Waarom wordt mijn WordPress-website gehackt?

WordPress-websites worden gehackt omdat ze verouderde software, zwakke wachtwoorden of onveilige plugins hebben. Dat klinkt eenvoudig, maar de realiteit is dat hackers zelden gericht op jouw website afkomen. Ze gebruiken geautomatiseerde scripts die het internet afzoeken naar bekende zwakke plekken en die direct misbruiken. In dit artikel beantwoorden we de meest gestelde vragen over WordPress-beveiliging: van de meest voorkomende aanvalsmethoden tot wat je doet als het toch misgaat.

Hoe komen hackers een WordPress-website binnen?

Hackers komen een WordPress-website binnen via drie hoofdroutes: verouderde software, zwakke wachtwoorden en onveilige plugins. Ze werken bijna nooit handmatig. Geautomatiseerde programma’s scannen continu het internet op websites met bekende kwetsbaarheden. Zodra zo’n script een zwak punt vindt, volgt de aanval razendsnel en zonder menselijke tussenkomst.

De meest voorkomende aanvalsmethoden zijn:

• Brute-force-aanvallen: Geautomatiseerde scripts proberen duizenden wachtwoordcombinaties per uur. Gebruik je nog de standaardgebruikersnaam “admin” en een eenvoudig wachtwoord, dan is het een kwestie van minuten voordat een hacker binnen is.
• SQL-injectie: Hackers injecteren kwaadaardige code via formulieren of URL’s rechtstreeks in je database. Het resultaat kan variëren van datadiefstal tot het volledig manipuleren van je website.
• Cross-Site Scripting (XSS): Via zoekbalken of contactformulieren worden schadelijke scripts geïnjecteerd, waarna bezoekers van jouw site onbedoeld schadelijke inhoud te zien krijgen.
• Nulled plugins en thema’s: Illegale, gekraakte versies van betaalde plugins bevatten vrijwel altijd een backdoor waarmee hackers op elk moment toegang kunnen krijgen.

Wat veel mensen niet weten: nadat een hacker eenmaal binnen is, installeert hij meerdere backdoors op verschillende plekken. Sommige aanvallers repareren zelfs de kwetsbaarheid die ze hebben gebruikt om binnen te komen, zodat andere hackers er niet via dezelfde weg in kunnen. Ze willen exclusieve toegang zo lang mogelijk bewaren.

Waarom is WordPress zo vaak het doelwit van hackers?

WordPress is het meest gebruikte CMS ter wereld, met een marktaandeel van circa 43% van alle websites wereldwijd. Dat maakt het platform aantrekkelijk voor hackers: een gevonden kwetsbaarheid werkt immers op miljoenen websites tegelijk. Dit zegt niets over de kwaliteit van WordPress zelf, maar alles over hoe hackers te werk gaan.

Vergelijk het met inbrekers in een woonwijk. Ze kiezen niet de mooiste woning, maar de woning met het zwakste slot. WordPress is die wijk, en slecht onderhouden websites zijn de woningen met het zwakste slot. Kleinere websites zijn daarbij extra kwetsbaar, omdat ze doorgaans minder goed beveiligd zijn dan grote platforms met een dedicated IT-team.

Dagelijks worden duizenden WordPress-sites aangevallen, niet door gerichte hackers maar door geautomatiseerde aanvalsscripts Deze link opent in een nieuw tabblad. Slecht onderhoud, zoals het maanden laten liggen van updates of het gebruik van eenvoudige wachtwoorden, maakt veel websites een makkelijk doelwit. De populariteit van WordPress is dus tegelijk zijn kracht en zijn zwakte.

Welke WordPress-kwetsbaarheden worden het meest misbruikt?

De meest misbruikte kwetsbaarheden in WordPress zitten in plugins, niet in WordPress zelf. Meer dan 90% van alle kwetsbaarheden bevindt zich in de plugin- en themalaag. Cross-Site Scripting (XSS) is daarbij het meest voorkomende type aanval, gevolgd door SQL-injectie en zogenaamde path traversal-aanvallen.

Wat de situatie extra zorgwekkend maakt: beveiligingsonderzoek van Patchstack Deze link opent in een nieuw tabblad laat zien dat in 2025 bijna de helft van alle gevonden kwetsbaarheden geen patch had op het moment van bekendmaking. Dat betekent dat er geen update beschikbaar was om het lek te dichten, ook al was het probleem al publiek bekend. Voor aanvallers is dat een open uitnodiging.

Daar komt bij dat veel kwetsbaarheden misbruikt kunnen worden zonder dat de aanvaller hoeft in te loggen. Een hacker heeft dus geen gebruikersnaam of wachtwoord nodig om schade aan te richten. In juli 2026 werden zelfs twee kritieke lekken in de WordPress-core zelf actief misbruikt, waarbij aanvallers zonder authenticatie volledige controle over een website konden overnemen. WordPress bracht binnen dagen noodpatches uit, maar het illustreert hoe snel de wereld van WordPress-beveiliging kan veranderen.

Wat zijn de signalen dat je WordPress-website gehackt is?

De signalen van een gehackte WordPress-website variëren van opvallend tot bijna onzichtbaar. Hackers proberen zo lang mogelijk onopgemerkt te blijven, zodat ze gegevens kunnen verzamelen of jouw website als springplank kunnen gebruiken. Meer dan 60% van de website-eigenaren weet niet eens dat hun site gehackt is.

Let op deze waarschuwingssignalen:

• Vreemde teksten of links: Inhoud die jij niet hebt geplaatst, zoals links naar dubieuze websites, soms verstopt in de footer.
• Ongewenste doorverwijzingen: Bezoekers worden doorgestuurd naar andere, schadelijke websites zonder dat jij daar iets mee te maken hebt.
• Google-waarschuwingen: Google markeert je site als onveilig, of je ziet een plotselinge, onverklaarbare daling in je zoekverkeer.
• Inlogproblemen: Je kunt niet meer inloggen in je WordPress-dashboard, of je wachtwoord werkt ineens niet meer.
• Onbekende gebruikersaccounts: Er staan nieuwe beheerders in je dashboard die jij nooit hebt aangemaakt. Dit is vaak het eerste wat hackers doen nadat ze binnen zijn.
• Trage of onbereikbare website: Een plotselinge verslechtering van de laadtijd of regelmatige uitval kan wijzen op misbruik van je serverresources.
• Ongewenste pop-ups of advertenties: Reclame die jij niet hebt ingesteld en die voor bezoekers zichtbaar is.

Een gehackte website schaadt niet alleen je reputatie bij bezoekers, maar ook je positie in Google. Zoekmachines bestraffen onveilige websites en dat herstel kost tijd, ook nadat het probleem is opgelost.

Hoe bescherm je een WordPress-website tegen hacks?

Een WordPress-website beveiligen begint met structureel onderhoud: updates uitvoeren, sterke wachtwoorden gebruiken en onnodige plugins verwijderen. Verouderde software is de grootste oorzaak van gehackte WordPress-websites. Elke update die je overslaat, is een deur die je op een kier laat staan.

De belangrijkste maatregelen voor een veilige WordPress-website zijn:

• Updates uitvoeren: Houd WordPress-core, alle plugins en je thema altijd up-to-date. Beveiligingsupdates dichten bekende lekken direct.
• Tweestapsverificatie (2FA) inschakelen: Zelfs als een hacker je wachtwoord heeft, kan hij zonder je telefoon of authenticator-app niet inloggen. Onderzoek van Microsoft laat zien dat 2FA het overgrote deel van alle accountaanvallen blokkeert.
• Standaardgebruikersnaam wijzigen: Gebruik nooit “admin” als gebruikersnaam. Maak een nieuw beheerdersaccount aan met een unieke naam en verwijder het originele account.
• Onnodige plugins verwijderen: Elke plugin is een potentieel beveiligingslek. Hoe minder plugins, hoe kleiner het aanvalsoppervlak.
• Beveiligingsplugin installeren: Tools zoals Wordfence of Solid Security detecteren verdachte activiteit, beperken inlogpogingen en bewaken de integriteit van je bestanden.
• Regelmatig back-ups maken: Zorg voor automatische, dagelijkse back-ups die buiten je server worden opgeslagen. Een back-up is je vangnet als het toch misgaat.
• Betrouwbare hosting kiezen: Een goede hostingpartij biedt actieve beveiliging en monitoring. Gedeelde hosting waarbij meerdere websites op dezelfde server draaien, brengt extra risico’s met zich mee.
• Geen nulled software gebruiken: Gratis versies van betaalde plugins of thema’s bevatten bijna altijd malware of backdoors.

Bij Stuurlui zit veilig coderen in ons DNA. Van kennis van de OWASP top 10 tot code reviews en pentests: WordPress-development doen we op de hoogste standaarden, met een strenge pluginselectie en aandacht voor performance en beveiliging.

Wat moet je doen als je WordPress-website toch gehackt is?

Als je WordPress-website gehackt is, is de eerste stap de website direct offline halen of in onderhoudsmodus zetten. Zo voorkom je dat bezoekers worden blootgesteld aan malware en dat Google je site als onveilig indexeert. Daarna volg je een gestructureerd herstelplan.

Doorloop deze stappen zo snel mogelijk:

1. Website offline halen: Zet de site in onderhoudsmodus via je hostingprovider of een plugin. Dit beperkt de schade voor bezoekers en zoekmachines.
2. Back-up maken van de gehackte versie: Ook van de besmette versie, inclusief bestanden en database. Bewaar deze buiten je webserver. Als er tijdens het opschonen iets misgaat, heb je nog een terugvalpunt.
3. Alle wachtwoorden wijzigen: Niet alleen je WordPress-wachtwoord, maar ook FTP/SFTP-accounts, je hostingcontrolepaneel, de databasegebruiker en de beveiligingssleutels in je wp-config.php.
4. Contact opnemen met je hostingprovider: Zij kunnen een malwarescan uitvoeren, verdachte bestanden identificeren en direct ingrijpen. Veel hosters hebben een spoedlijn voor dit soort situaties.
5. Website scannen op malware: Gebruik een beveiligingsplugin zoals Wordfence om verdachte scripts en gemanipuleerde bestanden op te sporen.
6. Schone herinstallatie overwegen: Hackers installeren meerdere backdoors op verschillende plekken. Als je er één verwijdert, activeren de andere. Een volledige herinstallatie van WordPress-core en plugins is de meest betrouwbare aanpak.
7. Na herstel direct updaten: Update PHP naar de meest recente versie, update WordPress-core en alle plugins, en stel monitoring in zodat verdachte activiteit direct wordt gesignaleerd.

Is er mogelijk toegang geweest tot persoonsgegevens van klanten of bezoekers? Dan ben je als ondernemer wettelijk verplicht dit te melden bij de Autoriteit Persoonsgegevens Deze link opent in een nieuw tabblad binnen 72 uur na ontdekking. Dat zijn 72 echte uren, geen werkuren. Doe je dit niet, dan riskeer je een boete. Bij twijfel: meld altijd, ook als je het nog niet zeker weet.

Wanneer is professioneel WordPress-beheer de betere keuze?

Professioneel WordPress-beheer is de betere keuze zodra je website bedrijfskritisch is en niemand intern de tijd of kennis heeft om updates, beveiliging en back-ups structureel bij te houden. Een gehackte website herstellen kost gemiddeld honderden euro’s aan developeruren, los van de reputatieschade en het verlies aan zoekverkeer. Goed beheer is daarmee geen kostenpost, maar een investering.

Overweeg professioneel beheer in ieder geval als:

• Je omzet afhankelijk is van je website: Elke minuut offline kost je geld, of het nu gaat om een webshop of een website die offerteaanvragen genereert.
• Updates maanden blijven liggen: Vrijwel elke gehackte site die professionals tegenkomen, heeft dezelfde achtergrond: updates die te lang zijn blijven liggen of een plugin die al jaren niet meer wordt onderhouden.
• Een infectie terugkomt: Als malware steeds terugkeert nadat je hem hebt opgeruimd, staat er ergens nog een backdoor. Dat vereist professionele expertise om volledig op te lossen.
• Er persoonsgegevens zijn buitgemaakt: Dan speelt er ook een meldplichtvraagstuk waarbij een professional je kan helpen de juiste stappen te zetten.

Een professioneel beheercontract dekt minimaal updates, dagelijkse back-ups en actieve beveiliging. Je hebt één vast aanspreekpunt dat je website door en door kent, en je hoeft zelf geen technische kennis in huis te hebben. Dat scheelt je een hoop stress en een nog grotere herstelfactuur achteraf.

Kortom: WordPress-websites worden gehackt door een combinatie van geautomatiseerde aanvallen en vermijdbare zwakke plekken zoals verouderde software en slechte wachtwoorden. De meeste hacks zijn te voorkomen met structureel onderhoud en de juiste basismaatregelen. Wil je zeker weten dat jouw website goed beveiligd is en dat je nooit voor verrassingen staat? Bekijk dan wat een WordPress-website laten maken bij Stuurlui voor jou kan betekenen.