Tekenen dat je WordPress-site gehackt is, en hoe je elk ervan controleert

WindowsMacBijgewerkt 2026-10-23

De FAQ van WordPress over gehackte sites noemt nieuwe gebruikers die niemand heeft toegestaan een duidelijk teken van een hack, net als een zwarte lijst bij Google of Bing, een hostingbedrijf dat je site uitschakelt en antivirus van bezoekers die alarm slaat. Google Search Console voegt daar omleidingen, spamtekst en spampagina's van hackers aan toe. De meeste tekenen controleer je vanuit je dashboard en Search Console.

Kort antwoord

Ga naar Gebruikers > Alle gebruikers en filter op Beheerder om accounts te vinden die je niet hebt gemaakt. Open het rapport Beveiligingsproblemen in Google Search Console voor gehackte content, spam en schadelijke code. Kijk in Pagina's > Alle pagina's en Berichten > Alle berichten naar content die je niet schreef, en ga na of .htaccess, index.php, header.php of footer.php is veranderd.

Wat ziet WordPress als teken van een hack?

WordPress noemt ze Indicators of Compromise. De FAQ geeft deze als duidelijke tekenen:

de site staat op een zwarte lijst bij Google, Bing of vergelijkbare diensten
je hostingbedrijf heeft de site uitgeschakeld
de site is gemarkeerd omdat ze malware verspreidt
lezers zeggen dat hun antivirus de site markeert
iemand meldt dat je site wordt gebruikt om andere sites aan te vallen
gedrag dat je niet hebt toegestaan, zoals nieuwe gebruikers
je ziet de hack als je de site in een browser opent

De FAQ zegt ook dat niet alle hacks hetzelfde zijn. Google schrijft dat hackers content met spam kunnen verbergen met cloaking-technieken, zodat site-eigenaren het niet zien. Een site die er voor jou normaal uitziet, bewijst dus op zich niets.

Hoe controleer ik op beheerders die ik niet heb toegevoegd?

Het scherm Gebruikers toont elk account, en met de links boven de tabel filter je op rol. Begin bij de beheerders: de hardeningsgids van WordPress zegt dat een hacker met toegang tot een beheerdersaccount kwaadaardige scripts kan installeren.

Ga in je dashboard naar Gebruikers > Alle gebruikers.
Klik boven de tabel op Beheerder.
Lees bij elk account de Gebruikersnaam, Naam en E-mail. Noteer accounts die je niet kent, met de datum waarop je ze zag.
Klik op Alle gebruikers en loop ook de andere rollen na.
Ga naar Instellingen > Algemeen en kijk bij Lidmaatschap en Standaard rol voor nieuwe gebruikers. WordPress noemt Beheerder als een van de keuzes voor de standaardrol van nieuwe gebruikers.

Schrijf het op voordat je iets verwijdert. De FAQ van WordPress noemt het vastleggen van wat je ziet de eerste concrete stap na een inbraak.

Hoe herken ik een omleidingshack?

Het rapport Beveiligingsproblemen van Google heeft een probleem dat "Gehackt: invoeging van code" heet: een hacker heeft je site gehackt en voegt schadelijke code in op je pagina's, bijvoorbeeld omleidingen naar een schadelijke site. Aan de kant van WordPress wijst de FAQ op het bestand .htaccess als het bestand waar je zeker naar wilt kijken, omdat het het vaakst met kwade bedoelingen wordt aangepast.

Open het rapport Beveiligingsproblemen in Search Console. Vouw een probleem uit om voorbeeld-URL's te zien en de datum waarop het voor het eerst is gevonden.
Maak via FTP of SFTP verbinding met je site en open het bestand .htaccess in de WordPress-map. Zoek naar regels die je niet zelf hebt toegevoegd.
Kijk ook in andere mappen. WordPress zegt dat .htaccess meestal in de hoofdmap van de installatie staat, maar ook in andere mappen kan voorkomen.

Hoe vind ik spampagina's op mijn site?

Google beschrijft twee soorten. Bij "Gehackt: invoeging van content" heeft een hacker links of tekst met spam aan de pagina's van je site toegevoegd. Bij "Gehackt: URL-invoeging" heeft een hacker nieuwe pagina's op je site gemaakt, die vaak woorden of links met spam bevatten.

Ga naar Pagina's > Alle pagina's. WordPress zet de nieuwste bovenaan, met de kolommen Auteur en Datum, dus kijk bovenaan naar titels die je niet kent.
Gebruik de statuslinks boven de tabel, zoals Concept en Privé, om pagina's te zien die niet openbaar zijn.
Typ een woord uit de spam in het zoekvak en klik op Pagina's zoeken.
Doe hetzelfde in Berichten > Alle berichten.
Vergelijk wat je vindt met de voorbeeld-URL's in het rapport Beveiligingsproblemen.

Wat betekenen de waarschuwingen van Google?

Dat Google een probleem heeft gevonden dat volgens Google schadelijk kan zijn voor bezoekers. Google schrijft dat zulke pagina's met een waarschuwingslabel in de zoekresultaten kunnen verschijnen, en dat de browser een waarschuwingspagina kan tonen als iemand de pagina wil bezoeken. De FAQ van WordPress voegt toe dat waarschuwingen variëren van grote schermvullende pagina's tot kleine meldingen in de zoekresultaten, en dat Bing, Yahoo en antivirusprogramma's eigen zwarte lijsten bijhouden.

Open het rapport Beveiligingsproblemen in Search Console. Zijn er geen problemen, dan zie je een groen vinkje en een melding.
Vouw elk probleem uit voor voorbeeld-URL's, de datum waarop het voor het eerst is gevonden en een link voor meer informatie.
Meld je ook aan bij Bing Webmaster Tools. De FAQ van WordPress raadt aan je aan te melden bij de webmasterconsoles, waaronder die van Bing.

Google vraagt je alle problemen op alle pagina's op te lossen voordat je Beoordeling aanvragen kiest, en geen nieuw verzoek te sturen voordat je een definitief besluit hebt.

Hoe controleer ik op gewijzigde bestanden?

Het dashboard toont geen bestandswijzigingen. De hardeningsgids van WordPress zegt dat een aanval altijd sporen achterlaat, in de logbestanden of op het bestandssysteem, als nieuwe of gewijzigde bestanden. De FAQ noemt bestanden om op te letten, omdat een wijziging daarin elke pagina kan raken: index.php, header.php, footer.php en het functiebestand van je thema.

Voer een scan uit. De FAQ van WordPress noemt scanplugins uit de pluginmap van WordPress.org en scanners op afstand, en zegt dat geen enkele tool de beste is, maar dat je kansen samen sterk verbeteren.
Vergelijk via FTP of SFTP die bestanden en .htaccess met een back-up van vóór de problemen.
Geeft je hostingbedrijf je de logbestanden, dan kunnen die volgens de hardeningsgids pogingen tot inbreken met geraden wachtwoorden laten zien, en wanneer de thema- en plugin-editors zijn gebruikt.
Scan ook je eigen computer. WordPress schrijft dat sommige aanvallen beginnen op de computer van de eigenaar, met trojans die inloggegevens voor FTP en het beheer onderscheppen.

Levert een van deze controles iets op, noteer dan wat je zag en wanneer, en volg website gehackt: wat nu?. Die gids behandelt je hostingbedrijf, wachtwoorden, onbekende gebruikers verwijderen, een schone back-up en de beoordeling door Google, op volgorde.

Meer vragen

Kan een WordPress-site gehackt zijn zonder zichtbare tekenen?

Ja. Google schrijft dat hackers spam kunnen verbergen met cloaking-technieken, zodat site-eigenaren het niet zien, en de FAQ van WordPress zegt dat niet alle hacks hetzelfde zijn. Daarom loont het om het rapport Beveiligingsproblemen en een bestandsscan te bekijken, ook als de site er normaal uitziet.

Moet ik onbekende beheerders meteen verwijderen?

Schrijf ze eerst op. De FAQ van WordPress zegt dat vastleggen eerst komt, en dat je nog één momentopname van de site maakt voordat je opruimt, ook als die besmet is. De gids voor herstel behandelt wanneer je ze verwijdert en ieders wachtwoord opnieuw instelt.

Wat als ik niet meer kan inloggen in WordPress?

De FAQ van WordPress zegt dat een aanvaller soms beheerdersaccounts overneemt. Je kunt je wachtwoord opnieuw instellen, of via phpMyAdmin bij je hostingbedrijf de gebruikerstabel rechtstreeks bereiken. Een eenvoudigere route die de FAQ noemt: verander daar je e-mailadres en gebruik dan "Je wachtwoord vergeten?" op het inlogscherm.

Is mijn WordPress-site gehackt door PHP2Shell?

Niet per se. PHP2Shell zijn twee kwetsbaarheden in PHP, die PHP op 21 oktober 2026 heeft opgelost. Het NCSC meldde op 23 oktober 2026 dat het één melding kent van mogelijk misbruik in het buitenland, maar dat niet is bevestigd dat de aanval ook echt succesvol was. Controleer je PHP-versie en lees onze gids over de PHP-kwetsbaarheid voor de achtergrond.

Haalt een WordPress-update een hack weg?

Niet op zich. De FAQ van WordPress zet de update na het opruimen: werk bij zodra je site schoon is, omdat oudere versies vatbaarder zijn voor hacks, en verander na het opruimen je wachtwoorden opnieuw.