Bezoekers worden doorgestuurd naar een andere site: redirect-hack verwijderen

• Ingelogde beheerders worden overgeslagen. Bent u ingelogd in WordPress, dan draait de kwaadaardige code niet. Sucuri zag in een campagne uit 2025 code die precies dat controleerde.
• Eén keer per bezoeker. Na de eerste doorverwijzing wordt een cookie gezet, zodat dezelfde bezoeker de tweede keer gewoon uw site ziet. Wie het wil nadoen, ziet niets.
• Alleen op mobiel. Sommige families kijken naar het type browser en sturen alleen telefoons door.
• Alleen via een zoekmachine. Wie uw adres intypt, komt goed uit. Wie via Google klikt, wordt doorgestuurd.

Dat verklaart waarom u op kantoor niets merkt en uw klant op de bank met de telefoon wel. Wilt u het zelf zien, gebruik dan een telefoon die niet op uw wifi zit, in een privévenster, en klik via een zoekresultaat. Ziet u het dan nog steeds niet, dan betekent dat nog niet dat er niets is.

Een hack herkent u aan een paar dingen. De bestemming is een site die u niet kent, vaak met een domeinnaam vol willekeurige letters. Het gebeurt niet altijd, maar soms. En het begon zonder dat iemand iets aan de site veranderde. Komt er ook nog een rode waarschuwing in de browser bij, dan heeft Google het al opgemerkt.

In het .htaccess-bestand

Op Apache-servers kunnen een paar extra regels in .htaccess bezoekers al doorsturen voordat WordPress zelfs maar start. Vaak staan ze tussen tientallen lege regels, zodat u ze bij het openen van het bestand niet ziet. Soms staat er een aangepast .htaccess-bestand in een submap zoals de uploadsmap.

In het thema of een plugin

Een paar regels in functions.php van het thema, of in een bestand van een plugin die verder gewoon werkt. In de genoemde Sucuri-analyse zat de code in functions.php. Ook nep-plugins met een geloofwaardige naam komen voor, net als bestanden in wp-content/mu-plugins, die WordPress altijd laadt en die niet in de gewone pluginlijst staan.

In de database

Een script dat aan honderden berichten is toegevoegd, een aangepaste instelling of een stukje in een widget. Een bestandsscan vindt dat niet. Hoe wij dat aanpakken, staat bij malware in de database van WordPress.

Buiten WordPress

Een extern script dat via uw site wordt geladen, een aangepaste DNS-instelling bij uw domein, of code die op serverniveau is toegevoegd. Zeldzamer, maar wij controleren het.

Daarom zoeken wij eerst hoe de aanvaller binnenkwam en welke achterdeuren hij achterliet. Pas daarna verwijderen wij de doorverwijzing zelf. In omgekeerde volgorde bent u sneller klaar, maar ook sneller weer terug bij af. Komt de hack bij u steeds terug, lees dan website wordt steeds opnieuw gehackt.

• Leg vast wat bezoekers zien. Vraag de klant die het meldde om een schermafbeelding met de adresbalk erop, en het tijdstip. Welk toestel, welke browser, via Google of direct.
• Kijk in Search Console of er een melding staat onder Beveiligingsproblemen. Zo ja, zie een melding in Search Console oplossen.
• Verwijder geen bestanden op goed geluk. U wist sporen die nodig zijn om de ingang te vinden, en u kunt de site breken.
• Pauzeer uw advertenties als u betaald verkeer naar de site stuurt. Anders betaalt u voor klikken die bij een ander eindigen.
• Wijzig het wachtwoord van uw hostingaccount vanaf een schone computer.

Wij dichten de ingang, vernieuwen wachtwoorden en beveiligingssleutels, en zetten waar nodig een herbeoordeling bij Google in. In de weken erna houden wij in de gaten of de doorverwijzing terugkomt. U krijgt na de eerste diagnose een vaste prijs, voordat wij beginnen. Wij werken alleen aan WordPress en WooCommerce, en zijn voor spoed 24/7 bereikbaar. Meer over onze werkwijze staat op de pagina over het herstellen van een gehackte website.