Ga niet te lichtvaardig om met de beveiliging van je bedrijfswebsite…

Tot mijn grote verbazing zag ik onlangs in de registratiegegevens van mijn website, dat iemand “binnen had weten te komen”. Een onbekende met een buitenlands IP-adres had zichzelf toegang verschaft tot de administratoromgeving en zich als beheerder aangemeld. Ik was gehackt. Ik kreeg spontaan een adrenalinestoot en het zweet brak me uit. Hoe was het mogelijk? Wat wilde deze indringer überhaupt? Welke schade was er aangericht? Op de site wordt uitsluitend informatie verschaft (tekst) en er worden geen gegevens bewaard waar een ander wat aan heeft. Dus ik kon er geen touw aan vastknopen.

De hacker

Wanneer een hacker toegang heeft als administrator, kan hij alle andere gebruikers “buiten spel zetten”. Bijvoorbeeld door ze te blokkeren. Dat was in dit geval niet gebeurd. Vreemd! Ik had nog gewoon toegang. Het eerste wat ik deed was de ongenode gast blokkeren en verwijderen. Ik heb vervolgens mijn site offline gezet en ben contact gaan zoeken met het bedrijf waar hij geplaatst is. Gelukkig had ik een backup van mijn omgeving gemaakt en deze werd na overleg teruggeplaatst. Onderzoek leerde bovendien, dat er een oude versie van een stukje software door de hacker was geplaatst. Hiermee was er als het ware een slecht beveiligde achterdeur in mijn web-omgeving gemaakt. Waarschijnlijk met de bedoeling om later nog eens terug te komen. Die was met het terugzetten van de vorige omgeving weer tenietgedaan.

Hierna zijn er in korte tijd verschillende niet nader te noemen aanvullende beveiligingsmaatregelen ingebouwd. (Je moet ze ook niet wijzer maken dan ze al zijn, nietwaar?) Al met al een heleboel werk. Een weekend stressen omdat er ook nog een paar andere klusjes lagen die af moesten.

Waarom dit artikel?

Niet om de hacker uit te dagen nog eens terug te komen om het nog eens te proberen. Neen, integendeel. Ik hoop dit echt niet nog eens mee te maken. Maar om dit leermoment te delen met anderen. Het oplossen van een dergelijk probleem kost een hoop tijd en uiteindelijk dus ook geld. Wat ik iedereen mee zou willen geven is om niet te lichtvaardig om te gaan met het beveiligen van je bedrijfswebsite. Ik ken verschillende ondernemingen die bijvoorbeeld nog steeds geen beveiligingscertificaat hebben. Of denken dat hun omgeving in goede handen is bij een welwillende “zelf bouwende” kennis.

Zorg dat je website goed onderhouden wordt, van de meest recente software is voorzien en regelmatig wordt geback-upped. Een normaal gesproken nutteloze bezigheid, waarmee ik achteraf gezien heel erg blij was. Onvoldoende investeren in je website kost je uiteindelijk geld…

Geef een reactie

Het e-mailadres wordt niet gepubliceerd. Vereiste velden zijn gemarkeerd met *

2 × 1 =

Deze website gebruikt Akismet om spam te verminderen. Bekijk hoe je reactie-gegevens worden verwerkt.