Is jouw WordPress-site eigenlijk wel veilig?

WordPress draait achter ruim 40% van alle websites, en dat maakt het ook een geliefd doelwit. Veilig is je site dus niet vanzelf. Dat hangt af van hoe goed je hem onderhoudt en dat is meer werk dan eens per maand op de updateknop drukken.

Hoe dat misgaat, werd deze maand opnieuw duidelijk.

Hoe aanvallers WordPress-sites kapen

Op 18 juni waarschuwde het Nationaal Cyber Security Centrum (NCSC) voor het botnet SocGholish. De politie haalde het netwerk neer in een internationale operatie, maar de werkwijze laat goed zien waar het risico zit. Criminelen gebruikten gestolen inloggegevens om binnen te komen op WordPress-sites. Daarna zetten ze die sites in om bezoekers te misleiden.

Bezoekers kregen een nep-update te zien, bijvoorbeeld een melding om Chrome of Edge bij te werken. Wie daarop klikte, downloadde in werkelijkheid een .zip- of .js-bestand met malware. Het gevolg: gestolen inloggegevens, financiële gegevens, soms zelfs ransomware. En voor de eigenaar reputatieschade, want het gebeurde op jouw domein.

Eens per maand updaten is niet genoeg

Een kwetsbaarheid die vandaag bekend wordt, kan morgen al misbruikt worden. Met AI gaat dat nog sneller: aanvallers schalen het zoeken naar zwakke plekken moeiteloos op. Een update die je over drie weken inplant, kan dan al twee weken te laat zijn.

Onderhoud is daarom geen momentopname, maar een doorlopend proces. En het draait om twee dingen tegelijk: een specialist die weet waar hij op moet letten, en een systeem dat die specialist ondersteunt met actieve monitoring en foutopsporing. De een zonder de ander is niet genoeg.

Wat veilig onderhoud écht inhoudt

Goed beheer is meer dan op de updateknop drukken. Het is een samenspel van maatregelen die elkaar versterken:

• Core, plugins en thema's up-to-date houden, en weghalen wat je niet gebruikt.
• Multifactor-authenticatie en sterke, unieke wachtwoorden voor alle beheerders.
• Een firewall die verdachte verzoeken tegenhoudt voordat ze schade doen.
• Logging en meldingen, zodat ongewone acties direct opvallen.
• Monitoring die onverklaarbare wijzigingen aan bestanden signaleert.
• Back-ups die los van de webserver staan, zodat je altijd schoon kunt herstellen.

Het verschil zit niet in één maatregel. Het zit in de combinatie, en in iemand die er bovenop zit.



Veilig vanaf de basis

Daarom bouwen wij niet op WordPress. Een cloudmotion website draait op een gesloten, volledig beheerd platform.

Het verschil voor jouw veiligheid is groot. Beveiliging en updates zitten in het platform zelf. Er zijn geen losse plugins die je moet bijhouden, geen server om te patchen, en geen nep-updatemeldingen die op je site kunnen verschijnen. Je cloudmotion website regelt dat allemaal automatisch, zodat je je geen zorgen hoeft te maken over plugins of beveiligingspatches. Alles draait op AWS, met automatische SSL, DDoS-bescherming, malwaredetectie en automatische back-ups.

Daar bovenop houden wij je site in de gaten en denken we mee over wat beter kan. Zo blijft je site veilig én beschikbaar, zonder dat jij er wakker van hoeft te liggen.

Benieuwd hoe we dat voor jou aanpakken? Lees hier meer over onze cloudmotion websites, of stuur ons een bericht. Dan denken we graag met je mee.

Bron: NCSC, WordPress-sites doelwit van botnet: bezoekers ook geraakt (18 juni 2026).