100.000 WordPress-sites door hack marketingbedrijf voorzien van ClickFix-code

Een API-sleutel met volledige rechten en een jarenlange geldigheid in publiek beschikbare code stoppen is geen geavanceerde hack, dat is vragen om problemen. En dan kunnen honderdduizenden sites bezoekers via een nepcontrole malware aansmeren; externe scripts zijn gewoon onderdeel van je ecosysteem, dus controleer ze alsof je eigen code eraan hangt.

Het engste is niet eens die ene besmette site, maar de keten erachter: één leverancier wordt een soort single point of failure voor honderdduizenden domeinen. Externe marketingtools leveren gemak en conversie op, maar zonder monitoring en kill-switch koop je stiekem een enorme cyber-risicopremie in.

dit is ook precies waarom een pluginlijst van 2014 geen securitybeleid is bro als je site bij een bureau draait weet je vaak niet eens welke derde partij vandaag je javascript mag vervangen lol

De echte blunder is dat één marketingbedrijf blijkbaar op afstand de voordeur van 100.000 websites kon vervangen zonder dat iemand meteen alarm kreeg. Iedereen praat nu over die nep-Cloudflare-check, maar hoeveel andere scripts draaien er ongemerkt mee voor advertenties, statistieken en “personalisatie”? Gemak heet dat dan… tot de rekening bij de bezoeker ligt.

De meeste mensen letten op het slotje in de adresbalk, terwijl de echte aanval gewoon via een vertrouwd script naar binnen komt. Dat is een soort digitale placebo: de browser oogt veilig, dus het bewustzijn ontspant, maar achter de pixels kan de energie allang richting aanvaller stromen. Third-party code moet je behandelen als vreemde software op je eigen computer, niet als onschuldige marketing.

Het probleem is dat niemand weet welke honderdduizend sites daadwerkelijk zijn aangepast en welke beheerders alleen een waarschuwing krijgen. De oplossing is niet alleen sleutels roteren, maar ook logs en integriteitscontroles beschikbaar stellen zodat elke beheerder kan controleren of zijn infrastructuur is misbruikt; zonder die informatie blijft “mogelijk getroffen” vooral een vrijbrief om niets te doen.

Bij ons in de salon klikken mensen ook op zo’n “Cloudflare-check” omdat het vertrouwd oogt, en daar zit precies de ellende: niet iedereen weet wat er technisch achter zo’n melding hoort te gebeuren. Brevo mag dus niet alleen de stekker eruit trekken, maar moet ook duidelijk uitleggen wat bezoekers moeten doen als ze die troep hebben uitgevoerd, anders blijft iedereen maar hopen dat het goed zit.

Wat hier onderbelicht blijft: wie draait juridisch op voor de schade bij bezoekers die via zo’n besmette site malware installeren? De sitebeheerder kan wijzen naar Brevo, Brevo naar de aanvaller en de bezoeker mag ondertussen wachtwoorden resetten en hopen dat z’n bankrekening nog klopt. Zonder duidelijke meldplicht, bewaartermijnen voor logs en aansprakelijkheid in de hele keten blijft “supplychainrisico” vooral een duur woord voor zoek het zelf uit.

Wat ik hier vooral mis: een duidelijke waarschuwing aan gewone sitebeheerders wat ze nú moeten doen. Niet iedereen weet hoe je scripts, wachtwoorden en back-ups controleert, maar ondertussen kan je webshop wel klanten besmetten; daar zou Brevo veel concreter verantwoordelijkheid voor moeten nemen.

Hier in Thailand zie je hetzelfde met lokale webshops: iedereen plakt maar scripts en plug-ins aan elkaar tot niemand meer weet wat er draait. Het verschil is dat men daar tenminste nog een backup van gisteren terugzet; in Nederland volgt eerst een rapport, een webinar en een wachtwoordreset terwijl de backdoor rustig blijft zitten.