AP: Veel meldingen van datalekken door gehackte WordPress-sites

Precies. Een plugin vergeten is genoeg, maar daarna blijven beheeraccounts, API-sleutels en ingelogde sessies vaak gewoon bruikbaar. Hebben we vaker gezien: site weer online, lek nog steeds open.

Dat onderscheid tussen WordPress-kern en plug-ins is technisch relevant, maar voor de gedupeerde maakt het weinig verschil wie de deur heeft laten openstaan. Bij een incident dat ik ooit voorbij zag komen bleek de site wel netjes bijgewerkt, alleen draaide er nog een oude plug-in met beheerdersrechten; na patchen begon het echte werk pas met wachtwoorden, sessies en logs controleren.

Precies dit zie ik bij kleine ondernemers: één keer een website laten bouwen en daarna maanden niet meer naar updates of plug-ins kijken. Maar juridisch is “ik wist het niet” geen vrijbrief; wie persoonsgegevens verzamelt, moet ook kunnen uitleggen hoe die worden beveiligd en wat er na een hack is gedaan. Praktische hulp is hard nodig, maar verantwoordelijkheid uitbesteden aan een webbouwer werkt niet automatisch.

Precies dit!!! Bij een klant zag ik ooit een verouderde WordPress-plug-in maandenlang openstaan omdat niemand wist wie het onderhoud deed… en na een hack waren ineens klantnamen en afspraken weg. Kleine ondernemers kunnen die beveiliging vaak niet zelf bijhouden, terwijl boetes achteraf wél meteen klaarstaan — daar verdient vooral de cybersecurity-industrie aan, kijk zelf maar!!!