleen wat je echt nodig hebt en houd alles consequent bij.

Herken jij deze situatie? Inventix helpt.

Bij Inventix werken we al meer dan twintig jaar aan de digitale veiligheid van mkb-bedrijven, zzp’ers, particulieren en — u raadt het al — WordPress- en WooCommerce-eigenaren. We hebben in die jaren werkelijk van alles voorbij zien komen: van simpele hack-pogingen tot complete ransomware-aanvallen die een bedrijf dagenlang platlegden.

WordPress-beveiliging is een van onze specialiteiten. We kennen het platform van binnen en van buiten, weten precies waar de zwakke plekken zitten en weten hoe kwaadwillenden tewerk gaan. En ja — als het al mis is gegaan, helpen wij ook met het herstel van een gehackte WordPress-website. Of het nu gaat om een zakelijke site, een informatieve website of een WooCommerce-webwinkel (want ook die draait op WordPress): we helpen je om snel en grondig te herstellen, de infectie volledig te verwijderen, én ervoor te zorgen dat het de volgende keer niet opnieuw gebeurt.

Want dat is iets wat we al twintig jaar proberen duidelijk te maken: cybersecurity is geen eenmalige actie. Het is een proces. Hackers slapen niet, botnets worden vervangen door nieuwe varianten, en gisteren veilig betekent niet automatisch vandaag veilig.

Vermoed je dat jouw site besmet is?

Het NCSC adviseert: vermoed je misbruik? Zet de site tijdelijk in onderhoud, herstel bij voorkeur vanaf een schone back-up, breng het systeem up-to-date en verander alle wachtwoorden.

Klinkt simpel, maar in de praktijk is “herstellen vanaf een schone back-up” vaak makkelijker gezegd dan gedaan — zeker als je niet zeker weet wanneer de infectie is begonnen, of als de back-ups zelf al gecompromitteerd zijn. In dat soort situaties is professionele hulp geen luxe maar gewoon slim.

Neem gerust contact op met Inventix. We kijken graag mee, geven je een eerlijk beeld van de situatie en helpen je snel weer op weg.