WordPress gehackt? Zo herken je verdachte signalen en beveilig je website in 2026

Denk je bij wordpress hacks alleen aan een verdwenen homepage of een vreemd bericht op je website? Het gevaar kan minder opvallend beginnen. Een aanvaller kan een beheeraccount toevoegen, een plugin aanpassen of bezoekers een valse browserupdate voorschotelen. Daarom moet je niet alleen je eigen inlogscherm beveiligen, maar ook controleren wat bezoekers te zien krijgen.

In deze praktische uitleg lees je hoe je signalen van een gehackte WordPress-site herkent, wat je direct doet bij een vermoeden en welke maatregelen de kans op nieuwe problemen verkleinen. De aanleiding is een waarschuwing van het Nationaal Cyber Security Centrum over misbruik van WordPress-sites voor het verspreiden van malware onder bezoekers. Lees de oorspronkelijke NCSC-waarschuwing voor de volledige veiligheidsadviezen.

Belangrijkste tip: laat bezoekers nooit een browserupdate uitvoeren vanuit een pop-up op jouw website. Een echte browserupdate loopt via de instellingen van de browser of de officiële appwinkel, niet via een bestand dat een webpagina aanbiedt.

Wat betekenen WordPress hacks voor jou en je bezoekers?

Een WordPress-hack is onbevoegde toegang tot je website, hosting of beheeromgeving. Dat kan gebeuren door gestolen inloggegevens, een kwetsbare plugin of een verouderd thema. Na toegang kan een aanvaller code plaatsen zonder dat je website meteen zichtbaar stukgaat.

Dat stille misbruik is juist riskant. Een besmette site kan bezoekers doorsturen naar spam of phishing, een verdacht bestand laten downloaden of worden gebruikt om malware te verspreiden. In de NCSC-waarschuwing ging het om valse meldingen die leken op een update van bijvoorbeeld Chrome of Edge. De bezoeker werd gevraagd een zip- of js-bestand te downloaden en uit te voeren. Dat kan leiden tot malware en diefstal van gegevens.

De site-eigenaar loopt bovendien reputatieschade op. Bezoekers vertrouwen jouw domein, ook als een aanvaller de kwaadaardige melding alleen aan bepaalde bezoekers toont.

Zo herken je een gehackte WordPress-site

Controleer je website niet alleen wanneer iemand klaagt. Kijk regelmatig naar deze signalen:

• Onbekende beheerders: accounts met namen die je niet herkent, vooral namen die lijken op wp-maintenance- of wp-backup-.
• Vreemde plugins of thema’s: onderdelen die je niet zelf hebt geïnstalleerd, een onduidelijke ontwikkelaar hebben of plotseling in het dashboard verschijnen.
• Onverklaarbare redirects: bezoekers komen op een andere pagina, een webwinkel of een phishingwebsite terecht.
• Aangepaste content: er staan vreemde links, advertenties of berichten op pagina’s die je niet hebt bewerkt.
• Beveiligingsmeldingen: een scanner meldt gewijzigde bestanden, verdachte code of nieuwe gebruikers.
• Ongewone e-mails: jouw domein lijkt spam te versturen of klanten melden berichten die jij niet hebt verzonden.
• Vreemde beheeracties: er zijn nieuwe plugins geïnstalleerd, rollen gewijzigd of bestanden aangepast zonder duidelijke reden.

Controleer ook of de website zich anders gedraagt wanneer je niet als beheerder bent ingelogd. Kwaadaardige code kan zich bewust verbergen voor een beheerder, waardoor een snelle controle in het dashboard niet genoeg is.

Doe dit meteen bij een vermoeden

Een snelle, rustige aanpak voorkomt dat je bewijs overschrijft of bezoekers onnodig blijft blootstellen.

1. Zet de site tijdelijk in onderhoud

Beperk het verkeer zolang je niet weet wat er aan de hand is. Zo voorkom je dat meer bezoekers een schadelijke pagina of download te zien krijgen. Informeer je hostingpartij of beveiligingsspecialist wanneer je zelf geen toegang hebt tot serverlogboeken of back-ups.

2. Noteer wat je ziet

Maak screenshots van onbekende accounts, plugins, redirects en meldingen. Noteer wanneer je het probleem ontdekte en welke wijzigingen kort daarvoor zijn uitgevoerd. Verwijder verdachte onderdelen niet meteen als je daardoor belangrijke informatie over de oorzaak kwijtraakt.

3. Herstel vanuit een schone back-up

Een besmetting kan in meerdere bestanden zitten. Een schone back-up van vóór het probleem is daarom vaak veiliger dan losse verdachte bestanden verwijderen. Controleer eerst of de back-up echt van vóór de vermoedelijke hack is en exporteer recente bestellingen of contactaanvragen als dat nodig is.

4. Werk alles bij en wijzig toegang

Update WordPress, plugins en thema’s pas nadat je herstelplan klaarstaat. Verwijder onderdelen die je niet gebruikt en installeer plugins alleen opnieuw vanuit een betrouwbare bron. Wijzig daarna de wachtwoorden van beheerders, hosting, database en gekoppelde diensten. Reset ook API-sleutels als die op de website worden gebruikt.

1. Controleer mogelijke datalekken

Worden klantgegevens, contactformulieren of webshopinformatie in WordPress bewaard? Ga dan na welke gegevens mogelijk toegankelijk zijn geweest. Bij twijfel over persoonsgegevens moet je beoordelen of een datalek moet worden gemeld. Vraag hiervoor advies aan je hostingpartij, IT-partner of privacyadviseur.

WordPress hacks voorkomen met een vaste controle

Beveiliging werkt het best als je er een routine van maakt. Plan bijvoorbeeld maandelijks een korte controle en voer deze stappen uit:

1. Houd de basis actueel. Schakel automatische updates in waar dat past bij je website en controleer na een update of belangrijke functies nog werken.
2. Beperk beheerders. Geef mensen alleen de rol die ze nodig hebben en verwijder oude accounts direct.
3. Gebruik unieke wachtwoorden. Bewaar ze in een betrouwbare wachtwoordmanager en gebruik MFA of 2FA voor WordPress en het beheeradres van je e-mail.
4. Beveilig /wp-admin. Beperk de toegang waar mogelijk met IP-whitelisting of extra beveiliging via je hostingpartij.
5. Zet meldingen en logging aan. Laat wijzigingen in plugins, thema’s, rollen en inlogpogingen registreren.
6. Gebruik een firewall of WAF. Een Web Application Firewall kan verdachte verzoeken blokkeren voordat ze je website bereiken.
7. Bescherm uploads. Laat geen PHP-bestanden uitvoeren vanuit wp-content/uploads/ en laat je hostingpartij controleren of deze regel goed staat.
8. Maak back-ups buiten de webserver. Een back-up op dezelfde server helpt niet als de server zelf wordt gewist of besmet.
9. Scan op wijzigingen. Monitoring van bestanden en malware kan afwijkingen eerder zichtbaar maken.
10. Ruim ongebruikte onderdelen op. Een gedeactiveerde plugin blijft onderdeel van je installatie en kan nog steeds risico geven. Verwijder hem als je hem niet nodig hebt.

Wil je ook je dagelijkse beheer versimpelen? Bekijk dan deze tips om WordPress sneller maken onderdeel van je vaste werkwijze te maken. Gebruik daaruit vooral de ideeën die updates, back-ups en controles overzichtelijk houden.

Let als bezoeker op nepupdates

Je hoeft geen websitebeheerder te zijn om slachtoffer te worden. Krijg je tijdens het bezoeken van een website een melding om Chrome, Edge of andere software te updaten? Download dan niets. Sluit het tabblad en controleer de update via de officiële instellingen van de browser.

Open ook geen zip- of js-bestand dat je onverwacht wordt aangeboden. Heb je het toch uitgevoerd, laat dan een volledige virusscan draaien, verwijder verdachte downloads en wijzig belangrijke wachtwoorden vanaf een schoon apparaat. Meld het bij je IT-afdeling of beveiligingspartner als het om een werkcomputer gaat. Zet waar mogelijk MFA aan en beëindig actieve sessies van belangrijke accounts.

Veelgemaakte fouten bij WordPress-beveiliging

Alleen naar de voorkant van de website kijken

Een homepage die er normaal uitziet, bewijst niet dat je site schoon is. Controleer ook gebruikers, plugins, thema’s, logs en bestanden.

Alles handmatig verwijderen zonder herstelplan

Kwaadaardige code kan op meerdere plekken staan of een achterdeur opnieuw aanmaken. Maak eerst een kopie voor onderzoek en kies daarna voor herstel vanuit een betrouwbare back-up of professionele opschoning.

Back-ups wel maken, maar nooit testen

Een back-up is pas bruikbaar als je hem kunt terugzetten. Test daarom af en toe op een aparte omgeving of bespreek het herstelproces met je hostingpartij.

MFA alleen op WordPress instellen

Beveilig ook het e-mailadres waarmee je het WordPress-account beheert. Wie toegang krijgt tot dat postvak kan soms een wachtwoordreset uitvoeren.

Te veel plugins laten staan

Elke extra plugin vraagt onderhoud. Houd alleen onderdelen actief die je nodig hebt, controleer de herkomst en verwijder plugins die geen updates meer krijgen.

Veelgestelde vragen over WordPress hacks

Kan een WordPress-site gehackt zijn zonder zichtbare schade?

Ja. Een aanvaller kan een account, script of redirect toevoegen zonder de homepage direct te veranderen. Controleer daarom ook beheeraccounts, bestanden, logs en beveiligingsmeldingen.

Hoe weet ik of een browserupdate op mijn website echt is?

Een browserupdate hoort niet als downloadmelding op een willekeurige website te verschijnen. Werk je browser bij via de eigen instellingen of via de officiële appwinkel. Download geen zip- of js-bestand uit een webpagina.

Is een beveiligingsplugin voldoende?

Nee. Een beveiligingsplugin kan verdachte wijzigingen signaleren en soms blokkeren, maar vervangt geen updates, sterke unieke wachtwoorden, MFA, beperkte beheertoegang en bruikbare back-ups.

Wat is de eerste stap na een WordPress-hack?

Beperk het verkeer, bewaar bewijs en neem contact op met je hostingpartij of beveiligingsspecialist. Herstel daarna bij voorkeur vanuit een schone back-up, update alle onderdelen en wijzig alle relevante wachtwoorden.

Hoe vaak moet je WordPress controleren?

Controleer meldingen en updates regelmatig en plan daarnaast een vaste maandelijkse beveiligingscheck. Controleer na grote wijzigingen ook gebruikers, plugins, thema’s en back-ups.

Conclusie

WordPress hacks raken niet alleen de eigenaar van een website. Een besmette site kan bezoekers misleiden, downloads aanbieden en het vertrouwen in jouw domein beschadigen. Houd WordPress, plugins en thema’s actueel, beperk beheerrechten, gebruik MFA en bewaar geteste back-ups buiten de webserver. Zie je een onbekend account of verdachte redirect? Zet de site dan tijdelijk stil en pak het probleem gecontroleerd aan.

Voor een overzichtelijker beheer kun je ook WordPress back-ups instellen opnemen in je vaste routine. Zo maak je van beveiliging geen eenmalige paniekklus, maar een praktische gewoonte.