Hosting gehackt: meerdere websites tegelijk besmet?

Herken de signalen van een hostingaccount-brede infectie

Een malware-infectie die zich beperkt tot één website heeft meestal duidelijke, geïsoleerde symptomen. Zodra hetzelfde patroon op meerdere sites binnen hetzelfde hostingaccount opduikt, of de problemen zich uitbreiden buiten de website zelf, is er waarschijnlijk meer aan de hand dan een lek in één stuk software. Dit komt vooral voor bij hostingpakketten waarop meerdere domeinen naast elkaar draaien: een reseller-account, een bedrijf met meerdere merken of landingspagina's op één pakket, of een webbureau dat meerdere klantsites op dezelfde server host. Omdat die sites vaak dezelfde onderliggende omgeving delen, verspreidt een infectie zich daar makkelijker dan tussen websites bij verschillende providers. Let op de volgende signalen:

• Meerdere websites op dezelfde hosting tonen tegelijk dezelfde infectie — bijvoorbeeld dezelfde omleidingen, dezelfde spampagina's of identieke kwaadaardige code.
• E-mail die vanaf uw domein wordt verstuurd, komt niet meer aan of wordt structureel als spam gemarkeerd.
• Het IP-adres van uw hosting staat op een blacklist, terwijl u zelf niets ongebruikelijks heeft gedaan.
• Er draaien onbekende cronjobs op de achtergrond die u niet zelf heeft ingesteld.
• FTP- of SFTP-wachtwoorden blijken gestolen, gewijzigd of gebruikt vanaf een onbekende locatie.
• Uw hostingprovider waarschuwt dat andere klanten op dezelfde server besmet zijn of misbruikt worden.

Herkent u slechts één van deze signalen, beperkt tot één specifieke website, dan heeft u mogelijk voldoende aan een meer gerichte aanpak. Voor een enkele site met een offline-, hack- of prestatieprobleem leest u meer op onze pagina website- en hostingproblemen oplossen. Gaat het specifiek om één gehackte WordPress-installatie, dan biedt ons stappenplan WordPress-website gehackt: wat nu? directe, praktische vervolgstappen. Zodra het patroon zich echter herhaalt op meerdere sites binnen hetzelfde hostingaccount, of de reputatie van uw IP-adres of e-mail is aangetast, is een bredere aanpak op accountniveau nodig — en daarvoor is deze pagina bedoeld.

Wat Secrotec controleert

Bij een hostingaccount-brede infectie kijken we verder dan de website waarmee u ons benadert. We werken systematisch van het hostingaccount als geheel naar de individuele sites, zodat we niet alleen de zichtbare symptomen wegnemen maar ook achterhalen waar de infectie oorspronkelijk is binnengekomen en welke andere delen van het account daardoor risico lopen. Een Malware & Hosting Checkup omvat in ieder geval:

• Alle sites en domeinen die op het hostingaccount actief zijn, ook domeinen die u zelf mogelijk niet direct als risico had aangemerkt.
• FTP- en SFTP-toegang: wie er kan inloggen, welke wachtwoorden gebruikt worden en of er sporen zijn van ongeautoriseerde toegang.
• Cronjobs en geplande taken op het account, waar kwaadaardige code zich vaak verbergt om zichzelf steeds opnieuw te herstellen.
• De e-mailreputatie van uw domein en de blacklist-status van het IP-adres van de hosting.
• Het gedeelde bestandssysteem, om kruisbesmetting tussen verschillende websites op hetzelfde account op te sporen.
• De gebruikers en toegangsrechten van het hostingaccount zelf, los van de afzonderlijke websites.

Het resultaat van deze checkup is geen losse lijst met bevindingen per site, maar een totaalbeeld van het hostingaccount: welke sites zijn aangetast, hoe de infectie zich waarschijnlijk heeft verspreid, en welke risico's blijven bestaan zolang er niet accountbreed wordt ingegrepen.

Waarom dit meer is dan één website opschonen

Websites die op hetzelfde hostingaccount staan, delen vaak meer dan alleen het IP-adres: denk aan het bestandssysteem, FTP-gebruikers, cronjobs en soms zelfs een gedeelde database-omgeving. Wordt in zo'n situatie alleen de website opgeschoond waar de klacht is begonnen, terwijl een andere site op hetzelfde account nog besmet is, dan blijft er een ingang open. De malware kan zich via die gedeelde omgeving eenvoudig terugverspreiden naar de net opgeschoonde site — soms al binnen enkele dagen. Daarnaast blijft een aangetast IP-adres of een op de blacklist geplaatst domein een probleem opleveren voor al uw e-mailverkeer, ook als de website zelf alweer schoon is: e-mail vanaf een geblokkeerd IP-adres komt vaak niet aan bij ontvangers, ongeacht hoe schoon de bijbehorende website inmiddels is. Om die reden beoordelen wij een infectie altijd op het niveau van het volledige hostingaccount voordat we een opschoning uitvoeren, in plaats van geïsoleerd naar één website te kijken. Dat geldt zeker wanneer meerdere klanten, merken of afdelingen gebruikmaken van dezelfde hostingomgeving: één zwakke plek in een van die sites kan dan de veiligheid van alle andere sites op dat account beïnvloeden.

Wat de checkup en het opschonen kosten

Dienst	Prijsindicatie excl. btw	Indicatieve tijd
Malware & Hosting Checkup	€149 (vast tarief)	1,5–2,5 uur
Hosting-account-wide cleanup	na checkup, op uurtarief (€110 excl. btw/uur)	afhankelijk van scope

Er bestaat geen gepubliceerde marktprijs voor het opschonen van een volledig hostingaccount — de uiteindelijke prijs hangt af van het aantal besmette websites, de hostingstructuur en de bevindingen van de checkup. Daarom werken we hier op basis van de checkup-bevindingen en het uurtarief, niet met een vast bedrag.

Alle prijzen zijn exclusief 21% btw.

Onze aanpak

We werken in drie stappen, met een expliciet controlemoment vóór we daadwerkelijk aan de opschoning beginnen. Zo weet u vooraf wat er speelt en wat het gaat kosten, in plaats van achteraf voor verrassingen te komen staan.

1) Checkup. De betaalde diagnostische Malware & Hosting Checkup (€149 excl. btw) brengt de omvang van de infectie op het volledige hostingaccount in kaart: welke domeinen zijn geraakt, hoe de malware zich waarschijnlijk heeft verspreid, en welke onderdelen van het account — FTP, cronjobs, e-mailreputatie — extra aandacht nodig hebben. Wordt binnen 14 dagen na de checkup ook de opschoning bij ons in opdracht gegeven, dan brengen we het checkup-bedrag in mindering op de opschoningskosten.

2) Bevindingen en inschatting. U ontvangt een helder overzicht van wat er is aangetroffen — welke sites besmet zijn, waar het lek zit en wat er nodig is om het op te lossen — samen met een inschatting van de tijd en kosten voor de opschoning op basis van het uurtarief. U beslist zelf of, en in welke omvang, u de opschoning laat uitvoeren.

3) Opschoning na akkoord klant. Pas nadat u akkoord bent gegaan met de inschatting, starten we met het daadwerkelijk opschonen van het hostingaccount: kwaadaardige code en achterdeurtjes verwijderen, wachtwoorden en toegang vervangen, cronjobs controleren en waar nodig opschonen, en de status van IP- en e-mailreputatie opnieuw beoordelen. Secrotec voert nooit een opschoning uit zonder dat u vooraf akkoord bent gegaan met de geschatte kosten en aanpak. Na afronding controleren we of de infectie daadwerkelijk is verholpen, al kan geen enkele partij een toekomstige nieuwe aanval volledig uitsluiten — vandaar het belang van de structurele maatregelen die we samen met u bespreken om herhaling zo veel mogelijk te voorkomen.