Op woensdag 21 oktober 2026 werden twee ernstige lekken in PHP bekend, de software waarop WordPress draait. Er werden al aanvallen gezien voordat er een update bestond. Op de websites op mijn server zat de aanvalsroute binnen een uur dicht, nog voordat de makers van PHP hun update uitbrachten. Hoe dat verliep, staat stap voor stap op de pagina over Service & Onderhoud.

Dat tempo is geen uitzondering meer. Het is de nieuwe norm, en AI is een belangrijke reden.

Wat er veranderd is

Een lek vinden en uitbuiten was lang handwerk. Dat gaf eigenaren van websites tijd: dagen of weken tussen het moment dat een fout bekend werd en het moment dat aanvallers hem op grote schaal gebruikten. Die marge verdwijnt.

  • Misbruik binnen uren. De directeur van het Nationaal Cyber Security Centrum (NCSC) zei in mei tegen de NOS dat het vroeger dagen duurde voordat een aanvaller een fout misbruikte, en nu uren. Hij verwacht dat het minuten worden.
  • Vaak al vóór de waarschuwing. Van de lekken waarvan in 2025 vaststond dat ze actief misbruikt werden, gebeurde dat bij 29 procent op of vóór de dag dat het lek officieel werd gepubliceerd.
  • AI doet het werk. Eind 2025 beschreef Anthropic, de maker van Claude, een spionagecampagne waarin de aanvallers het grootste deel van het werk door AI lieten doen: verkennen, zwakke plekken zoeken, binnendringen en gegevens verzamelen. Het NCSC verwacht dat autonome AI-agents dag en nacht netwerken gaan afscannen.

Wat dat betekent voor een kleine website

"Mijn site is te klein om interessant te zijn" was altijd al een misverstand, en nu helemaal. Een aanvaller die AI inzet, kiest niet uit. Hij probeert een bekend lek op elke website die de kwetsbare software draait, of dat nu een multinational is of een praktijk met vijf pagina's. Ook een kleine gehackte site is bruikbaar: om spam te versturen, om bezoekers door te sturen naar oplichting, of om gegevens uit formulieren te halen.

Het verschil zit dus niet in hoe interessant je bent, maar in hoe snel er iemand ingrijpt. Een maandelijkse updateronde was ooit genoeg. Bij misbruik binnen uren is die te traag.

Hoe ik ermee omga

Beveiliging en privacy zijn bij mij geen los pakket dat je erbij bestelt. Ze zitten in alles wat ik bouw en beheer. Concreet:

Websites. Elke WordPress-site met onderhoud bij mij krijgt dagelijks een updateronde. Vóór elke update wordt een kopie van bestanden en database gemaakt, daarna controleert een test of de site nog werkt. Gaat er iets mis, dan wordt de update teruggedraaid. Formulieren bescherm ik met Turnstile in plaats van Google reCAPTCHA, zodat bezoekers niet gevolgd worden. Mijn eigen site is statisch: er draait geen database en geen inlogpagina die je kunt aanvallen.

Webapps. De webapps die ik bouw en beheer, draaien op servers in Duitsland. Gevoelige gegevens, zoals opgeslagen wachtwoorden en bankkoppelingen, worden versleuteld opgeslagen (AES-256). Inloggen gaat met een passkey of een eenmalige inloglink, in plaats van een wachtwoord dat kan uitlekken. Bij de apps met de gevoeligste gegevens test ik regelmatig of de back-up echt terug te zetten is. En elke app die met persoonsgegevens werkt, heb ik doorgelicht met een aanvalsreview: een systematische poging om hem te breken, waarna ik de zwakke plekken dichtzet.

Workflows. Wachtwoorden en sleutels die automatiseringen nodig hebben, staan in een versleutelde kluis en niet in de workflow zelf. Belangrijke automatiseringen melden zich na elke run bij een bewaking. Blijft die melding uit, dan krijg ik een alarm. Het uitgangspunt: niets mag stil kapotgaan.

Hosting. Websites staan op een server met een malwarescanner en een webfirewall die bekende aanvallen tegenhoudt. Mijn eigen server, voor webapps en tools, staat in Duitsland, is alleen met een sleutel bereikbaar en stuurt me een melding bij elke inlog. Zo'n veertig controles houden in de gaten of alles bereikbaar blijft.

Als het toch misgaat. Er bestaat geen website die nooit lek kan raken. Daarom ligt er een draaiboek klaar voor een gehackte site, en houd ik een datalekregister bij, zoals de AVG vraagt. Klanten horen van mij wat er speelt, ook als ze zelf niets hoeven te doen.

Privacy hoort erbij

Beveiliging en privacy gaan over hetzelfde: gegevens die niet bij de verkeerde terechtkomen. Daarom meet ik bezoekers op deze site met Matomo op mijn eigen server, zonder cookies, in plaats van met Google Analytics. En logbestanden met gegevens van bezoekers worden na een vaste termijn automatisch opgeruimd.

Wat je zelf kunt doen

Ook als iemand anders je website beheert, zijn er een paar dingen die alleen jij kunt regelen:

  • Weet wie je updates doet, en hoe snel. Vraag het na. Eens per maand is niet meer genoeg.
  • Zet tweestapsverificatie aan op je e-mail, je hostingaccount en de beheeromgeving van je website. Een gestolen wachtwoord is de makkelijkste ingang.
  • Vraag of je back-up ooit is teruggezet. Een back-up die nooit getest is, is een belofte, geen zekerheid.
  • Weet waar je gegevens staan. Bij welke partij, in welk land, en wie er nog meer bij kan.

Twijfel je of jouw site dit tempo bijhoudt? Een Website Rescue brengt beveiliging en privacy in kaart. Voor sites die ik gebouwd heb, regelt Service & Onderhoud het dagelijkse bijhouden.

Bronnen