Webshop en het PHP-lek: klantgegevens en betalingen beschermen

Het lek laat een aanvaller zonder wachtwoord eigen code uitvoeren op je server, met een CVSS-score van 9,2 op 10 volgens Tenable. Bij een gewone website kan die je pagina's aanpassen. Bij een webshop kan die ook klantgegevens en bestellingen uit je database halen, of je betaalstap aanpassen zodat klanten op een valse betaalpagina terechtkomen.

Een paar vuistregels:

• WooCommerce, PrestaShop, Magento: altijd PHP. Alle versies vanaf PHP 5 zijn getroffen, zo meldt Help Net Security.
• Shopify en andere volledig gehoste platformen: het platform beheert de servers. Jij hoeft PHP niet bij te werken.
• Een gehoste webshop met daarnaast een eigen WordPress-blog of -site: dat deel draait wel op PHP en moet bijgewerkt worden.

Twijfel je, dan zie je het in tien seconden met de gratis PHP-check van Marketing Scan.

Vraag je hoster of webbouwer om de exacte PHP-versie en om een update naar 8.2.35, 8.3.36, 8.4.27 of 8.5.12. Draait je webshop op PHP 8.1 of ouder, dan komt er geen fix en is een upgrade naar minstens 8.2 nodig.

Zo'n upgrade kan oude plug-ins of modules breken. Zorg daarom voor:

1. een volledige back-up van bestanden en database;
2. een test op een kopie van je webshop als dat kan;
3. een rustig moment, bijvoorbeeld 's avonds, zodat er weinig bestellingen tegelijk binnenkomen.

Loop deze lijst door, of laat je webbouwer het doen:

• Plaats een testbestelling en betaal ze echt, met een klein bedrag. Komt de bevestigingsmail binnen?
• Kijk naar de beheerders in je webshop. Staan er accounts die niemand herkent?
• Controleer waar de betaalknop naartoe leidt. Kom je op de pagina van je echte betaalprovider terecht?
• Vergelijk je bestellingen met de betalingen bij je betaalprovider. Afwijkingen zijn een signaal.
• Vraag naar nieuwe of gewijzigde bestanden op de server die niemand verwacht.

Dat hangt af van hoe je betalingen verwerkt. De meeste kleine webshops sturen klanten door naar een externe betaalprovider. Dan staan kaartgegevens niet op jouw server. Het risico zit dan vooral in een aanvaller die de link naar die betaalpagina vervangt door een valse.

Verwerk je betalingen rechtstreeks op je eigen site, dan is het risico groter. Bespreek dat met je webbouwer en je betaalprovider, en overweeg je webshop tijdelijk offline te halen als de update niet snel kan gebeuren. Een firewall kan aanvallen tijdelijk afremmen, maar volgens Patchstack is bijwerken de enige volledige oplossing.

Een kwetsbaarheid op zich is nog geen datalek. Je meldt pas als er effectief persoonsgegevens van klanten in verkeerde handen kunnen zijn gekomen, bijvoorbeeld omdat je sporen van een inbraak vindt.

Is dat zo, dan moet je het datalek volgens de GDPR binnen 72 uur melden bij de Gegevensbeschermingsautoriteit. Die termijn loopt vanaf het moment dat je het ontdekt. Noteer daarom meteen wat je vaststelde, wanneer, en welke gegevens mogelijk geraakt zijn.

• Verander alle wachtwoorden van beheerders, hosting, database en betaalprovider.
• Vraag nieuwe API-sleutels aan bij je betaalprovider en andere gekoppelde diensten.
• Laat je webbouwer achtergelaten bestanden opsporen. Een update sluit de deur, maar haalt geen inbreker weg die al binnen is.
• Zet een back-up van vóór de inbraak terug als het niet duidelijk is wat er gewijzigd werd.

Op 21 oktober meldde het CCB nog geen geslaagde aanvallen in België, aldus VRT NWS.