Website beveiligen: is je bedrijfswebsite een beveiligingsrisico?

Je website is typisch iets wat je één keer laat bouwen en daarna vergeet. Hij staat er, hij doet zijn werk, er is geen aanleiding om eraan te zitten. Precies daarom is een vergeten website een van de manieren waarop een MKB-bedrijf wordt gehackt. Je website beveiligen is daardoor iets wat vrijwel niemand op de agenda heeft staan.

De meeste bedrijfssites draaien op WordPress; ruim veertig procent van alle websites wereldwijd gebruikt het. WordPress zelf is degelijk. Het risico zit bijna altijd in de plug-ins en het thema die eraan zijn toegevoegd, en die soms jaren geen update hebben gehad.

In wat websites met je gegevens doen keken we naar de privacykant van je site. Dit artikel gaat over de beveiligingskant: hoe een verwaarloosde site wordt overgenomen, waar hij dan voor wordt gebruikt, en wie het onderhoud eigenlijk zou moeten doen.

Hoe een vergeten website wordt gehackt

Aanvallers kiezen je bedrijf zelden met naam en toenaam uit. Ze draaien geautomatiseerde tools die enorme aantallen websites afzoeken op bekende zwakke plekken: een plug-in met een lek dat nooit is gedicht. Vindt de tool er een, dan gaat hij naar binnen. Het is machinewerk, en het is niet persoonlijk bedoeld.

Daarom zijn verouderde plug-ins hét probleem. Zodra een maker een beveiligingslek ontdekt, brengt hij een update uit. Tot jij die installeert staat het gat open — en de scanners weten precies waar ze moeten kijken, want lekken worden openbaar gepubliceerd. Onderzoekers die WordPress-kwetsbaarheden bijhouden zien dat het overgrote deel niet in WordPress zelf zit, maar in plug-ins en thema’s. Hetzelfde principe als bij patchmanagement op je werkplekken: de meeste aanvallen gebruiken een lek waarvoor de oplossing al bestond.

Waar een gehackte site voor wordt gebruikt

Een gehackte website meldt zichzelf niet. Aanvallers halen je site meestal niet offline; ze laten hem gewoon draaien en gebruiken hem voor hun eigen doelen:

• Malware verspreiden. Bezoekers worden doorgestuurd naar een pagina die iets probeert te installeren.
• Spam- en scampagina’s. Er worden verborgen pagina’s toegevoegd die namaakartikelen of oplichting aanprijzen, meeliftend op de goede naam die jouw domein bij Google heeft.
• Formuliergegevens aftappen. Heeft je site een contact- of bestelformulier, dan kan een aanvaller meelezen met wat mensen invullen — inclusief persoonsgegevens.
• Doorsturen. Wie op je link klikt, belandt ergens anders.

De schade komt bij jou terecht, ook al was het de aanvaller om je bezoekers te doen. Zoekmachines markeren gehackte sites en laten ze zakken in de resultaten; browsers blokkeren ze soms helemaal, zodat een klant een rood waarschuwingsscherm ziet in plaats van je homepage. Dat kost vindbaarheid en vertrouwen, en dat komt niet vanzelf terug.

Zijn er persoonsgegevens uit formulieren weggelekt, dan is het bovendien een datalek. Dan geldt de AVG-route: beoordelen, vastleggen en zo nodig binnen 72 uur melden bij de Autoriteit Persoonsgegevens. Hoe dat gaat, staat in datalek afhandelen: 5 valkuilen.

Loopt jouw site risico?

Dat hangt af van hoe hij gebouwd is.

Gebruik je een kant-en-klaar platform zoals Wix, Squarespace of Shopify, dan doet de aanbieder het meeste onderhoud en de beveiliging achter de schermen. Je risico is een stuk kleiner. Een sterk wachtwoord en tweestapsverificatie op je beheerdersaccount blijven wel jouw verantwoordelijkheid.

Heb je een eigen WordPress-site, meestal gebouwd door een webbureau op je eigen hosting, dan moet iemand WordPress, de plug-ins en het thema bijhouden. De vraag is wie. Bij veel MKB-sites is het eerlijke antwoord: niemand, sinds de oplevering.

Je kunt er meestal van uitgaan dat je site risico loopt als je niet weet wie hem onderhoudt, als er al een jaar of langer niets is bijgewerkt, of als er plug-ins op draaien van een maker die inmiddels van de aardbodem verdwenen is.

Zo houd je je website veilig

1. Werk alles bij. WordPress, plug-ins en thema’s. Veel installaties kun je automatisch laten updaten; laat je webbouwer instellen wat veilig automatisch kan en wat handmatig moet.
2. Gooi weg wat je niet gebruikt. Elke extra plug-in is een extra risico. Niet in gebruik? Verwijderen, niet alleen deactiveren.
3. Kies bekende plug-ins. Veel gebruikt, goed beoordeeld en recent bijgewerkt. Blijf weg bij iets waar al jaren niets aan gebeurd is.
4. Let op verlaten plug-ins. Soms stopt een maker ermee of wordt een plug-in uit de bibliotheek gehaald na een beveiligingsprobleem. Vanaf dat moment komen er geen fixes meer. Controleer periodiek of alles nog ondersteund wordt en vervang wat niet meer wordt onderhouden.
5. Zet de beheerderslogin op slot. Een uniek, sterk wachtwoord uit een wachtwoordmanager, en tweestapsverificatie als je installatie dat ondersteunt. Verwijder oude beheerdersaccounts van bureaus of stagiairs die er niet meer zijn.
6. Zet er een beveiligingsplug-in of firewall voor. Een gerenommeerde oplossing blokkeert veelvoorkomende aanvallen en waarschuwt bij wijzigingen. Je hoster of IT-partner kan er een aanraden.
7. Zorg voor back-ups. Een recente back-up van site én database betekent terugzetten in plaats van opnieuw bouwen. Dezelfde regels als bij je andere back-ups: automatisch, buiten de server zelf, en een keer getest.
8. Leg vast wie verantwoordelijk is. Je webbouwer, je IT-partner of je hoster — als het maar aantoonbaar iemands taak is. Dit hoort thuis in je leveranciersafspraken en op de lijst van je jaarlijkse IT-review.

Een praktijkscenario

Een adviesbureau met 16 medewerkers laat in 2021 een nette WordPress-site bouwen. Het bureau dat hem maakte is inmiddels gestopt. Vier jaar later belt een klant: “Krijg ik bij jullie een waarschuwing van Google?”

Wat bleek: een formulier-plug-in die al twee jaar niet meer werd onderhouden had een bekend lek. Via dat lek stonden er zo’n tweehonderd verborgen pagina’s op de site die namaakschoenen verkochten. Niemand had het gezien, want die pagina’s stonden nergens in het menu — alleen Google zag ze.

Opruimen kostte twee dagen, plus enkele maanden voordat de site weer normaal in de zoekresultaten stond. Het onderhoudsabonnement dat dit had voorkomen kostte minder dan die twee dagen.

Wat je doet als je site gehackt is

• Schakel meteen hulp in. Een gehackte site echt schoonmaken is werk voor je hoster, IT-partner of een gespecialiseerde partij. De meeste hosters hebben dit vaker gedaan.
• Haal de site tijdelijk offline. Een simpele onderhoudspagina voorkomt dat bezoekers schade oplopen terwijl er wordt opgeruimd.
• Wijzig de wachtwoorden. Vanaf een apparaat waarvan je zeker weet dat het schoon is: hosting, FTP/SFTP, database en de beheerdersaccounts. Zet tweestapsverificatie aan.
• Zet een schone back-up terug. Heb je een kopie van vóór de hack, dan is dat vaak de snelste route. Zo niet, dan moet de site met de hand worden opgeschoond.
• Werk alles bij vóór hij terugkomt. Anders wordt hetzelfde gat binnen een week opnieuw gebruikt.
• Informeer wie het raakt. Zijn er klantgegevens of betaalgegevens langsgekomen, beoordeel dan of het een datalek is en handel daarnaar.

Veelgestelde vragen

Hoe weet ik of mijn website gehackt is?

Veelvoorkomende signalen: een waarschuwing van Google of je browser, een plotselinge terugval in zoekverkeer, pagina’s of pop-ups die je niet hebt gemaakt, of een bericht van je hoster. Twijfel je, dan kan je IT-partner of hoster het controleren.

Moet ik updaten als de site gewoon werkt?

Ja. Een site kan er voor jou volstrekt normaal uitzien terwijl een verouderde plug-in een deur open laat staan. Updates dichten precies die gaten; daarom zijn ze juist nodig als er niets aan de hand lijkt.

Ik gebruik Wix of Squarespace. Loop ik dan risico?

Veel minder. Dat soort platformen doet de updates en het grootste deel van de beveiliging voor je. Je blijft wel zelf verantwoordelijk voor een sterk beheerderswachtwoord en tweestapsverificatie.

Wie zou mijn website moeten onderhouden?

Iemand met wie je dat expliciet hebt afgesproken: je webbouwer, je IT-partner of je hostingpartij. Zet het op papier, inclusief wat er precies onder valt (WordPress, plug-ins, thema, back-ups, monitoring). Zonder afspraak doet meestal niemand het.

Wat is een beveiligingsplug-in of webfirewall?

Een hulpmiddel dat vóór of op je website meekijkt, veelvoorkomende aanvallen blokkeert, wijzigingen in bestanden signaleert en je waarschuwt. Voor WordPress is een gerenommeerde beveiligingsplug-in een goedkope manier om die laag toe te voegen.

Is een SSL-certificaat genoeg om je website te beveiligen?

Nee. Een ssl-certificaat zorgt ervoor dat het verkeer tussen je bezoeker en je website versleuteld is, zichtbaar als het slotje en https in de adresbalk. Dat is nodig, maar het zegt niets over de veiligheid van het systeem eronder. Een site met een geldig ssl-certificaat kan prima een verouderde plug-in draaien. Ssl beschermt dus het transport, niet de website zelf. Zie het als een gesloten voordeur op een gebouw waarvan de ramen openstaan: nuttig, maar niet genoeg om je website goed te beveiligen tegen hackers.

Hoe vaak moet je plug-ins en updates nakijken?

Maandelijks is voor de meeste bedrijven een werkbaar ritme, en bij een melding over een ernstig lek meteen. Nieuwe kwetsbaarheden worden vaak binnen een paar dagen na het uitkomen van een update actief misbruikt, dus snel bijwerken scheelt meer dan je zou denken. Loop regelmatig ook langs wat je eigenlijk niet meer gebruikt: wat eruit is, kan ook niet meer lek zijn.

Regelt mijn hostingpartij de veiligheid niet gewoon?

Gedeeltelijk. Hosting dekt meestal de server, het netwerk en soms een back-up van de bestanden. Het onderhoud van de website zelf, de updates, de login en wie je toegang wilt geven tot het beheer valt daar bijna nooit onder. Vraag na waar de grens ligt, want in de praktijk gaan bedrijven er nogal eens van uit dat de ander de beveiliging regelt en de website online veilig zal houden.

Weet je niet zeker wie jouw website bijhoudt? Wij kijken graag mee: wat draait er, wat is achterstallig en wat is een reëel risico. OkayICT werkt voor MKB-bedrijven in Utrecht en omgeving — bel 030-7115791 of mail info@okayict.nl.