Een malwarewaarschuwing op je website onderzoeken

Wijzig niets voor je weet wat je ziet. Maak eerst een korte notitie: wie meldde het, via welk kanaal, op welk moment en op welke pagina of welk apparaat. Neem een schermafbeelding van de volledige waarschuwing, inclusief de URL waarop hij verschijnt.

Noteer ook of de waarschuwing voor alle bezoekers verschijnt of alleen voor jou. Een melding die alleen op één apparaat opduikt, kan van een lokaal probleem komen, zoals een browserextensie of een geïnfecteerde pc. Test daarom op een tweede apparaat en een tweede netwerk.

Bewaar deze informatie op een plek waar ook je ontwikkelaar of hostingpartij bij kan. Hoe preciezer de beschrijving, hoe sneller de oorzaak afgebakend wordt. Je zoekt in deze fase geen oplossing, je legt vast wat de lezers van je waarschuwing zien.

Er zijn meestal twee plekken waar je informatie vindt: de organisatie die de waarschuwing toont (bijvoorbeeld een zoekmachine of browser) en je hostingpartij. Beide geven een ander deel van het beeld.

• De officiële waarschuwing zegt wat een bezoeker of zoekmachine heeft gezien en vaak welke pagina's of soorten problemen zijn gemeld. Welke tool, welk scherm en welke rechten je daarvoor nodig hebt, kan per account en tijdstip wijzigen: controleer dit bij de beheerder van je eigendomsbewijs of zoekconsole.
• De hostingdiagnose toont wat er op de server zelf gebeurt: onverwachte bestanden, recente wijzigingen, ongewone aanmeldingen of verbruik. Vraag je host schriftelijk om logboeken en een overzicht van gewijzigde bestanden rond het tijdstip van de melding.

Vergelijk beide. Wijzen ze op dezelfde pagina's of bestanden, dan is de oorzaak waarschijnlijk afgebakend. Spreken ze elkaar tegen, bijvoorbeeld een waarschuwing zonder bevinding op de server, noteer dat dan en vraag om een nieuwe, handmatige controle. Een scan zonder bevinding bewijst niet dat er niets is; het bewijst alleen dat die scan niets vond.

MDN behandelt webbeveiliging als het beschermen van websites en gebruikers tegen schade door kwaadwillende derden (https://developer.mozilla.org/en-US/docs/Web/Security) en bundelt aanvallen, verdedigingen en authenticatie in aparte gidsen. Gebruik die pagina als achtergrond om begrippen te begrijpen, niet als diagnose van jouw specifieke geval.

Als een aanvaller via een gestolen wachtwoord binnenkwam, helpt het schoonmaken van bestanden maar kort. Beveilig daarom alle toegangen tot je site en omgeving. Gebruik hiervoor een toestel waarvan je zeker bent dat het veilig is. Trek toegang die je al als ongewenst kent (een onbekende gebruiker, een gelekte sleutel) meteen in; wacht daarvoor niet op een volledige inventaris of op de analyse van een deskundige.

1. Wijzig wachtwoorden van het beheerderspaneel, de hosting, de domeinregistratie en de e-mailaccounts die aan het domein hangen. Beëindig waar mogelijk ook actieve sessies, want een nieuw wachtwoord sluit een bestaande sessie niet altijd af.
2. Verwijder gebruikers die je niet kent en beperk rechten tot wat nodig is.
3. Zet tweestapsverificatie aan waar het systeem dat ondersteunt. Voor een Google-account (bijvoorbeeld voor je zoekconsole) beschrijft Google hoe je dit instelt; die stappen gelden niet voor je hosting of je beheerderspaneel. Google noemt prompts en toegangssleutels als opties en wijst erop dat codes via sms of telefoon kwetsbaarder zijn voor hacks op basis van telefoonnummers (https://support.google.com/accounts/answer/185839). Controleer in je eigen accountinstellingen welke opties je account toelaat, want dat kan per werk- of schoolaccount verschillen.
4. Controleer of er onbekende ontwikkelaarstoegang, API-sleutels of geplande taken zijn en roep die in waar nodig.

Heb je klantgegevens op de site, bijvoorbeeld bestellingen of formulieren, bespreek dan met een deskundige of een juridisch adviseur of er melding- of informatieplichten kunnen gelden. Dat valt buiten wat dit artikel kan beoordelen.

Je kunt niet elke dienst blind vertrouwen. Gebruik deze checklist voor je een externe scanner, plugin of opschoondienst toegang geeft.

• Geef nooit je beheerderswachtwoord of hostingtoegang aan een dienst die je niet kent. Vraag een tijdelijke gebruiker met beperkte rechten aan.
• Zoek de aanbieder op: is er een herkenbaar bedrijf, contactgegevens en een duidelijke verwerkersvoorwaarde?
• Vraag wat er met de data gebeurt die de scanner leest, vooral klantgegevens, bestellingen en formulierinzendingen.
• Maak eerst een volledige back-up buiten de aangetaste omgeving.
• Laat een scanner op een kopie werken in plaats van op de live-omgeving als dat mogelijk is.
• Vermijd diensten die opgeruimde resultaten garanderen of binnen een vaste tijd herstel beloven; zonder analyse kan niemand dat waarmaken.
• Noteer wie toegang kreeg, wanneer en wanneer je die toegang weer intrekt.

Een publieke scan van buitenaf kijkt alleen naar wat zichtbaar is en kan geen toegang tot je server bewijzen of uitsluiten. Gebruik zo'n scan als eerste signaal, niet als eindoordeel.

Kies op basis van wat je vond. Is de waarschuwing beperkt tot één apparaat, controleer dan eerst dat toestel en je browserextensies. Zie je bij je host onbekende bestanden of ongewone aanmeldingen, schakel dan een deskundige in en wijzig zelf niets aan serverbestanden. Trek wel meteen toegang in die je als ongewenst kent en overleg met je host of de site tijdelijk moet worden afgeschermd. Lukt het je niet om een verdacht bestand te begrijpen, verwijder het niet zelf maar geef het door.

Neem een fictieve webshop die een waarschuwing krijgt op de homepage. Jij legt vast:

• Invoer: waarschuwing zichtbaar op twee apparaten, tijdstip genoteerd, schermafbeelding bewaard.
• Hostingdiagnose: gewijzigde bestanden rond hetzelfde tijdstip, schriftelijk opgevraagd.
• Toegang: wachtwoorden gewijzigd, tweestapsverificatie aan, onbekende gebruiker verwijderd.
• Overdracht: een korte brief aan een deskundige met tijdlijn, schermafbeeldingen, logboeken en wat je al wijzigde.

De verwachte technische controles daarna: de officiële waarschuwing opnieuw bekijken in het eigen beheerscherm van de zoekmachine of browser, de hostingdiagnose herhalen en een nieuwe test op beide apparaten uitvoeren. We geven bewust geen termijn of resultaat: hoe lang een herbeoordeling duurt, bepaalt de partij die de waarschuwing geeft.

Wil je de zichtbare signalen van je website daarna rustig in kaart brengen, bekijk ze via Marketing Scan. Dat vervangt geen beveiligingsonderzoek: een publieke scan toont alleen wat van buitenaf zichtbaar is en voert niet alle controles uit die in dit artikel staan.