Kort gezegd: Is uw website gehackt, dan is de belangrijkste vraag: wat te doen zonder sporen te vernietigen? Wij nemen op afstand de beperking van de aanval over, veiligstellen logs en bestanden, verwijderen schadelijke code, sluiten de toegangsdeur en documenteren alles. U behoudt de beslissingen, wij leveren de technische feiten.
Website gehackt: wat te doen in het eerste uur?
De eerste stappen bepalen of het incident later netjes kan worden opgehelderd. Rust is belangrijker dan tempo tegen elke prijs. Deze punten kunt u zelf direct afhandelen:
- Niets verwijderen: geen bestanden wissen, geen herinstallatie over de oude stand heen, geen back-up terugzetten voordat een kopie is veiliggesteld.
- Afschermen: zet de website in onderhoudsmodus of haal hem tijdelijk van het netwerk als bezoekers gevaar lopen of er gegevens kunnen weglekken.
- Logs bewaren: vraag uw hoster de toegangs- en foutlogs niet te overschrijven. Bij PHP2Shell adviseert de vakpers serverlogs vanaf 20 oktober 2026 te bewaren.
- Toegangen noteren: wie heeft beheerders-, FTP-, SSH- en paneeltoegang? Wijzig wachtwoorden pas na overleg, en dan vanaf een schoon apparaat.
- Betrokkenen informeren: directie, functionaris voor gegevensbescherming en, bij een bestaande polis, de verzekeraar.
Ga ervan uit dat een aanvaller met toegang tot de webserver ook toegangsgegevens uit configuratiebestanden heeft kunnen lezen. Database-, e-mail- en API-toegangen horen daarom op de lijst van te wijzigen geheimen.
Welke tekenen op een compromittering wijzen, beschrijft de pagina Ben ik al gecompromitteerd?.
Hoe helpt PHP SOS concreet?
- Situatiebeeld: wij bespreken met u wat is waargenomen, welke systemen getroffen kunnen zijn en welke gegevens daar staan. Daaruit volgt een korte inschatting met de volgende stappen.
- Veiligstellen en beperken: wij veiligstellen bestanden, database en logs voordat er iets wordt veranderd. Daarna beperken we de aanval, bijvoorbeeld door verdachte toegangen te blokkeren, aangetaste functies uit te schakelen of tijdelijk af te schermen.
- Toegangspoort vinden en sluiten: wij controleren PHP-versie en patchstand, CMS, extensies en toegangen. Ligt een binnenkomst via PHP2Shell voor de hand, dan patchen we en herstarten we alle PHP-processen.
- Reinigen en herstellen: webshells, achterdeuren en gemanipuleerde bestanden worden verwijderd, of de stand wordt opnieuw opgebouwd uit betrouwbare bronnen. Details staan onder Malware en webshells laten verwijderen.
- Afronding en rapport: u ontvangt een documentatie van het incident en aanbevelingen voor hardening. Is een bewijskrachtig onderzoek nodig, dan schakelen we gespecialiseerde partners voor forensisch onderzoek in.
Wat u van ons krijgt
- een tijdlijn van het incident, voor zover die uit de sporen aantoonbaar is
- een lijst van de gevonden en verwijderde schadelijke onderdelen
- de beschrijving van de waarschijnlijke toegangspoort, duidelijk gescheiden in aangetoond, waarschijnlijk en onbekend
- een lijst van alle gewijzigde toegangen en geheimen
- aanbevelingen over wat blijvend moet worden beveiligd
Het rapport helpt bij gesprekken met de functionaris voor gegevensbescherming, de verzekeraar en eventueel de politie. Voor de juridische beoordeling, bijvoorbeeld de AVG-meldplicht binnen 72 uur, vervangt het geen advies van deskundigen.
Wat wij van u nodig hebben
- Toegangen: tot de server (SSH of paneel), tot de CMS-backend en tot de database, of anders toestemming om direct met uw hoster te praten
- Aanspreekpunt: een bereikbaar persoon met beslissingsbevoegdheid over uitschakelen, herstarts en wachtwoordwijzigingen
- Informatie: sinds wanneer het probleem opvalt, welke wijzigingen er onlangs waren, wie toegang had
- Back-ups: waar back-ups staan en hoe oud ze zijn
- Contact met dienstverleners: bureau, ontwikkelaar of hoster die het systeem kennen
Wat we niet beloven
Wij kunnen niet beloven dat elke aanval volledig valt te reconstrueren. Ontbreken logs of zijn ze al overschreven, dan blijven er hiaten, en die benoemen we openlijk. We beloven ook niet dat een gereinigde site voor altijd veilig blijft. We werken aan het incident tot het is afgesloten en gedocumenteerd, en vertellen u wat daarna nog te doen staat.
Juridisch advies geven wij niet. Vragen over meldplichten, aansprakelijkheid of verzekeringsdekking horen bij de functionaris voor gegevensbescherming, de advocaat en de verzekeraar. Voor een gestructureerde afhandeling na het incident helpt onze checklist na een hack.
Wanneer een grotere incidentafhandeling nodig is
Sommige incidenten reiken verder dan één website: meerdere servers, weggelekte klantgegevens, afpersing of een aanvaller die zich door het netwerk beweegt. Dan schakelen we over op een gestructureerde incident response met vaste rollen, situatiebesprekingen en afgestemde communicatie. De overgang bespreken we met u zodra die zich aftekent.
Ook na een kleiner incident loont een blik vooruit. Een gereinigde website zonder hardening, updates en bewaking blijft een voor de hand liggend doelwit, want aanvallers controleren bekende slachtoffers vaak opnieuw. Zinvol is daarom na afronding vast te leggen wie voortaan verantwoordelijk is voor updates, back-ups en controle. Vaak toont het incident precies daar een gat: niemand voelde zich verantwoordelijk, of de toegangen lagen bij een dienstverlener die niet meer bereikbaar was. Die vragen bespreken we met u in het afsluitende gesprek, zodat het incident leidt tot een betere bedrijfsvoering.
Veelgestelde vragen
Moet ik de gehackte website meteen verwijderen en opnieuw opzetten?
Liever niet overhaast. Wie alles verwijdert, vernietigt de sporen die laten zien hoe de aanvaller binnenkwam en of er gegevens zijn weggelekt. Beter is het de site van het netwerk te halen of af te schermen en eerst een kopie te veiligstellen.
Waaraan herken ik dat mijn website is gehackt?
Typische tekenen zijn vreemde doorverwijzingen, spampagina's in de Google-index, onbekende beheerdersaccounts, nieuwe PHP-bestanden of waarschuwingen van browser, hoster of Google. Ook een sterk gestegen serverbelasting of opvallend uitgaand dataverkeer kan een aanwijzing zijn.
Moet ik een hackeraanval melden?
Als persoonsgegevens getroffen kunnen zijn, kan er een meldplicht gelden bij de toezichthouder binnen 72 uur. Of dat voor u geldt, bespreekt u met uw functionaris voor gegevensbescherming of een advocaat.
Helpt de noodhulp ook als de server bij de hoster staat?
Ja. Wij werken met de toegang die u hebt en stemmen zo nodig af met uw hoster. Wat we kunnen controleren, hangt af van de rechten die u ons kunt geven.