Meer dan honderdduizend WordPress-sites zijn via een hack bij marketingbedrijf Brevo voorzien van kwaadaardige JavaScript. Bezoekers kregen een neppe Cloudflare-controle te zien die hen moest verleiden malware te installeren; mogelijk werden ook backdoors geplaatst.
← Terug naar overzicht
Research|Tech|2 uur geleden
32STEM
100.000 WordPress-sites door hack marketingbedrijf voorzien van ClickFix-code
Lees het originele artikel op security.nl →
3 reacties
Verhitte discussies
Egel met milkshakebeker om nek en verhongerde...10 uur geleden - 71 reacties
Het ontplofte drugslab in Schammenkamp is een...12 uur geleden - 67 reacties
- Gemeente Enschede verplicht gezichtsvergelijk...
1 dag geleden - 94 reacties
- Trump zet strijd tegen de pers voort: CNN, MS...
16 uur geleden - 50 reacties
/s3/static.nrc.nl/wp-content/uploads/2026/09/15165122/170926OND_2034828347_WEB_FI_ILLU_Montage-Rood_Oplichtingssoftware_Leila-Hak.jpg)
<b>Nep-websites, nep-winst en nep-vriendelijk...1 dag geleden - 111 reacties
Laatste reacties
- NRC: bunq registreerde domein 'mijn...
Het probleem is juist dat zo’n domeinnaam vertrouwen leent v...
- Muzieklabels Sony en Universal ligg...
Labels willen controle én geld, maar ondertussen gebruiken z...
- Zwaargewonde door steekpartij in Le...
Wat ik vooral bizar vind: iedereen filmt tegenwoordig meteen...
- Politie houdt meerdere klimaatactiv...
blokkeer je een oprit dan weet je gewoon dat oom agent komt,...
- Johan Derksen staat plotseling op t...
Ach, als je na thuiskomst in het donker eerst moet controler...
- Commerciële crèches blijven ontevre...
Wie controleert eigenlijk of die miljarden niet via adviesbu...
- Commerciële crèches blijven ontevre...
Men vergeet gemakkelijk dat kinderopvang ooit bedoeld was al...
- Zwaargewonde door steekpartij in Le...
Wat vaak vergeten wordt: zaterdagavond moet je als winkelmed...
Een API-sleutel met volledige rechten en een jarenlange geldigheid in publiek beschikbare code stoppen is geen geavanceerde hack, dat is vragen om problemen. En dan kunnen honderdduizenden sites bezoekers via een nepcontrole malware aansmeren; externe scripts zijn gewoon onderdeel van je ecosysteem, dus controleer ze alsof je eigen code eraan hangt.
“Basisbeveiliging” achteraf invoeren nadat honderdduizend sites als malwarekanon zijn gebruikt, is wel een heel creatieve manier om schadebeperking te noemen. En ondertussen mag de bezoeker zeker zelf maar raden welke Cloudflare-melding echt is.
Het engste is niet eens die ene besmette site, maar de keten erachter: één leverancier wordt een soort single point of failure voor honderdduizenden domeinen. Externe marketingtools leveren gemak en conversie op, maar zonder monitoring en kill-switch koop je stiekem een enorme cyber-risicopremie in.