Wat kost het herstellen van een gehackte WordPress-site?

Er is iets mis met je site. Een klant belt dat hij een rode waarschuwing van Google krijgt. Of je opent je eigen homepage en er staat ineens een pagina over horloges op. En terwijl je nog probeert te begrijpen wat je ziet, schiet er al een andere vraag door je hoofd: wat gaat dit kosten?

Het eerlijke antwoord: het opschonen en herstellen van een gehackte WordPress-site kost meestal 900 tot 2.500 euro. Dat is puur het technische werk, negen tot twintig uur specialistisch werk tegen zo’n 60 euro per uur. Zit er een webshop met klantgegevens achter, dan loopt het snel richting 5.000 euro. En dan heb je het nog niet gehad over de dagen dat je site uit de lucht is.

Hieronder lees je waar dat bedrag precies uit is opgebouwd, welke kosten pas later binnenkomen, en waarom die schrikbarende cijfers uit het nieuws waarschijnlijk niet over jouw situatie gaan.

Waar die 900 tot 2.500 euro uit bestaat

Een gehackte site opruimen is geen kwestie van een plugin installeren en op scannen drukken. Het is speurwerk. Dit zijn de stappen, met de uren die er in de praktijk in gaan.

• Vaststellen wat er is gebeurd en de deur dichtdoen (1 tot 2 uur). Wachtwoorden resetten, onbekende beheerdersaccounts verwijderen, logbestanden nalopen. Zolang de inbreker nog binnen is, heeft opruimen geen zin.
• Opschonen van bestanden en database (3 tot 8 uur). Geïnjecteerde code zit zelden op één plek. Een aanvaller laat vrijwel altijd een of meer backdoors achter: verstopte bestandjes waarmee hij later gewoon weer binnenkomt. Die vinden is het echte werk.
• Herstellen wat kapot is (2 tot 6 uur). Soms kun je een schone back-up terugzetten. Vaak is die back-up al besmet, omdat de hack er weken eerder in ging dan je dacht. Dan bouw je het verschil handmatig terug.
• Het gat dichten (2 tot 4 uur). Achterhalen via welke plugin of welk verouderd onderdeel ze binnenkwamen, alles bijwerken en de site opnieuw hardenen. Doe je dit niet, dan sta je over twee weken op dezelfde plek.
• Uit de Google-waarschuwing komen (1 tot 2 uur). Search Console, beveiligingsproblemen, review aanvragen en beschrijven wat je hebt opgeruimd. Google beoordeelt zo’n verzoek meestal binnen 24 tot 72 uur. Vraag je een review aan terwijl er nog rommel in staat, dan wordt hij afgewezen en duurt het alleen maar langer.

Bij elkaar negen tot tweeëntwintig uur. Tegen 60 euro per uur is dat 540 tot 1.320 euro aan puur uurwerk. In de praktijk komt daar bijna altijd spoed bovenop, want dit gebeurt niet op een rustige dinsdagochtend. Vandaar de bandbreedte van 900 tot 2.500 euro voor een gewone MKB-site. Draait er een webshop op met bestellingen en klantgegevens, dan zit je aan de bovenkant en hoger, omdat er dan ook onderzoek naar datalekken bij komt.

De kosten die niet op de factuur staan

Het herstelbedrag is bijna nooit het duurste deel. Dit komt erachteraan.

Omzet die je misloopt. Reken uit wat een dag zonder website je kost. Voor een dienstverlener met een paar leads per dag is dat misschien 300 euro. Voor een webshop is het de complete dagomzet. Een gemiddeld hersteltraject duurt twee tot vier werkdagen.

De rode waarschuwing van Google. Zodra Safe Browsing je site markeert, krijgen bezoekers in Chrome, Firefox en Safari een volledig rood scherm met “Misleidende site” of een malwaremelding. Dat is erger dan offline zijn: mensen die dat zien, komen niet snel terug. Word je herhaaldelijk geblokkeerd, dan mag je nog maar één keer per dertig dagen een review aanvragen.

Je e-mail die niet meer aankomt. Wordt je site gebruikt om spam te versturen, dan komt het IP-adres of je domein op zwarte lijsten. Dat merk je pas als een offerte niet aankomt bij een klant. Die reputatie herstelt zich niet vanzelf in een dag.

Posities in Google die je kwijtraakt. Een site die dagen onbereikbaar is of vol staat met spamteksten, zakt weg. Terugklimmen kost weken tot maanden.

Mogelijk een melding bij de Autoriteit Persoonsgegevens. Stonden er persoonsgegevens op je site, dan kan er een meldplicht ontstaan binnen 72 uur. Dat is niet alleen administratie, dat is ook een gesprek met je klanten.

Waarom die 270.000 euro uit het nieuws niet over jouw site gaat

Als je gaat zoeken kom je grote getallen tegen. MKB-Nederland noemt bedragen tussen de 100.000 en 300.000 euro per cyberincident, en je leest cijfers als 270.000 euro gemiddeld. Die getallen zijn niet verzonnen, maar ze gaan over iets anders dan wat er bij jou gebeurt.

Dat zijn cijfers over ransomware en netwerkinbraken: het hele bedrijf plat, medewerkers die dagen niet kunnen werken, productiestilstand, losgeld. Een gehackte WordPress-site is meestal een ander soort incident. Geautomatiseerde bots scannen het internet af op verouderde plugins, vinden er een, en planten er spam of een phishingpagina in. Niemand heeft jou uitgekozen.

Dat maakt het niet onschuldig, maar het maakt de schadepost wel een andere. Wij zien in de praktijk voor een MKB-site zonder webshop een totaalplaatje van 1.500 tot 4.000 euro als je herstel, gemiste omzet en het opbouwen van je Google-positie bij elkaar optelt. Wees dus voorzichtig met partijen die zwaaien met die zes cijfers om je iets te verkopen. Een eerlijke inschatting is bruikbaarder dan een schrikbedrag.

Zelf opschonen of laten doen?

Je kunt het zelf proberen, en soms lukt het ook. Een schone back-up van vóór de hack terugzetten, alles bijwerken en klaar. Dat is het beste scenario en het kost je een avond.

Het gaat mis op twee punten. Ten eerste: bijna niemand weet wanneer de hack begon. Gemiddeld zit er weken tussen de inbraak en het moment dat iemand het merkt. Zet je een back-up van vorige week terug, dan zet je vaak de backdoor gewoon mee terug. Ten tweede: een gratis scanplugin vindt de zichtbare rommel, niet de verstopte. Een half opgeruimde site is een site die over twee weken opnieuw omvalt, en dan betaal je twee keer.

De vuistregel die wij aanhouden: heb je een geteste back-up van vóór de besmetting en is je site niet complex, doe het zelf. Twijfel je over een van die twee dingen, laat het dan doen. Hoe je de eerste uren aanpakt staat stap voor stap in ons noodprotocol voor een gehackte WordPress-site.

Wat voorkomen kost

Hier wordt de rekensom oncomfortabel simpel. Eén hersteltraject van 900 tot 2.500 euro staat gelijk aan vijftien tot tweeënveertig maanden onderhoud bij ons, want dat begint op 59 euro per maand. Voor het pakket Uitgebreid, met updates die eerst op een testkopie draaien, betaal je 199 euro per maand. Ook dan verdien je één voorkomen hack ruimschoots terug.

Belangrijker dan de prijs is wat je ervoor terugkrijgt: het gebeurt niet. Bijna elke gehackte site die bij ons binnenkomt was binnengekomen via iets dat maanden eerder al bijgewerkt had kunnen zijn. Zie ook wat achterstallig onderhoud aan een WordPress-site je kost en hoe de prijsvergelijking van WordPress-onderhoud eruitziet.

Zo doen wij het bij PC Patrol

PC Patrol bestaat sinds 2010 en heeft ruim 855 domeinen in beheer. Wat wij bij hersteltrajecten het vaakst tegenkomen is niet spectaculair: een plugin die al een jaar een bekend lek had, of een themalicentie die stilletjes was verlopen waardoor updates helemaal niet meer binnenkwamen.

In beheer draaien daarom dagelijks malwarescans via Patchstack en Wordfence, en pakken we zero-day patches binnen vier uur op. We maken elke dag een offsite back-up in een EU-datacenter met dertig dagen bewaartijd, en we zetten die back-up elke maand daadwerkelijk terug op een testserver. Dat laatste is precies de reden dat herstel bij ons uren scheelt in plaats van dagen: je weet dan zeker dat je vangnet bestaat, in plaats van dat je het hoopt. Een ongeteste back-up is een aanname.

Gaat er toch iets mis, dan pakken we het op werkdagen binnen vier uur op, en op het Premium-pakket binnen een uur. Bereikbaar van 9 tot 17 uur via telefoon, WhatsApp en mail, en altijd door iemand die weet welke plugins jouw site draait.

Waar begin je nu?

Is je site op dit moment gehackt: haal hem offline of zet een onderhoudspagina aan, reset je wachtwoorden en bel iemand. Ga niet eerst zelf plugins verwijderen, want dan verdwijnen ook de sporen die nodig zijn om te zien hoe ze binnenkwamen.

Is er niets aan de hand: doe vandaag één ding. Controleer of je back-up van gisteren echt bestaat en of je hem kunt terugzetten. Kun je die vraag niet met zekerheid beantwoorden, dan is dat je grootste risico, en is WordPress-onderhoud uitbesteden de kortste route naar rust.

Veelgestelde vragen over de kosten van een gehackte WordPress-site