Zo weet je of je WordPress-site is gehackt (zeven waarschuwingssignalen)

De meeste WordPress-hacks kondigen zich niet aan. Er is geen losgeldbrief, alleen stille veranderingen die je verkeer, je vertrouwen en soms je Google-ranking wegzuigen voordat je het doorhebt. Het goede nieuws: de signalen zijn te herkennen zodra je weet waar je op moet letten.

Dit zijn zeven van de meest voorkomende signalen, en hoe je bevestigt wat er echt aan de hand is.

1. Je site verwijst door naar iets wat je niet herkent

Jij (of je bezoekers) typt je adres in en komt op een andere site terecht, vaak vol spam of verdacht. Redirect-hacks richten zich vaak specifiek op bezoekers vanuit zoekmachines of mobiele apparaten, waardoor je het zelf niet ziet als je direct naar je site gaat. Als lezers melden dat ze "ergens raars terechtkwamen", neem dat serieus.

2. Er zijn adminaccounts die jij niet hebt aangemaakt

Ga naar Gebruikers → Alle gebruikers en kijk of er beheerders bij staan die je niet herkent. Aanvallers maken vaak een verborgen adminaccount aan om toegang te houden, ook nadat je het oorspronkelijke gat hebt gedicht. Een onbekende admin is een van de duidelijkste tekenen dat er iets mis is.

3. Browsers of Google tonen een waarschuwing

Een rood scherm met "Misleidende site" of het label "Deze site is mogelijk gehackt" onder je resultaat in Google betekent dat een beveiligingssysteem je al heeft gemarkeerd. Op dat moment loopt de schade aan vertrouwen, en verkeer, al op, dus behandel het als urgent.

4. Vreemde content of "pharma"-spam verschijnt

Nieuwe berichten of pagina's die je niet hebt geschreven, onzinnige tekst, of links naar medicijnen, nepproducten of gokken, vaak onzichtbaar op de pagina, maar wel zichtbaar voor Google. Deze "pharma hack" kaapt de reputatie van je site om iemand anders' spam te laten ranken.

5. Onbekende bestanden, plugins of geplande taken

Een plugin die je nooit hebt geïnstalleerd, vreemd genoemde bestanden in je mappen, of onverwachte geplande taken (cronjobs) zijn alarmsignalen. Aanvallers verstoppen backdoors op plekken die bijna legitiem lijken.

6. Je site is plotseling traag of gedraagt zich vreemd

Gehackte sites worden vaak stiekem ingezet om spam te versturen, te minen, of andere sites aan te vallen, wat middelen opslokt. Onverklaarbare vertragingen, pieken in serverbelasting, of een e-mail van je hostingprovider over "ongebruikelijke activiteit" zijn het onderzoeken waard.

7. Je verkeer daalt of je bent geblokkeerd

Een plotselinge, onverklaarbare daling in organisch verkeer kan betekenen dat Google je heeft gemarkeerd of uit de index heeft gehaald, of dat je domein op een blocklist is beland. Controleer Google Search Console op beveiligingsmeldingen.

Hoe je het bevestigt

Waarschuwingssignalen zijn geen bewijs, en paniek helpt niemand. De snelste manier om je blootstelling te begrijpen, is je site van buitenaf te scannen, zoals een aanvaller dat zou doen. Een scan laat zien welke bekende zwakke plekken aanwezig zijn en hoe iemand had kunnen binnenkomen.

Een eerlijke kanttekening: een kwetsbaarhedenscan laat zien hoe je gecompromitteerd zou kunnen zijn (of was). Vermoed je actieve malware, dan wil je ook een malware- of integriteitscontrole om code te vinden die al op de site staat.

Wat te doen als je gehackt bent?

Verwijder niet in paniek alles. Kort samengevat: maak een back-up van de huidige staat als bewijs, wijzig alle wachtwoorden (WordPress, hosting, database, FTP), update alles, verwijder onbekende gebruikers en bestanden, en herstel vanaf een bekende schone back-up als je die hebt.

Hoe je het in de toekomst voorkomt

Kijk terug naar bijna elke WordPress-hack en je vindt dezelfde oorzaak: een bekende kwetsbaarheid die niet werd verholpen. De oplossing is niet meer bezorgdheid, maar meer zichtbaarheid. Scan je site regelmatig, zodat een nieuwe blootstelling jou bereikt voordat die een aanvaller bereikt.