---
title: "Website gehackt: 7 echte voorbeelden [+ lessen]"
description: "Leer van 7 échte gehackte websites: van £20 miljoen boete tot €1 miljoen KNVB-losgeld. Gedocumenteerde cases (incl. 2 Nederlandse) om je site te beschermen."
canonical: https://www.keurigonline.nl/blog/website-gehackt-voorbeelden
last_modified: 2025-10-27
---

### Op deze pagina

[Blog](https://www.keurigonline.nl/blog) / [ Beveiliging ](https://www.keurigonline.nl/blog/categorie/beveiliging) · 13 januari 2026 · ~16 min lezen

# Website gehackt: 7 echte voorbeelden \[+ lessen\]

Leer van 7 échte gehackte websites: van £20 miljoen boete tot €1 miljoen KNVB-losgeld. Gedocumenteerde cases (incl. 2 Nederlandse) om je site te beschermen.

Geschreven door: Maarten Keizer

Deel dit artikel [ ](http://twitter.com/share?text=Website+gehackt%3A+7+echte+voorbeelden+%5B%2B+lessen%5D&url=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Fwebsite-gehackt-voorbeelden) [ ](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Fwebsite-gehackt-voorbeelden) [ ](mailto:?subject=Website+gehackt%3A+7+echte+voorbeelden+%5B%2B+lessen%5D&body=Bekijk+dit+artikel%3A+https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Fwebsite-gehackt-voorbeelden)

     Op deze pagina

   **Samenvatting: website gehackt voorbeelden**

- **7 gedocumenteerde hacks** met schade van €200K tot $100M+
- **Nederlandse cases:** KNVB (~€1M losgeld), Universiteit Maastricht (€200K)
- **Internationale cases:** British Airways (£20M boete), MGM Resorts ($100M+)
- **Elke hack was te voorkomen** met 2FA, updates binnen 48 uur, en phishing-training

Duizenden websites worden dagelijks gehackt. Alleen al op WordPressKeurigOnline zegt [WordPress](https://www.keurigonline.nl/begrippenlijst/wordpress)WordPress is een open-source contentmanagementsysteem (CMS) geschreven in PHP, waarmee je eenvoudig websites en blogs kunt bouwen en beheren. detecteert [Wordfence ](https://www.wordfence.com/threat-intel/) **meer dan 2.200 aanvallen per dag**. De schade? Gemiddeld **$4-5 miljoen per ransomware aanval** volgens [PurpleSec ](https://purplesec.us/learn/average-cost-of-ransomware-attacks/) en [IBM ](https://www.ibm.com/reports/data-breach). Maar achter elk van die cijfers zit een verhaal van een ondernemer die de volgende ochtend wakker werd en ontdekte dat zijn digitale business in puin lag.

Deze 7 voorbeelden zijn **gedocumenteerd en geverifieerd**. Ze komen uit officiële databronnen, nieuwsberichten en security rapporten van bedrijven als Wordfence, Chainalysis, NOS, RTL Nieuws en CNN Money. Ze laten zien wat er kan gebeuren als je website beveiliging niet serieus neemt, en vooral hoe je dit zelf voorkomt.

Duizenden websites worden dagelijks gehackt — deze 7 verhalen laten zien wat de gevolgen zijn **Let op:** Deze verhalen zijn confronterend

- Échte schade van €200.000 tot $100+ miljoen per aanval
- Maar elke hack was te voorkomen met basis security
- Leer van de fouten van anderen — voordat het jou overkomt

 ---

## \#1: British Airways — £20 miljoen GDPR-boete

**Het verhaal:** In augustus 2018 werd British Airways getroffen door een van de grootste [Magecart aanvallen ](https://en.wikipedia.org/wiki/Magecart) ooit. Hackers kregen toegang tot de website via **gecompromitteerde inloggegevens** en injecteerden slechts **22 regels malicious JavaScriptKeurigOnline zegt [JavaScript](https://www.keurigonline.nl/begrippenlijst/javascript)JavaScript is een programmeertaal die wordt gebruikt om interactieve en dynamische websites te maken. code** in de checkout pagina.

Die 22 regels code waren genoeg om **15 dagen lang elke betaling te onderscheppen**. Van 21 augustus tot 5 september 2018 werden alle creditcardgegevens, CVV-codes en persoonlijke informatie doorgestuurd naar een server van de hackers.

### De schade

De impact was catastrofaal volgens [officiële bronnen ](https://en.wikipedia.org/wiki/British_Airways_data_breach):

- **~420.000 klanten getroffen** — creditcards, CVV-codes, adressen, en wachtwoorden gestolen
- **£20 miljoen GDPR-boete** opgelegd door ICO (Information Commissioner's Office)
- **Oorspronkelijke boete: £183 miljoen** — later verlaagd vanwege COVID-19 impact op luchtvaartindustrie
- **15 dagen onopgemerkt** — de hack bleef wekenlang actief
- **22 regels code** — meer was niet nodig om honderduizenden klanten te compromitteren

British Airways kreeg een £20 miljoen GDPR-boete — oorspronkelijk £183 miljoen De aanval werd uitgevoerd door de beruchte [Magecart groep ](https://www.infosecurity-magazine.com/news/bas-magecart-breach-lands-it-183m/), die vergelijkbare aanvallen deed op Ticketmaster (40.000 klanten), Newegg en honderden andere e-commerce sites.

### De les

**Tip:** Implementeer Content Security Policy (CSP) headers om ongeauthoriseerde JavaScript te blokkeren. Dit had de British Airways hack kunnen voorkomen — 22 regels malicious code hadden dan niet kunnen draaien.

Gebruik [zero-trust security principes](https://www.csoonline.com/article/621741/what-is-zero-trust-a-model-for-more-effective-security.html) en begin met een goed geconfigureerd [SSL-certificaat](../../../ssl-certificaat) als eerste stap naar een veilige verbinding.

**Wil je voorkomen dat dit jou overkomt?** Lees onze complete gids: [12 stappen om je website waterdicht te beveiligen →](../../../blog/wordpress-beveiligen)

 ---

## \#2: MGM Resorts — $100+ miljoen ransomware schade

**Het verhaal:** In september 2023 werd MGM Resorts getroffen, een van de grootste casino en hotel ketens ter wereld, door een verwoestende ransomware aanval. De [Scattered Spider hacking groep ](https://www.chainalysis.com/blog/ransomware-2024/) kreeg toegang via een **social engineering attack** op een outsourced IT support medewerker.

De hackers belden gewoon de helpdesk, deden zich voor als een medewerker en **praatte zich binnen**. Geen technische exploit nodig, alleen manipulatie en menselijke fouten.

### De schade

Volgens [Fisher Phillips ](https://www.fisherphillips.com/en/news-insights/ransomware-costs-businesses-record-high-1-billion-in-2023.html) schat MGM de totale kosten op:

- **$100+ miljoen aan directe schade** — operationele verliezen, omzetderving, herstelkosten
- **~$10 miljoen aan consulting fees** — forensisch onderzoek, security consultants, cleanup
- **MGM betaalde GEEN losgeld** — ze kozen ervoor om systemen te herstellen in plaats van te betalen
- **Dagenlange systeem downtime** — slot machines, reserveringssystemen, en websites down
- **Reputatieschade** — wereldwijd nieuws over de hack

MGM Resorts verloor $100+ miljoen door een ransomware aanval via social engineering De aanval was onderdeel van een groter patroon: 2023 was het meest verwoestende jaar ooit voor ransomware, met bedrijven die voor het eerst **meer dan $1 miljard in losgeld** betaalden. De grootste enkele betaling was **$75 miljoen aan de Dark Angels groep** door een Fortune 50 bedrijf.

### De les

**Tip:** Train je team in security awareness. De duurste firewall ter wereld helpt niet als een medewerker hackers binnenlaat via social engineering of phishing.

Implementeer **social engineering training**, gebruik [phishing simulaties](https://www.knowbe4.com/) en vereis **multi-factor authenticatie voor alle systemen**, vooral helpdesk en admin accounts.

En maak dagelijkse offline backups: MGM kon herstellen zonder te betalen omdat ze backups hadden. Veel anderen hebben die luxe niet. Kies voor [hosting met automatische backups](../../../webhosting) zodat je altijd een schone versie hebt om naar terug te keren.

 ---

## \#3: Kleine webshop — 50% traffic verlies door Google blacklist

**Het verhaal:** Margo Schlossberg runde een succesvolle online handtas business in Washington D.C. met stabiele traffic en verkoop. In september 2013 werd haar site gehackt toen criminelen haar **hosting wachtwoord kraakten**. Ze injecteerden malware die bezoekers redirected naar spam sites.

Het ergste? Ze merkte het pas toen Google haar site flagde met **"This site may be hacked"** en haar traffic **in één maand met 50% daalde**. Het gebeurde midden in het **holiday shopping seizoen**, het meest kritieke moment van het jaar volgens [CNN Money ](https://money.cnn.com/2013/11/04/smallbusiness/google-blacklist/index.html).

### De schade

- **50% traffic verlies** in één maand — van stabiele sales naar een dramatische daling
- **Kritieke timing:** gebeurde tijdens het belangrijkste verkoopseizoen (Q4)
- **Google waarschuwing** schrikt 95% van potentiële klanten af
- **Herstel duurde weken** — alle malware verwijderen, review proces doorlopen
- **Reputatieschade** bij terugkerende klanten die de waarschuwing zagen

Een Google blacklistKeurigOnline zegt [Blacklist](https://www.keurigonline.nl/begrippenlijst/blacklist)Een blacklist is een lijst met geblokkeerde IP-adressen, domeinnamen of e-mailadressen die als spam of onveilig worden beschouwd. waarschuwing = directe traffic dood — 95% van bezoekers klikt niet door Volgens [Quttera research ](https://blog.quttera.com/post/google-blacklist-cost-and-prevention) flagged Google **10.000 websites dagelijks** voor malware. Als je business afhankelijk is van online transacties betekent een blacklist dat je primaire sales channel effectief wordt afgesloten, soms met **duizenden euro's per dag** aan verlies.

### De les

**Monitor je site dagelijks met Google Search Console.** Registreer je site bij [Google Search Console ](https://search.google.com/search-console) om **direct notifications te krijgen** als Google malware detecteert, idealiter *voordat* je site de blacklist raakt. En gebruik sterke, unieke wachtwoorden voor hosting accounts met een [password manager ](https://bitwarden.com/).

 ---

## \#4: WordPress supply chain — 5 plugins besmet

**Het verhaal:** In juni 2024 werd de **WordPress.org plugin repository zelf gehackt** in een geraffineerde supply chain attack. Hackers kregen toegang tot de accounts van plugin ontwikkelaars en injecteerden malicious code in **5 populaire plugins** die door duizenden sites werden gebruikt, volgens [Wordfence ](https://www.wordfence.com/blog/2024/06/supply-chain-attack-on-wordpress-org-plugins-leads-to-5-maliciously-compromised-wordpress-plugins/).

De geïnfecteerde plugins waren **Social Warfare** en 4 andere. De malicious code creëerde automatisch **nieuwe admin accounts op geïnfecteerde sites** en stuurde de login credentials terug naar de hackers.

### De schade

- **5 plugins gecompromitteerd** op de officiële WordPress.org repository
- **Duizenden sites geïnfecteerd** die auto-updates enabled hadden
- **Malicious admin accounts** automatisch aangemaakt zonder dat eigenaren het merkten
- **Credentials exfiltratie** — login gegevens naar attacker-controlled servers gestuurd
- **Verborgen backdoors** geïnstalleerd voor toekomstige toegang
- **Malicious JavaScriptKeurigOnline zegt [JavaScript](https://www.keurigonline.nl/begrippenlijst/javascript)JavaScript is een programmeertaal die wordt gebruikt om interactieve en dynamische websites te maken.** geïnjecteerd in website footers

Supply chain attacks targeten de bron — zelfs officiële repositories zijn niet immuun Dit is het gevaar van supply chain attacks. Je installeert een plugin van een **officiële, vertrouwde bron**. En krijgt alsnog malware binnen. Het probleem verspreidt zich exponentieel. Omdat duizenden sites dezelfde gecompromitteerde plugin gebruiken.

### De les

**Review je WordPress Users lijst wekelijks.** Log in op je WordPress admin. Ga naar Users. En check of je alle accounts herkent. Verwijder **onmiddellijk** onbekende admin accounts. Gebruik security plugins zoals [Wordfence ](https://wordpress.org/plugins/wordfence/). Die je waarschuwen bij nieuwe user creatie. Onze [WordPress beveiligingsgids](../../../blog/wordpress-beveiligen) legt uit hoe je Wordfence correct configureert.

En overweeg om auto-updates uit te zetten voor plugins. Zodat je updates handmatig kan reviewen. Voordat je ze installeert. Het is een trade-off tussen security en convenience. Maar voor kritieke sites kan het de moeite waard zijn.

 ---

## \#5: 149.252 WordPress sites in 60 dagen

**Het verhaal:** Tussen mei en juni 2023 detecteerde [We Watch Your Website ](https://wewatchyourwebsite.com/how-we-identified-nearly-150k-hacked-wordpress-sites-in-60-days/) een **mass infection campaign** die 149.252 WordPress websites infecteerde in slechts 60 dagen. Dat zijn **meer dan 2.400 sites per dag**. Dit benadrukt waarom de keuze voor [betrouwbare WordPress hosting](../../../webhosting/wordpress-webhosting) met proactieve security monitoring essentieel is.

De aanval gebruikte twee entry points: een vulnerability in de **Elementor Essential Addons plugin** en **gestolen admin credentials** van eerdere data breaches. Hackers scanden het internet systematisch naar kwetsbare sites en automatiseerden de infecties.

### De schade

De scale van deze aanval is beangstigend:

- **149.252 WordPress sites geïnfecteerd** in slechts 60 dagen (mei-juni 2023)
- **2.400+ sites per dag gehackt** — volledig geautomatiseerd
- **Elementor vulnerability** als primary attack vector
- **Gestolen credentials** van oude data breaches hergebruikt
- **Malware varianten** — verschillende payloads voor verschillende doelen
- **Moeilijk te detecteren** — veel eigenaren merkten het dagen of weken niet

Mass infections targeten duizenden sites tegelijk — geautomatiseerde hacking op industriële schaal Dit laat de schaal van het probleem zien: het zijn geen individuele hackers die manueel sites targeten, maar **geautomatiseerde botnets** die het hele internet scannen op kwetsbaarheden. Als jouw site een bekende vulnerability heeft wordt je **automatisch** gevonden en geïnfecteerd.

### De les

**Update WordPress, themes, en plugins binnen 48 uur na release.** Security updates zijn vaak urgent omdat de vulnerability publiek bekend wordt zodra de patch uitkomt. Hackers creëren binnen **uren exploits** voor nieuwe bekende vulnerabilities. Elke dag dat je wacht is een dag extra risico.

Gebruik [automatic update managers ](https://wordpress.org/plugins/easy-updates-manager/) voor security patches, maar test updates eerst op een staging environment voor grote changes.

 ---

## \#6: Universiteit Maastricht — €200.000 losgeld betaald

**Het verhaal:** Op 23 december 2019, vlak voor kerst, werd de [Universiteit Maastricht ](https://nos.nl/l/2321732) slachtoffer van een verwoestende ransomware-aanval. Het begon met **twee phishingKeurigOnline zegt [Phishing](https://www.keurigonline.nl/begrippenlijst/phishing)Phishing is een cyberaanval waarbij criminelen zich voordoen als betrouwbare organisaties om gevoelige informatie te stelen. -mails** die "nauwelijks van echt te onderscheiden waren". Medewerkers klikten op de links, waardoor hackers toegang kregen tot één laptop.

Vanuit die ene laptop baanden de aanvallers zich **ruim twee maanden lang** een weg door de systemen van de universiteit. Op kerstavond sloegen ze toe en versleutelden in één klap **267 servers**.

### De schade

De impact was enorm volgens [EenVandaag ](https://eenvandaag.avrotros.nl/artikelen/de-nachtmerrie-van-ransomware-hoe-hackers-afkopen-voor-de-universiteit-van-maastricht-in-2019-de-enige-oplossing-was-129399):

- **267 servers versleuteld** — inclusief alle back-upsystemen
- **25.000 studenten en medewerkers getroffen** — geen toegang tot wetenschappelijke data, bibliotheek of e-mail
- **€200.000 losgeld betaald** (30 Bitcoin) — de universiteit zag geen andere uitweg
- **2+ maanden onopgemerkt** — hackers zaten maandenlang in het netwerk
- **Phishing als entry point** — slechts twee e-mails waren genoeg

Universiteit Maastricht betaalde €200.000 losgeld — twee phishing-mails waren de entry point Vicevoorzitter Nick Bos noemde het "zwichten voor criminelen" maar zag geen alternatief: "Dat is echt een hele moeilijke afweging geweest."

### De verrassende afloop

In 2022 kreeg de universiteit het losgeld **met winst terug**. Het [Openbaar Ministerie ](https://www.om.nl/actueel/nieuws/2022/07/02/succes-in-onderzoek-cyberaanval-universiteit-maastricht) traceerde de 30 Bitcoin naar een Oekraïense witwasser. Door de gestegen Bitcoin-koers was de €200.000 inmiddels **€500.000 waard**. De universiteit besteedt het geld aan een fonds voor noodlijdende studenten.

### De les

**Phishing is de #1 entry point voor ransomware.** Twee overtuigende e-mails waren genoeg om een complete universiteit plat te leggen. Train je team om verdachte e-mails te herkennen, implementeer **e-mail authenticatie (SPF, DKIMKeurigOnline zegt [DKIM](https://www.keurigonline.nl/begrippenlijst/dkim)DKIM beveiligt e-mails met een digitale handtekening om spam tegen te gaan. , DMARCKeurigOnline zegt [DMARC](https://www.keurigonline.nl/begrippenlijst/dmarc)DMARC is een e-mailbeveiligingsprotocol dat domeinen beschermt tegen phishing en spoofing via SPF en DKIM. )** en zorg dat back-ups **offline** worden bewaard — anders worden die ook versleuteld.

En onthoud: ook al krijg je het losgeld terug, de weken stress, reputatieschade en operationele chaos zijn niet terug te draaien.

 ---

## \#7: KNVB — €1 miljoen losgeld voor Oranje-data

**Het verhaal:** In april 2023 werd de [KNVB slachtoffer van een ransomware-aanval ](https://nos.nl/l/2490181) door de beruchte Russische hackersgroep LockBit. Het begon met één medewerker die in een **phishing-mail trapte**. Binnen enkele dagen hadden de hackers toegang tot het volledige netwerk van de Nederlandse voetbalbond.

LockBit stal **meer dan 300 gigabyte aan data** — ruim 230.000 bestanden. En dreigde alles te publiceren op het darkweb.

### De schade

De gestolen data was explosief volgens [RTL Nieuws ](https://www.rtlnieuws.nl/nieuws/nederland/artikel/5378580/knvb-ransomware-cyberaanval-lockbit-vertrouwelijke-data-dark-web):

- **Paspoorten en contracten van Oranje-spelers** — salarissen, persoonlijke gegevens
- **Tuchtzaken en disciplinaire dossiers** — gevoelige interne informatie
- **FIFA-communicatie** — vertrouwelijke correspondentie met de internationale voetbalbond
- **Financiële documenten** — boekhouding, betalingen, budgetten
- **~€1 miljoen losgeld betaald** — de KNVB zag geen andere optie om publicatie te voorkomen

De KNVB betaalde ~€1 miljoen om publicatie van Oranje-data te voorkomen Na de aanval moest de KNVB hun **volledige digitale infrastructuur herbouwen**: nieuwe laptops voor alle medewerkers, nieuwe beveiligingspasjes, camera's, wifi-systemen, en zelfs de VAR-verbindingen en tracking-systemen van het Nederlands elftal.

### De les

**Één phishingKeurigOnline zegt [Phishing](https://www.keurigonline.nl/begrippenlijst/phishing)Phishing is een cyberaanval waarbij criminelen zich voordoen als betrouwbare organisaties om gevoelige informatie te stelen. -mail kan je organisatie miljoenen kosten.** De KNVB-hack toont hoe zelfs grote organisaties met budgetten voor security kwetsbaar zijn voor menselijke fouten. Implementeer **verplichte security awareness training** voor alle medewerkers, gebruik **e-mail filtering** die verdachte links blokkeert, en zorg dat gevoelige data **extra versleuteld** is — zelfs als hackers binnenkomen.

*Positieve noot:* LockBit, de hackersgroep achter deze aanval, werd in februari 2024 [grotendeels opgerold ](https://www.security.nl/posting/809885/KNVB+betaalde+criminelen+losgeld+voor+niet+publiceren+gestolen+gegevens) door internationale politiediensten.

 ---

## Herken je een hack: 5 waarschuwingssignalen

Vraag je je af of jouw website gehackt is? De meeste website-eigenaren ontdekken een hack pas dagen of weken later. Hoe eerder je het detecteert, hoe kleiner de schade. Let op deze signalen:

1. **Google waarschuwing** — "Deze site is mogelijk gehackt" of "Deze site kan schadelijk zijn" in zoekresultaten
2. **Vreemde redirects** — bezoekers worden doorgestuurd naar spam, casino of pharma sites
3. **Onbekende admin accounts** — nieuwe WordPress gebruikers die je niet hebt aangemaakt
4. **Plotselinge traagheid** — je site is opeens veel trager door malware of crypto mining scripts
5. **Hosting provider melding** — je ontvangt een e-mail over malware detectie of je site is offline gezet

**Herken je één of meer van deze signalen?** Handel direct:

- Wijzig alle wachtwoorden (WordPress, hosting, FTPKeurigOnline zegt [FTP](https://www.keurigonline.nl/begrippenlijst/ftp)FTP (File Transfer Protocol) is een protocol voor het overdragen van bestanden tussen computers via een netwerk. , databaseKeurigOnline zegt [Database](https://www.keurigonline.nl/begrippenlijst/database)Een database is een georganiseerde verzameling gegevens die elektronisch wordt opgeslagen en beheerd. )
- Scan je site met [Sucuri SiteCheck ](https://sitecheck.sucuri.net/) (gratis)
- Contacteer je [hosting provider](../../../webhosting) voor ondersteuning
- Herstel een schone backupKeurigOnline zegt [Backup](https://www.keurigonline.nl/begrippenlijst/backup)Een backup is een reservekopie van digitale gegevens die je kunt terugzetten bij dataverlies of storingen. van vóór de infectie

Wil je je site structureel beveiligen zodat dit niet (opnieuw) gebeurt? Lees onze complete [WordPress beveiligingsgids met 12 praktische stappen](../../../blog/wordpress-beveiligen).

 ---

## Hoe voorkom je dat dit jou overkomt?

Deze 7 verhalen zijn extreem, maar ze gebeuren *dagelijks*. Het goede nieuws? Elk van deze hacks was 100% te voorkomen met basis security maatregelen. Hier is je quick checklist.

**Website beveiligen in 7 stappen**

1. **Activeer tweestapsverificatie (2FA)** — op je WordPress admin login met [Two-Factor](https://wordpress.org/plugins/two-factor/) of [Google Authenticator](https://wordpress.org/plugins/google-authenticator/)
2. **Update binnen 48 uur** — WordPress, plugins en themes na security releases (vulnerabilities worden snel geëxploiteerd)
3. **Installeer een security plugin** — [Wordfence](https://wordpress.org/plugins/wordfence/), [All In One WP Security](https://wordpress.org/plugins/all-in-one-wp-security-and-firewall/), of [iThemes Security](https://www.ithemes.com/security/)
4. **Automatische dagelijkse backups** — naar externe opslag met [UpdraftPlus](https://wordpress.org/plugins/updraftplus/) → Google Drive/Dropbox
5. **Implementeer CSP headers** — blokkeert ongeauthoriseerde JavaScript (had British Airways kunnen beschermen)
6. **Monitor je Users lijst wekelijks** — verwijder onbekende admin accounts direct
7. **Registreer bij Google Search Console** — krijg direct notificaties als Google malware detecteert

**Wil je de volledige roadmap?** We hebben een complete gids geschreven met 12 concrete stappen, inclusief welke security plugins je moet gebruiken, hoe je SSLKeurigOnline zegt [SSL](https://www.keurigonline.nl/begrippenlijst/ssl)SSL (Secure Sockets Layer) is een beveiligingsprotocol voor versleutelde internetverbindingen. configureert en hoe je je WordPress hardens tegen brute force attacks.

### Bescherm je website vandaag nog

Leer exact hoe je je website waterdicht maakt in onze complete 10.000-woorden gids

[ Lees de complete beveiligingsgids → ](../../../blog/wordpress-beveiligen)

 ---

## Veelgestelde vragen over gehackte websites

### Hoe weet ik of mijn website gehackt is?

Er zijn 5 duidelijke signalen:

1. Google toont "Deze site is mogelijk gehackt" in zoekresultaten
2. Bezoekers worden doorgestuurd naar spam of casino sites
3. Er staan onbekende admin accounts in je WordPressKeurigOnline zegt [WordPress](https://www.keurigonline.nl/begrippenlijst/wordpress)WordPress is een open-source contentmanagementsysteem (CMS) geschreven in PHP, waarmee je eenvoudig websites en blogs kunt bouwen en beheren.
4. Je site is plotseling veel trager door malware of crypto mining scripts
5. Je hosting provider stuurt een melding over malware detectie

Controleer direct je WordPress Users lijst en scan je site met [Sucuri SiteCheck](https://sitecheck.sucuri.net/) (gratis).

### Wat kost een gehackte website aan schade?

De schade varieert sterk:

- **Gemiddeld:** $4-5 miljoen per ransomware-aanval (IBM)
- **Universiteit Maastricht:** €200.000 losgeld
- **KNVB:** ~€1 miljoen losgeld
- **British Airways:** £20 miljoen GDPR-boete

Daarnaast komen kosten voor herstel, reputatieschade en omzetverlies.

### Hoe kan ik mijn website beschermen tegen hackers?

Bescherm je website met deze 7 essentiële maatregelen:

1. Activeer tweestapsverificatie (2FAKeurigOnline zegt [2FA](https://www.keurigonline.nl/begrippenlijst/2fa)2FA (tweefactorauthenticatie) is een beveiligingsmethode die naast je wachtwoord een tweede verificatie vereist. ) op je admin login
2. Update WordPress, plugins en themes binnen 48 uur na security releases
3. Installeer een security plugin zoals Wordfence
4. Maak dagelijkse automatische backups naar externe opslag
5. Implementeer Content Security Policy headers
6. Controleer wekelijks je WordPress Users lijst op onbekende accounts
7. Registreer je site bij Google Search Console voor malware-notificaties

### Moet ik losgeld betalen bij ransomware?

Het betalen van losgeld wordt afgeraden door overheid en experts, maar is niet verboden in Nederland. De realiteit is complex: Universiteit Maastricht en KNVB betaalden wel (€200.000 en ~€1 miljoen), terwijl MGM Resorts en MediaMarkt niet betaalden en systemen via backups herstelden. De beste bescherming is preventie: dagelijkse offline backups zorgen dat je kunt herstellen zonder te betalen. Als je wel betaalt, is er geen garantie dat criminelen hun woord houden.

### Hoe lang duurt het om een gehackte website te herstellen?

Hersteltijd hangt af van de situatie:

- **Met schone backup:** binnen uren
- **Gemiddeld:** 1-4 weken
- **Ransomware zonder backupKeurigOnline zegt [Backup](https://www.keurigonline.nl/begrippenlijst/backup)Een backup is een reservekopie van digitale gegevens die je kunt terugzetten bij dataverlies of storingen. :** maanden
- **Google blacklist-review:** extra dagen tot weken

Tip: test regelmatig of je backups daadwerkelijk werken.

### Wat is phishing en waarom is het zo gevaarlijk?

Phishing is een aanvalstechniek waarbij hackers zich voordoen als betrouwbare partij om inloggegevens te krijgen. Het is de #1 entry point voor ransomware:

- **Universiteit Maastricht:** 2 phishing-mails → 267 servers versleuteld
- **KNVB:** 1 phishing-mail → 300GB data gestolen

Bescherming: security awareness training en e-mail authenticatie (SPF, DKIMKeurigOnline zegt [DKIM](https://www.keurigonline.nl/begrippenlijst/dkim)DKIM beveiligt e-mails met een digitale handtekening om spam tegen te gaan. , DMARCKeurigOnline zegt [DMARC](https://www.keurigonline.nl/begrippenlijst/dmarc)DMARC is een e-mailbeveiligingsprotocol dat domeinen beschermt tegen phishing en spoofing via SPF en DKIM. ).

 ---

## Conclusie: leer van echte gedocumenteerde hacks

Deze 7 voorbeelden zijn geen fictie. Het zijn **gedocumenteerde, geverifieerde hacks**. Uit officiële bronnen.

- **British Airways:** £20 miljoen GDPR-boete na ~420.000 gestolen klantgegevens
- **MGM Resorts:** $100+ miljoen schade door ransomware via social engineering
- **Margo Schlossberg:** 50% traffic verlies door Google blacklist tijdens holiday season
- **WordPress.org:** Supply chain attack compromitteert 5 plugins op officiële repository
- **Mass infection:** 149.252 WordPress sites gehackt in 60 dagen
- **Universiteit Maastricht:** €200.000 losgeld betaald na phishing-aanval — later teruggekregen met winst
- **KNVB:** ~€1 miljoen losgeld betaald om Oranje-data te beschermen — LockBit later opgerold

Het ergste? **Elk van deze hacks was te voorkomen.** British Airways had CSP headers kunnen implementeren, MGM had social engineering training kunnen geven, de kleine webshop had sterke wachtwoorden kunnen gebruiken, WordPress eigenaren hadden tijdig kunnen updaten, en zowel de Universiteit Maastricht als de KNVB hadden phishingKeurigOnline zegt [Phishing](https://www.keurigonline.nl/begrippenlijst/phishing)Phishing is een cyberaanval waarbij criminelen zich voordoen als betrouwbare organisaties om gevoelige informatie te stelen. -awareness training kunnen geven.

Je hoeft geen security expert te zijn om je website te beschermen. Je hebt alleen de juiste tools nodig, wat basis kennis en 30 minuten per maand. Die investering is niets vergeleken met wat een hack je kan kosten.

**Actie stappen voor vandaag:**

- Installeer een security plugin ([Wordfence ](https://wordpress.org/plugins/wordfence/) is gratis)
- Activeer 2FAKeurigOnline zegt [2FA](https://www.keurigonline.nl/begrippenlijst/2fa)2FA (tweefactorauthenticatie) is een beveiligingsmethode die naast je wachtwoord een tweede verificatie vereist. op je WordPress admin
- Zet automatische backups aan ([UpdraftPlus ](https://wordpress.org/plugins/updraftplus/) free version)
- Check je WordPress Users lijst voor onbekende accounts
- Update alle plugins binnen 48 uur na security releases

Die 30 minuten vandaag kunnen je miljoenen aan schade voorkomen. Weken stress. En het verlies van je business. De keuze is simpel.

**Next step:** [Bekijk de volledige security gids met 12 concrete stappen →](../../../blog/wordpress-beveiligen)

 ---

## Bronnen en referenties

Dit artikel is gebaseerd op gedocumenteerde hacks en officiële security rapporten.

1. **British Airways Data Breach (2018)** - [Wikipedia: British Airways data breach](https://en.wikipedia.org/wiki/British_Airways_data_breach): ~380.000-420.000 klanten getroffen, £20 miljoen GDPR boete
2. **British Airways GDPR Fine** - [Infosecurity Magazine: BA's Magecart Breach Lands £183m GDPR Fine](https://www.infosecurity-magazine.com/news/bas-magecart-breach-lands-it-183m/): Details over de aanval en boete reductie
3. **MGM Resorts Ransomware (2023)** - [Chainalysis: Ransomware Hit $1 Billion in 2023](https://www.chainalysis.com/blog/ransomware-2024/): MGM's $100M+ schade door Scattered Spider
4. **2023 Ransomware Statistics** - [Fisher Phillips: Ransomware Costs Record-High $1 Billion](https://www.fisherphillips.com/en/news-insights/ransomware-costs-businesses-record-high-1-billion-in-2023.html): $75M grootste betaling, $1B totaal
5. **Average Ransomware Costs** - [PurpleSec: Average Cost Of Ransomware Attacks](https://purplesec.us/learn/average-cost-of-ransomware-attacks/) en [IBM Cost of a Data Breach Report](https://www.ibm.com/reports/data-breach): $4-5M gemiddelde kosten per aanval
6. **Google Blacklist Case Study** - [CNN Money: Small businesses beware Google blacklist](https://money.cnn.com/2013/11/04/smallbusiness/google-blacklist/index.html): Margo Schlossberg's 50% traffic verlies
7. **Google BlacklistKeurigOnline zegt [Blacklist](https://www.keurigonline.nl/begrippenlijst/blacklist)Een blacklist is een lijst met geblokkeerde IP-adressen, domeinnamen of e-mailadressen die als spam of onveilig worden beschouwd. Statistics** - [Quttera: The Real Cost of Getting Blacklisted by Google](https://blog.quttera.com/post/google-blacklist-cost-and-prevention): 10.000 sites dagelijks geflaged
8. **WordPress Supply Chain Attack (2024)** - [Wordfence: Supply Chain Attack on WordPress.org Plugins](https://www.wordfence.com/blog/2024/06/supply-chain-attack-on-wordpress-org-plugins-leads-to-5-maliciously-compromised-wordpress-plugins/): 5 plugins gecompromitteerd, admin accounts aangemaakt
9. **Mass WordPress Infection (2023)** - [We Watch Your Website: 150K Hacked WordPress Sites in 60 Days](https://wewatchyourwebsite.com/how-we-identified-nearly-150k-hacked-wordpress-sites-in-60-days/): 149.252 sites geïnfecteerd mei-juni 2023
10. **Wordfence Threat Intelligence** - [Wordfence: WordPress Threat Intelligence](https://www.wordfence.com/threat-intel/): Duizenden WordPressKeurigOnline zegt [WordPress](https://www.keurigonline.nl/begrippenlijst/wordpress)WordPress is een open-source contentmanagementsysteem (CMS) geschreven in PHP, waarmee je eenvoudig websites en blogs kunt bouwen en beheren. aanvallen per dag gedetecteerd
11. **Universiteit Maastricht Ransomware (2019)** - [NOS: Hackers Universiteit Maastricht zaten maanden in netwerk; 200.000 euro betaald](https://nos.nl/l/2321732): 267 servers versleuteld, €200.000 losgeld
12. **UM Losgeld Teruggekregen** - [Openbaar Ministerie: Succes in onderzoek cyberaanval Universiteit Maastricht](https://www.om.nl/actueel/nieuws/2022/07/02/succes-in-onderzoek-cyberaanval-universiteit-maastricht): Bitcoin teruggevonden, nu €500.000 waard
13. **KNVB Ransomware (2023)** - [NOS: KNVB betaalt losgeld aan hackers om vertrouwelijke gegevens te beschermen](https://nos.nl/l/2490181): ~€1 miljoen aan LockBit betaald
14. **KNVB Gestolen Data** - [RTL Nieuws: Beruchte ransomwaregroep dreigt vertrouwelijke documenten KNVB te lekken](https://www.rtlnieuws.nl/nieuws/nederland/artikel/5378580/knvb-ransomware-cyberaanval-lockbit-vertrouwelijke-data-dark-web): 300GB data incl. Oranje-contracten en paspoorten

**Verificatie:** Alle case studies in dit artikel zijn gedocumenteerd in officiële bronnen van security researchers, nieuwsorganisaties en bedrijfsrapporten. Cijfers zijn geverifieerd via meerdere bronnen waar mogelijk. Links gecontroleerd op 4 december 2024.

Deel dit artikel:

[ ](https://twitter.com/share?text=Website+gehackt%3A+7+echte+voorbeelden+%5B%2B+lessen%5D&url=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Fwebsite-gehackt-voorbeelden "Delen op Twitter") [ ](https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Fwebsite-gehackt-voorbeelden "Delen op Facebook") [ ](whatsapp://send?text=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Fwebsite-gehackt-voorbeelden "Delen op WhatsApp") [ ](http://www.linkedin.com/shareArticle?mini=true&url=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Fwebsite-gehackt-voorbeelden&title=Website+gehackt%3A+7+echte+voorbeelden+%5B%2B+lessen%5D "Delen op LinkedIn") [ ](mailto:?subject=Website+gehackt%3A+7+echte+voorbeelden+%5B%2B+lessen%5D&body=Bekijk+dit+artikel%3A+https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Fwebsite-gehackt-voorbeelden "Versturen via email")

     De link is gekopieerd naar je klembord!

- Beveiliging 21 Jul

    ### WordPress CVE-2026-63030 beveiligen: patch nu (wp2shell)

     Kritiek WordPress-lek CVE-2026-63030 (wp2shell) wordt actief misbruikt. Ontdek of je kwetsbaar bent en patch je site in 5 stappen, inclusief noodmaatregel.

     Pablo Cleij
- Beveiliging 7 Jul

    ### WordPress plugins updaten tegen kwetsbaarheden (2026)

     In 2026 draait 1 op de 2 WordPress-sites met een lek plugin. Zo update je plugins tegen kwetsbaarheden en voorkom je een hack na Kirki, Everest Forms.

     Pablo Cleij
- Beveiliging 2 Jul

    ### HSTS-header inschakelen op gedeelde hosting (2026)

     Activeer HSTS-header op gedeelde hosting via .htaccess. Sluit de SSL-stripping gap, haal 100% op Internet.nl en volg het stapsgewijze rollout-plan.

     Pablo Cleij