Uw webshop is gehackt: de eerste stappen

Hoe merkt u dat uw webshop gehackt is?

Veelvoorkomende signalen: een beheeraccount dat u niet kent. Klanten melden dat de betaalpagina er anders uitziet of dat ze naar een andere site gaan. Er staan pagina’s met spam die u niet heeft gemaakt. Het rekeningnummer in uw instellingen is gewijzigd. U ziet een waarschuwing in de zoekresultaten of de browser. Of uw hostingpartij meldt verdachte bestanden.

Twijfelt u? Behandel het dan als een inbraak tot het tegendeel bewezen is. Te vroeg alarm kost weinig; te laat ingrijpen kan veel kosten.

Webshop gehackt: de eerste 30 minuten

Kort gezegd: beperk de schade en wis geen bewijs. Vervang wachtwoorden en sleutels en schakel hulp in. Meld een datalek binnen 72 uur als dat nodig is. Begin met de schade. Zet de shop in onderhoudsmodus of schakel de checkout tijdelijk uit. Of vraag uw hostingpartij de toegang te beperken. Zo kan er geen nieuwe klant meer slachtoffer worden.

Wis niets. Verwijder geen verdachte bestanden en installeer de shop niet meteen opnieuw. Maak schermafbeeldingen en schrijf op wat u zag en wanneer. Vraag uw hostingpartij om een kopie (snapshot) van de server en de logbestanden. Dat bewijs heeft u nodig om te begrijpen wat er gebeurde, voor een melding of aangifte, en voor uw verzekeraar.

Deze acht stappen staan ook op onze gratis noodkaart “De eerste 30 minuten”. Dat is één A4 om uit te printen en op te hangen. Onderaan schrijft u de nummers van uw hostingpartij, webbouwer, verzekeraar en bank. Op het moment zelf zoekt niemand een bestand op.

Wachtwoorden en sleutels vervangen

Wijzig alle wachtwoorden vanaf een apparaat waarvan u zeker weet dat het schoon is. Dat geldt voor webshopbeheer, hosting, (S)FTP en database. En voor e-mail en de registratie van uw domeinnaam. Vervang ook API-sleutels en geheime codes van koppelingen, zoals die met uw betaalprovider, boekhouding en verzendsoftware.

Zet tweestapsverificatie aan waar dat nog niet aanstond. Verwijder beheeraccounts die u niet kent, maar leg eerst vast dat ze bestonden en wanneer ze zijn aangemaakt.

Wie u belt

Uw hostingpartij en uw bouwer: zij kunnen de server veiligstellen en helpen bij herstel. Uw betaalprovider: als u vermoedt dat de betaalpagina is aangepast of dat er betaalgegevens zijn meegelezen. Uw bank: als er geld is overgemaakt naar een verkeerd rekeningnummer. Uw cyberverzekeraar, als u die heeft: veel polissen hebben een meldnummer en voorwaarden over hoe snel u moet melden.

Doe aangifte bij de politie, zeker bij afpersing of als er geld is gestolen. Meld fraude bij de Fraudehelpdesk. Valt u onder de Cyberbeveiligingswet, dan meldt u ook ernstige incidenten. Eerst een waarschuwing binnen 24 uur en een melding met beoordeling binnen 72 uur. Daarna een eindrapport binnen een maand. Het Nationaal Cyber Security Centrum (NCSC) legt ondernemers uit wat ze doen bij een incident. Het Digital Trust Center is daar per 1 januari 2026 in opgegaan.

Herstellen: schone back-up terugzetten

Zet een back-up terug van vóór de inbraak. Let op: een aanvaller zit soms al weken in een systeem voordat iemand het merkt. Kies dus een back-up van ruim vóór de eerste signalen, of laat uw bouwer controleren of de back-up schoon is.

Werk daarna alles bij: het webshopsysteem, het thema en alle plug-ins of apps. Verwijder wat u niet gebruikt. Controleer op achterdeurtjes: onbekende bestanden, onbekende beheeraccounts, geplande taken en aangepaste code in het thema of de checkout. Bestellingen en klantgegevens van na de back-up moet u apart terugzetten.

Is dit ook een datalek?

Bijna altijd, als de aanvaller bij klantgegevens kon. Is er risico voor de mensen van wie de gegevens zijn? Dan meldt u het datalek binnen 72 uur bij de Autoriteit Persoonsgegevens (artikel 33 AVG). Die 72 uur begint zodra u redelijk zeker weet dát er een lek is. Een vermoeden alleen is nog geen melding. Weet u nog niet alles, doe dan toch binnen 72 uur een voorlopige melding en vul die later aan. Is het risico hoog, bijvoorbeeld bij wachtwoorden of betaalgegevens, dan informeert u ook de klanten zelf (artikel 34 AVG).

Leg elk datalek vast in uw eigen register, ook als u het niet hoeft te melden. In ons artikel over een datalek in uw webshop staan de stappen voor de melding.

Een volgende keer voorkomen

Loop onze checklist webshop beveiligen na. Denk aan updates, tweestapsverificatie en back-ups buiten de webshop. En aan minder plug-ins en geen onbekende scripts op de betaalpagina. Zorg dat inlogpogingen en wijzigingen in beheeraccounts worden vastgelegd, zodat u een volgende inbraak eerder ziet.

Wilt u er niet alleen voor staan? Voor Spoedhulp na een hack (€ 950 vast excl. btw) zijn wij dag en nacht bereikbaar. U belt en wij pakken het op. We stellen vast wat er gebeurd is en beperken de schade. U krijgt een kort rapport voor uw verzekeraar of de Autoriteit Persoonsgegevens.

Wilt u na het herstel weten of er nog zwakke plekken openstaan? De Scan (vanaf € 295 excl. btw) geeft binnen een dag een eerste beeld. Dat is een scan die wij met de hand nalopen, geen pentest. Een Inbraaktest (vanaf € 2.950 excl. btw) gaat dieper en zoekt ook fouten in de logica van uw checkout. Wij doen geen forensisch onderzoek naar wie de inbreker was; daarvoor heeft u een gespecialiseerd incidentbureau nodig. Wij testen alleen na schriftelijke toestemming van de eigenaar van het systeem.