Kort gezegd: Bent u getroffen? Bel ons. Wij helpen. In het mkb ontbreekt vaak een eigen securityafdeling, en precies daarvoor zijn wij er: wij nemen vanaf het eerste bericht op afstand de eerste hulp voor uw webservers over, zetten sporen veilig, dichten het lek, ruimen op en documenteren, tot het incident is afgerond.
Verwijder nu niets en zet niets opnieuw op. Dat geldt ook als de bedrijfsvoering dringt en de website weer moet draaien. Eerst veiligstellen, dan repareren. Meld uw noodgeval, wij vertellen u wat u zonder risico zelf kunt doen.
Bent u getroffen? Typische situatie in het mkb
Wie een bedrijf met 20, 200 of 800 medewerkers leidt, heeft meestal een of twee mensen voor de IT, een bureau voor de website en een hoster voor de server. Dat is normaal, maar maakt in een noodgeval hiaten zichtbaar. Een acuut gevaar ligt voor de hand als:
- Uw website, klantenportaal of webshop op PHP draait en niemand zeker weet welke versie precies.
- Een hoster, een klant of een waarschuwing in de browser afwijkingen meldt.
- Uw beheerder meldt dat bestanden of accounts op de webserver niet te verklaren zijn.
- U niet weet welke systemen eigenlijk openbaar bereikbaar zijn.
- De webserver toegang heeft tot interne systemen, databases of bestandsopslag.
Dat bijna alle PHP-versies getroffen kunnen zijn, noemt de vakpers als achtergrond: volgens berichten zijn versies tot en met PHP 5.4 getroffen. Hoe de situatie in het mkb eruitziet, beschrijft de pagina IT-beveiliging voor mkb en industrie.
Wat u nu direct doet
- Vorm een crisisoverleg. Directie, IT, eventueel gegevensbescherming: weinig personen, één beslisser.
- Verzamel de systemen. Welke servers, websites en portalen zijn getroffen of kunnen het zijn? Een eenvoudige lijst volstaat.
- Verander niets. Geen opruimacties, geen nieuwe installatie, geen terugzetten van back-ups.
- Laat verbindingen controleren. Hangt de webserver aan het interne netwerk? Dan kan een aanval op de website meer treffen dan alleen de website.
- Spreek hoster en bureau aan. Vraag beiden logboeken te bewaren en de stand en verantwoordelijkheden te bevestigen. Hoe, staat onder Zo vraagt u uw hoster naar de patchstatus.
- Beveilig de toegangen. Wijzig wachtwoorden en sleutels alleen na overleg en vanaf schone apparaten.
- Neem nu contact op. Bel ons of stuur een bericht via WhatsApp.
Eerste hulp voor webservers: hoe wij te werk gaan in het mkb
Een mkb-bedrijf kan zich geen stilstand veroorloven, maar ook geen ongecontroleerd ingrijpen. Daarom werken wij in stappen die de lopende bedrijfsvoering zo weinig mogelijk verstoren:
- Stap 1, afschermen: Wij stellen vast of de getroffen servers tijdelijk moeten worden beperkt. Het BSI (de Duitse federale dienst voor informatiebeveiliging) adviseert bij PHP2Shell webservers van het netwerk te halen als een update niet direct mogelijk is.
- Stap 2, veiligstellen: Wij zetten logboeken, bestanden en databases veilig, zodat het incident aantoonbaar blijft.
- Stap 3, verhelpen: Patch of configuratie, herstart van alle PHP-processen, dichten van onbekende toegangen.
- Stap 4, controleren: Wij zoeken op het systeem en in de omgeving naar sporen en gevolgschade, ook op aangrenzende servers.
Een beslissend punt voor beslissers: een CMS-update, bijvoorbeeld van WordPress, dicht het PHP-lek niet, en een patch verwijdert geen reeds ingebrachte schadelijke code. Wie na de update „klaar” zegt, heeft de helft van het werk niet gedaan.
Typische fouten in het mkb in de eerste uren
Uit de praktijk kent men enkele patronen die de schade vergroten. Ten eerste wordt de verantwoordelijkheid heen en weer geschoven: de hoster verwijst naar de klant, het bureau naar de hoster, de beheerder naar de directie. Leg daarom vroeg vast wie beslist. Ten tweede wordt te snel hersteld. Een oude back-up terugzetten zonder de toegangsdeur te sluiten, brengt de aanvaller meteen weer mee terug. Ten derde blijft de communicatie liggen: medewerkers, klanten en zakelijke partners horen van het incident uit de tweede hand.
Bij Crisiscommunicatie na een aanval vindt u aanwijzingen hoe dat rustig op te lossen is. Als vuistregel geldt: liever weinig zeggen, maar dat wel onderbouwd.
Hoe helpt PHP SOS concreet?
- Situatie opnemen: Wij stellen samen met u systemen, uitvoeringsmodus (PHP-FPM, mod_php of LiteSpeed), gegevens en contactpersonen vast. Een eerste overzicht ontstaat snel, ook zonder detailkennis.
- Veiligstellen en dichten: Wij zetten sporen veilig en sluiten de toegangsdeur, zonder uw processen onnodig te verstoren.
- Controleren en opschonen: Webshells, achterdeuren, cronjobs en vreemde accounts worden gezocht en verwijderd. Details daarover bij Malware en webshells laten verwijderen.
- Beveiligen en rapporteren: U krijgt een rapport voor directie, gegevensbescherming en verzekeraar. Op verzoek bouwen we samen met u de preventie op, bijvoorbeeld via een beveiligingsonderhoudscontract.
Groeit het incident uit tot meer dan één webserver, dan gaan we over op gestructureerde Incident Response.
Daarna: preventie zonder eigen securityafdeling
Is het incident afgerond, dan blijft de vraag hoe u het volgende voorkomt of in elk geval eerder opmerkt. Voor bedrijven zonder eigen securityteam zijn vier dingen het belangrijkst: een actuele inventaris van alle websites en servers, een duidelijk aanspreekpunt voor updates, gecontroleerde back-ups en een kort IT-noodplan.
Of uw bedrijf onder de verplichtingen van NIS2 valt, is een juridische vraag die wij niet beantwoorden. Algemene informatie vindt u op onze pagina, de beoordeling is aan een advocaat of de functionaris voor gegevensbescherming.
Wat u ons het best kunt sturen
- een korte schets van het incident en het tijdstip
- een lijst van de websites, webshops en portalen met hoster en, voor zover bekend, PHP-versie
- namen van beheerder, bureau en hoster die het systeem kennen
- aanwijzingen of de webserver met interne systemen is verbonden
- gegevens over back-ups en over een bestaande cyberverzekering
Waarom PHP SOS
Wij werken Made in Germany en zijn met ons partnernetwerk van cyberprofessionals al meer dan 25 jaar gespecialiseerd in IT-beveiliging. Voor u betekent dat: één aanspreekpunt in plaats van veel, werk op afstand zonder reistijd in heel Duitsland en Europa, en een documentatie waarmee u standhoudt tegenover klanten, verzekeraar en autoriteiten. Wij maken openlijk onderscheid tussen aangetoond, waarschijnlijk en onbekend en beloven niets wat niemand kan waarmaken.
Bent u getroffen? Bel ons. Wij helpen.
U hebt voor de eerste hulp geen eigen securityafdeling nodig, maar een aanspreekpunt dat begint. Wij nemen het over vanaf het eerste bericht en blijven erbij tot het incident is afgerond en gedocumenteerd. Meld nu uw noodgeval.
Veelgestelde vragen
Wat te doen bij een cyberaanval zonder eigen afdeling voor IT-beveiliging?
Sporen bewaren, niets verwijderen, een beslisser aanwijzen en externe hulp inschakelen. Een mkb-bedrijf hoeft niet alles zelf te kunnen. Wij nemen de technische kant over en werken samen met uw beheerder, uw bureau of uw hoster.
Zijn kleine en middelgrote bedrijven eigenlijk wel doelwit van aanvallen?
Ja. Geautomatiseerde scans zoeken naar niet-gepatchte servers zonder op de bedrijfsgrootte te letten. Bij PHP2Shell telde Palo Alto Networks (Unit 42) meer dan 22,6 miljoen blootgestelde, mogelijk kwetsbare instanties.
Moet onze bedrijfsvoering stilliggen als de webserver is aangevallen?
Niet per se. Vaak kunnen website en webshop worden afgeschermd terwijl interne systemen blijven draaien. Wij stellen eerst vast of er verbindingen bestaan tussen de webserver en uw interne netwerk.
Geldt NIS2 voor ons en wat betekent dat bij een incident?
Of uw bedrijf onder NIS2 valt, hangt af van sector en omvang en is een juridische vraag. Een overzicht geeft onze pagina over NIS2; de beoordeling voor uw geval hoort bij een advocaat of de functionaris voor gegevensbescherming.
Hoe bereiden wij ons voor op het volgende incident?
Met een inventaris van de systemen, een benoemd aanspreekpunt, gecontroleerde back-ups en een kort noodplan. Wij helpen bij de opzet nadat het acute incident is afgerond.