WordPress gehackt? Wat u moet doen in de eerste 24 uur

Wat het is

Een compromittering van WordPress betekent meestal dat iemand de mogelijkheid heeft gekregen om bestanden, de database of gebruikersaccounts te wijzigen. Veelvoorkomende signalen zijn onbekende beheerders, onbekende plug-ins of bestanden, geïnjecteerde JavaScript, door zoekmachines geïndexeerde spampagina's, doorverwijzingen die alleen sommige bezoekers treffen, uitgaande spam-e-mail of waarschuwingen van een browser of zoekmachine. Veelvoorkomende toegangspunten zijn verouderde of verlaten plug-ins en thema's, hergebruikte of zwakke wachtwoorden, gecompromitteerde hosting- of FTP-gegevens en onveilige bestandsrechten. In de eerste 24 uur draait het om bevestigen wat er gebeurt, verdere schade beperken, alles vastleggen en een grondige opschoning voorbereiden. De gedetailleerde opschoning per bestand volgt als aparte stap.

Voor wie het is

Deze checklist is bedoeld voor:

• Ondernemers en marketingteams die een WordPress-site beheren zonder eigen beveiligingsteam
• Bureaus die een klantsite ondersteunen die zojuist als gecompromitteerd is gemeld
• Interne IT-medewerkers die een opschortingsbericht van de hostingprovider of een browserwaarschuwing hebben ontvangen
• Iedereen die een leverancier helder moet informeren voordat het opschonen begint

Wat Het Helpt Verduidelijken

De checklist volgen helpt verduidelijken:

• of de site werkelijk gecompromitteerd is of een configuratie- of plug-infout vertoont
• wat er is veranderd, wanneer, en welke accounts mogelijk betrokken zijn
• wie eigenaar is van hosting, domein, DNS en back-ups, en wie wijzigingen kan goedkeuren
• of klantgegevens of betaalstromen geraakt kunnen zijn en aparte aandacht nodig hebben

Wat is inbegrepen

• Uur 0–2: noteer wat er is opgemerkt, wanneer en door wie; maak screenshots van waarschuwingen, doorverwijzingen en onbekende pagina's
• Uur 0–2: stel vast wie hosting, domeinregistrar, DNS, CDN en het WordPress-beheer beheert
• Uur 1–4: maak een volledige kopie van bestanden en database zoals ze nu zijn en bewaar die apart; overschrijf geen oudere back-ups
• Uur 1–4: overweeg de site in onderhoudsmodus te zetten of uw hostingprovider te vragen de toegang te beperken als bezoekers schade ondervinden
• Uur 2–6: wijzig vanaf een schoon apparaat de wachtwoorden voor hosting, FTP/SFTP, database en WordPress-beheerders; schakel MFA in waar beschikbaar
• Uur 2–6: controleer WordPress-gebruikers en verwijder of deactiveer accounts die u niet herkent, en noteer wat u hebt verwijderd
• Uur 4–12: verzamel beschikbare servertoegangslogs en beveiligingsmeldingen van de hostingprovider
• Uur 6–24: informeer een gekwalificeerde leverancier met uw notities, logs en back-upkopie, en spreek een scope voor het opschonen af

Wat is niet inbegrepen

• Commando's voor het verwijderen van malware of instructies om kernbestanden zonder back-up te bewerken
• Juridisch advies over de vraag of een melding van een datalek verplicht is
• Een bewering dat alleen wachtwoorden wijzigen de compromittering oplost
• Advies om contact op te nemen met de aanvaller of wraak te nemen

Wanneer u het kiest

Gebruik deze checklist zodra u een compromittering vermoedt, voordat u bestanden gaat verwijderen of back-ups terugzet. Als de site betalingen verwerkt of persoonsgegevens van klanten opslaat, betrek dan vroeg de persoon die verantwoordelijk is voor privacy en juridische verplichtingen; meldplichten hangen af van de feiten en de jurisdictie, en dit artikel is geen juridisch advies. Als de hostingprovider het account heeft opgeschort, vraag dan wat die van u nodig heeft om de toegang te herstellen en of er logs zijn die u kunt gebruiken.

Onze Aanpak

Geef voorrang aan inperking en vastlegging boven een snelle visuele opschoning. Een site die er weer normaal uitziet, kan nog steeds een achterdeur bevatten waarmee de aanvaller binnen enkele dagen terugkeert. Een oude back-up terugzetten zonder het toegangspunt te dichten, leidt vaak tot herinfectie. Zodra de eerste stappen zijn afgerond, moet het opschonen bestanden, database, gebruikers, geplande taken en de serverconfiguratie omvatten, gevolgd door het dichten van het toegangspunt en hardening. Onze dienst Incident Recovery biedt een eerste beoordeling en classificatie van een afgesproken website- of WordPress-probleem, praktische inperking, het verwijderen van kwaadaardige code, achterdeuren en onbevoegde gebruikers, veilig herstel, het dichten van het vastgestelde toegangspunt en een schriftelijk rapport met aanbevelingen voor hardening. Het is afgebakend werk voor de bevestigde website; juridische beoordelingen worden door uw juridisch adviseur behandeld. Wie u ook helpt, vraag om uitleg over wat er is gevonden en gewijzigd, en bewaar dat rapport bij uw notities.

Incident Recovery

Veelgestelde vragen

Gerelateerde artikelen