Malware verwijderen uit WordPress na een hack: zo huur je de juiste expert in

Je WordPress-site stuurt bezoekers naar een spampagina, Google zet “Deze site is mogelijk gehackt” onder je zoekresultaat, of je hostingprovider heeft je account opgeschort.

Het voelt misschien alsof je site weg is, maar berichten, pagina’s en bestellingen staan vaak nog gewoon in de database. Het grotere risico is een schoonmaak die de zichtbare spam weghaalt maar de achterdeur laat zitten, waardoor dezelfde infectie terugkomt.

Hieronder lees je wat ik in de eerste tien minuten controleer en hoe je een expert inhuurt om malware uit WordPress te verwijderen, zonder die meer toegang te geven dan nodig is.

Hoe een gehackte WordPress‑site er meestal uitziet

Je ziet bijvoorbeeld doorverwijzingen naar spam- of oplichtingspagina’s, soms alleen voor bezoekers die via Google komen of een telefoon gebruiken. Google kan pagina’s tonen die je nooit hebt geschreven, soms in een andere taal. Je kunt ook een rode waarschuwing in je browser zien, nieuwe beheerdersaccounts, of een melding van je host dat je account is opgeschort.

Zo komen aanvallers binnen, ongeveer in de volgorde waarin ik deze oorzaken tegenkom:

• Verouderde plugin of verouderd thema Er zit een bekend beveiligingslek in. Dit is veruit de meest voorkomende oorzaak.
• Gestolen of zwak wachtwoord Iemand heeft de inloggegevens voor WordPress, het hostingaccount of SFTP bemachtigd. Soms zijn die gestolen door malware op de computer van de site-eigenaar.
• Gekraakte premium plugin of gekraakt premium thema Een “gratis” kopie van een betaalde plugin of een betaald thema heeft vaak al een achterdeur ingebouwd.
• Een andere geïnfecteerde site op dezelfde hosting Eén vergeten testsite kan alle andere sites op die hosting besmetten.

Een hack voegt vaak code toe in plaats van content te wissen. Het lastige is de achterdeur vinden: een verborgen bestand of een paar regels code waarmee de aanvaller terug kan komen nadat de zichtbare spam weg is.

Toont de site een kritieke fout of een wit scherm en zie je geen van de signalen hierboven? Dan is er waarschijnlijk iets stuk en is de site niet gehackt. Dat is een andere klus: zo laat je een kritieke fout in WordPress oplossen.

Probeer dit eerst (10 minuten)

Ik begin niet met het verwijderen van geïnfecteerde bestanden. De eerste tien minuten gebruik ik om de schade te beperken en het bewijs te bewaren.

1. Verwijder nog niets. Die bestanden kunnen laten zien hoe de aanvaller binnenkwam. Als je ze verwijdert of plugins opnieuw installeert, kunnen de sporen verdwijnen terwijl de achterdeur blijft zitten.
2. Schrijf op wat je ziet en wanneer. Maak screenshots van de doorverwijzing of de waarschuwing, noteer wanneer je het zag, en zet recente wijzigingen op een rij, zoals een nieuwe plugin, een aanpassing aan het thema of een nieuwe gebruiker.
3. Verander wachtwoorden die gelekt kunnen zijn. Verander vanaf een computer die je vertrouwt de wachtwoorden van je hostingaccount, je SFTP-gebruikers en elke WordPress-beheerder. Vermoed je dat inloggegevens gestolen zijn, scan die computer dan op malware. Verander de wachtwoorden na de schoonmaak opnieuw.
4. Kijk in Google Search Console. Open Beveiliging en handmatige acties → Beveiligingsproblemen om te zien wat Google heeft gevonden, met voorbeeld-URL’s. Klik pas op “Beoordeling aanvragen” als de schoonmaak klaar is.

Neem ook contact op met je host. Misschien hebben ze al geïnfecteerde bestanden gevonden, en als het account is opgeschort, kunnen ze uitleggen wat er nodig is om het terug te krijgen.

Begin niet zelf aan de schoonmaak als je een webshop hebt die klantgegevens bewaart, de site spammails verstuurt of je host hem heeft opgeschort. Experimenteren op een geïnfecteerde site die online staat kan de infectie verspreiden en ervoor zorgen dat de site langer gemarkeerd blijft.

Wil je liever niet zelf aan bestanden op je hosting zitten, stop dan hier. Elke extra wijziging maakt het werk van de developer lastiger. De volgende stap is kiezen wie het schoonmaakt.

Waar je een developer vindt

Om een gehackte WordPress-site te laten opschonen met duidelijke afspraken en een vaste prijs, raad ik Fiverr Pro aan. Fiverr beoordeelt Pro-freelancers persoonlijk op hun ervaring, portfolio en eerder geleverde werk voordat ze de Pro-badge krijgen. Ik werk zelf op Fiverr, dus ik weet hoe bestellingen, betalingen en reviews daar werken.

Wat het kost

De prijs hangt af van hoe grondig de verkoper te werk gaat, niet van hoe ernstig de site eraan toe lijkt. Op het moment van schrijven vallen de Fiverr Pro-prijzen om malware uit WordPress te verwijderen in drie niveaus:

Fiverr rekent bij het afrekenen ook nog een klein bedrag aan servicekosten. Snellere levering kost meestal extra.

Wat meestal ontbreekt in een goedkoop pakket

Lees de beschrijving van het Basic-pakket twee keer, want daarin biedt een verkoper het minste werk aan. Zo’n pakket kan prima zijn voor een eenvoudige infectie, maar vaak ontbreekt het volgende:

• de database, waar spamlinks en geïnjecteerde scripts zich vaak verstoppen in berichten en instellingen
• de achterdeur en de manier waarop ze binnenkwamen, waardoor dezelfde hack terugkomt
• verwijdering van de waarschuwingslijst van Google en andere blacklists
• updates en extra beveiligingsmaatregelen na de schoonmaak
• een paar weken nazorg als er iets terugkomt

Is de hack al een keer teruggekomen, dan zou ik minstens voor het middelste prijsniveau kiezen.

Zo geef je veilig toegang

Bij een gehackte site kunnen sommige inloggegevens al gelekt zijn. Geef de developer alleen de toegang die nodig is voor de klus, via accounts die je zelf beheert, en trek die weer in als het werk klaar is.

1. Maak eerst zelf een back-up, ook al is die geïnfecteerd. Download de bestanden en de database via je hostingpaneel en bewaar de kopie buiten de server. Gaat er iets mis bij de schoonmaak, dan kun je de site daarmee herstellen. Noem hem “geïnfecteerd”, zodat niemand hem per ongeluk terugzet.
2. Maak een aparte WordPress-beheerder aan voor de developer, in plaats van je eigen inloggegevens te delen.
3. Geef toegang tot bestanden via een aparte SFTP-gebruiker. Die maak je aan in je hostingpaneel. De developer heeft toegang tot de bestanden nodig om code te vinden die een scanplugin kan missen. Deel nooit het wachtwoord van je hostingaccount.
4. Houd sommige inloggegevens voor jezelf: die van je domeinregistrar, Stripe of PayPal en de mailbox van het e-mailadres van de sitebeheerder.
5. Deel wachtwoorden veilig en pas nadat je hebt besteld. Gebruik een deellink uit een wachtwoordmanager, geen platte tekst in de chat.
6. Trek alle toegang in als de klus klaar is. Verwijder de WordPress- en SFTP-gebruikers van de developer, verander alle wachtwoorden opnieuw en kijk bij Gebruikers → Beheerder of er accounts tussen staan die je niet kent. Vraag de developer om het databasewachtwoord te veranderen, het bij te werken in wp-config.php en de beveiligingssleutels van WordPress te vervangen. Nieuwe sleutels loggen iedereen uit die nog is ingelogd, ook de aanvaller.

Houd vooral je hosting en je domein op je eigen naam. Wie die beheert, beheert ook de site.

Wat je stuurt voordat het werk begint

Stuur dit voordat je bestelt, of plak het in de opdrachtvereisten op Fiverr:

• de URL van je site
• wat je ziet: de doorverwijzing, de waarschuwingstekst of de spampagina’s, met screenshots, en wanneer het probleem optreedt (alleen op telefoons, alleen via Google)
• wanneer je het zag en wat er vlak daarvoor veranderde
• wat Google Search Console of je host meldde, met voorbeeld-URL’s
• je host, WordPress-versie en PHP-versie (Gereedschap → Sitediagnose → Informatie, als het dashboard werkt)
• je thema of pagebuilder, de belangrijkste plugins, en elke premium plugin die je buiten de officiële winkel hebt gehaald
• of het een webshop is die klantgegevens bewaart
• welke back-ups je hebt, met datums, en welke mogelijk van vóór de hack is
• wat je al hebt gedaan (wachtwoorden veranderd, bestanden verwijderd, een scan gedraaid)
• welke toegang je wilt geven

Op Fiverr leggen de opdrachtvereisten vast wat de verkoper heeft toegezegd. Beschrijf het resultaat in gewone woorden: “schone scanresultaten, geen geïnjecteerde spampagina’s, hulp bij het aanvragen van een beoordeling om de Google-waarschuwing te laten verwijderen, en uitleg over hoe de aanvaller binnenkwam.”

Zo kies je de juiste developer

Geïnfecteerde bestanden verwijderen is maar een deel van de klus. Kies iemand die ook uitzoekt hoe de aanvaller binnenkwam en dat lek dichtmaakt.

Zoek reviews over hetzelfde probleem

Zoek naar reviews waarin “hacked”, “redirect”, “spam pages” of “blacklist” staat, en kijk niet alleen naar de gemiddelde beoordeling. Lees de reviews met één tot drie sterren en de reacties van de verkoper. Eén review met “it came back two weeks later” zegt meer dan tien met “fast delivery”.

Lees wat elk pakket bevat

Vergelijk de pakketten regel voor regel: database opschonen, verwijdering van blacklists, extra beveiligingsmaatregelen, het aantal dagen support na levering. Een pakket dat “malware removal” heet, kan nog steeds alleen een scan zijn.

Vraag hoe ze achterhalen waar de aanvaller binnenkwam

Een goede verkoper legt dat in een of twee zinnen uit: je bestanden vergelijken met schone kopieën, pluginversies, gebruikers en serverlogs nakijken. Alleen “ik draai een scanner” betekent meestal een oppervlakkige schoonmaak.

Hecht niet te veel waarde aan het verkopersniveau

Op Fiverr laat het niveau van een verkoper zijn eerdere bestellingen zien, niet zijn kennis van beveiliging. Voor een webshop of een hack die steeds terugkomt, zou ik iemand kiezen met reviews voor precies dat soort klus.

De vragen die ik zou stellen voordat ik bestel

• Maak je ook de database schoon, of alleen de bestanden?
• Vertel je me hoe de aanvaller binnenkwam?
• Maak je een back-up voordat je iets verandert?
• Vraag je verwijdering van de waarschuwingslijst van Google aan, of laat je me zien hoe dat moet?
• Wat gebeurt er als de malware binnen 30 dagen terugkomt?
• Welke toegang heb je precies nodig?

Rode vlaggen

• Ze vragen om het wachtwoord van je hostingaccount of de inloggegevens voor je domein, terwijl een WordPress-gebruiker en SFTP-toegang genoeg zijn.
• Ze willen de chat of de betaling buiten Fiverr om regelen. Fiverr vraagt kopers om allebei op het platform te houden, en de support van Fiverr kan alleen helpen bij bestellingen die daar zijn geplaatst.
• Ze beloven dat je site “nooit meer gehackt wordt”. Een eerlijke verkoper heeft het over het risico verkleinen.
• Ze bieden gratis een premium beveiligingsplugin aan. Dat is een illegale kopie, en gekraakte plugins kunnen malware bevatten.
• Ze willen alles wissen en opnieuw installeren zonder back-up, of zonder te vertellen wat je dan kwijtraakt.
• Ze bieden korting in ruil voor een vijfsterrenreview.

Na het opschonen: controleren, accepteren en herhaling voorkomen

Op Fiverr heb je drie dagen om het opgeleverde werk te controleren. Daarna wordt de bestelling vanzelf afgerond. Controleer het werk dus dezelfde dag:

• open de site in een privévenster en op je telefoon, en klik er ook naartoe vanuit de zoekresultaten van Google (sommige doorverwijzingen zie je alleen als je via Google komt of een telefoon gebruikt)
• zoek in Google op site:jouwdomein.nl en kijk of er pagina’s tussen staan die je niet hebt geschreven
• draai een gratis scan op afstand, zoals Sucuri SiteCheck (in het Engels)
• controleer of er bij Gebruikers alleen accounts staan die je kent
• vraag hoe de aanvaller binnenkwam, en schrijf het op
• vraag eventuele aanpassingen aan via Fiverr voordat je de levering accepteert

Heeft Google de site gemarkeerd, vraag dan in Search Console een beoordeling aan zodra de site schoon is. Volgens Google kan een beoordeling een paar dagen tot een paar weken duren, en een nieuw verzoek indienen terwijl het vorige nog in behandeling is, kan de volgende beoordeling vertragen.

Trek daarna de toegang in die je hebt gegeven (zie hierboven). Werk plugins en thema’s bij, verwijder wat je niet gebruikt, blijf weg van gekraakte premium plugins, zet tweestapsverificatie aan voor beheerders, en bewaar automatische back-ups buiten de server. Voelt regelmatig onderhoud als een tweede baan, dan kost dat onderhoud meestal minder dan opnieuw laten opschonen.

Samenvatting

Malware uit WordPress verwijderen is meestal een kleine klus tegen een vaste prijs, maar als alleen de zichtbare malware en spam worden verwijderd, komt de hack vaak terug. Bewaar het bewijs, verander je wachtwoorden en kies een verkoper die de database opschoont en je vertelt hoe de aanvaller binnenkwam. Houd het risico laag door een apart account te geven en de toegang weer in te trekken als de klus klaar is.