Maandag t/m vrijdag, 09:00 – 18:00 +31 970 1028 0205 WhatsApp
WebMaintorNederland
+31 970 1028 0205 Gratis websitecheck
Hackherstel · wat wij oplossen

Uw website verstuurt spam: mailscripts opsporen en stoppen

Uw hostingpartij meldt dat er spam vanaf uw site wordt verstuurd. Zo vindt u het mailscript of lek en stopt u de stroom.

Het begint vaak klein. Een klant zegt dat uw orderbevestiging niet aankomt. Uw inbox loopt vol met onbestelbare berichten aan adressen die u nooit heeft gemaild. En dan komt de mail van de hostingpartij: er gaan duizenden berichten vanaf uw account de deur uit, en het versturen van mail is geblokkeerd. Uw website verstuurt spam.

Dat is vervelend, en het heeft gevolgen die verder gaan dan de website. Als het IP-adres of uw domein op een blacklist komt, belanden ook uw gewone zakelijke mails in de spammap van klanten. Op deze pagina leest u waar het versturen vandaan komt, hoe u de bron vindt en in welke volgorde u het oplost.

  1. 01

    Hoe u merkt dat uw website spam verstuurt

    Een website die spam verstuurt, ziet er van buiten meestal gewoon uit. De signalen zitten elders:

    • Een stroom onbestelbare berichten (bounces) in de mailbox die als afzender voor de website is ingesteld.
    • Een melding van de hostingpartij over een te hoog aantal verzonden mails, of een blokkade op het versturen.
    • Formuliermeldingen en WooCommerce-mails die opeens niet meer aankomen.
    • Klanten die melden dat uw zakelijke mail in hun spammap terechtkomt.
    • Een vermelding van uw server of domein op een bekende blacklist.

    Let op: soms is de afzender helemaal niet uw website. Criminelen kunnen uw domeinnaam als afzender gebruiken zonder ooit bij u binnen te zijn geweest. Dat heet spoofing en vraagt een andere aanpak, die staat in uw domein beschermen tegen spoofing. Het verschil ziet u aan de headers van een bounce: is het bericht echt via uw server verstuurd, of via een server die u niet kent?

  2. 02

    Waar de spam vandaan komt

    Een verborgen mailscript

    De meest voorkomende oorzaak na een hack. De aanvaller zet een PHP-bestand op de server dat op afroep mail verstuurt. Zo'n script staat vaak in een map waar niemand kijkt, zoals de uploadsmap of de map van een oud thema, en heeft een saaie naam. Soms is de code in een bestaand plugin- of themabestand gezet. De inhoud is meestal versleuteld, zodat zoeken op een woord als "mail" weinig oplevert.

    Een misbruikt formulier

    Een contactformulier zonder goede controle kan worden misbruikt om berichten naar andere adressen te sturen, bijvoorbeeld via een functie "stuur mij een kopie". Dan is er technisch geen hack, maar wel een lek. Gewone formulierspam die alleen in uw eigen inbox landt, is iets anders; dat is lastig, maar geen hack.

    Gestolen inloggegevens van een mailbox

    Is het wachtwoord van een mailbox op uw domein uitgelekt, dan kan iemand daarmee via de mailserver versturen. De website zelf is dan schoon, maar het domein lijdt wel schade.

    Een buurman in hetzelfde account

    Staan er meerdere sites in één hostingaccount, dan kan de spam van een andere site komen. Voor de hostingpartij is het één account, dus de blokkade treft alles.

  3. 03

    Mailscripts opsporen

    Het zoeken begint bij de vraag wie de mail verstuurt. Veel hostingomgevingen, ook Plesk, kunnen per site bijhouden welk script de PHP-mailfunctie aanroept. Staat dat aan, dan wijst het log direct naar het bestand. Staat het niet aan, dan helpen de toegangslogs van de webserver: een bestand dat honderden keren per uur wordt aangeroepen met een POST-verzoek, terwijl het geen formulier is, valt snel op.

    Daarnaast vergelijkt u de bestanden met de originelen van WordPress, de plugins en het thema. PHP-bestanden in de uploadsmap horen er niet te staan. Ook de lijst met gebruikers en de mailwachtrij van de server zijn het bekijken waard: zolang er nog duizenden berichten in de wachtrij staan, gaat de verzending door, ook als het script al weg is.

  4. 04

    Wat u nu zelf al kunt doen

    1. Bewaar een paar bounces met volledige headers. Daaraan is te zien via welke server en vanaf welk script de mail ging.
    2. Vraag uw hostingpartij welke site of welk script volgens hen de bron is. Zij zien vaak meer dan u in het paneel.
    3. Wijzig de wachtwoorden van de mailboxen op uw domein, het hostingpaneel en de WordPress-beheerders, vanaf een schone computer.
    4. Schakel tijdelijk de functie "kopie naar afzender" in uw formulieren uit.
    5. Vraag nog geen verwijdering van blacklists aan. Zolang de spam niet echt gestopt is, heeft dat geen zin en kan het tegen u werken.

    Merkt u daarnaast dat de site doorstuurt, er vreemde pagina's in Google staan of Chrome rood kleurt, dan is er waarschijnlijk meer aan de hand dan alleen een mailscript. Kijk dan op website gehackt herstellen.

  5. 05

    Na het stoppen: reputatie en verzending herstellen

    Als het script weg is, de ingang dicht en de wachtrij leeg, komt het herstel van uw reputatie. Uw server of domein moet van de blacklists af, en de verzending moet zo ingericht zijn dat het niet opnieuw gebeurt. Dat laatste betekent: de website laat mail versturen via een geauthenticeerde SMTP-verbinding of een verzenddienst, en SPF, DKIM en DMARC staan goed. Hoe dat werkt, staat in e-mails van uw website belanden in spam. Het terugwinnen van het vertrouwen bij mailproviders kost vaak wat tijd; de stappen daarvoor leest u in uw e-mailreputatie herstellen.

  6. 06

    Zo stopt WebMaintor een spamstroom vanaf uw website

    Wij beginnen met de diagnose: welke site, welk script, welk lek. Eerst bewaren wij een kopie van de huidige staat, daarna zetten wij de verzending stil en ruimen wij de mailscripts, achterdeuren en onbekende gebruikers op, in de bestanden en in de database. Wij zoeken uit hoe het script erop kwam en dichten die ingang. Daarna vernieuwen wij wachtwoorden en sleutels, regelen wij de verwijdering van blacklists en het contact met de hostingpartij, en houden wij de verzending een tijd in de gaten.

    Wij werken alleen met WordPress en WooCommerce. Voor spoed zijn wij 24/7 bereikbaar via WhatsApp, telefoon en het spoedformulier. U krijgt na de eerste diagnose een vaste prijs, voordat wij beginnen. Neem contact op als uw hosting de mail al heeft geblokkeerd.

Meer over hackherstel

Andere onderwerpen

Traag door malware Uw site is opeens stroperig of de hosting meldt overbelasting, zonder dat u iets heeft veranderd. Soms zit er malware achter. Zo herkent u dat. Gehackt via plugin-lek Een bekend lek in een plugin is een van de gewoonste ingangen. Bijwerken alleen is niet genoeg: zo herstelt u de schade en dicht u het lek. Nep-captcha of nep-update Bezoekers zien op uw site een nep-controle of een nep-update die vraagt een opdracht te plakken. Zo herkent en verwijdert u deze hack. Ransomware op website Op uw site staat dat alles versleuteld is en dat u moet betalen. Vaak klopt dat maar half. Zo stelt u vast wat er echt aan de hand is. Meerdere sites besmet Staan er meerdere sites in één hostingaccount, dan springt een besmetting makkelijk over. Waarom u ze tegelijk moet aanpakken, en hoe. Gehackt zonder back-up Geen back-up, of alleen back-ups waar de besmetting al in zit. Dat is lastig, maar zelden het einde van uw website. Dit is er nog mogelijk. Alles over hackherstel Terug naar het overzicht
FAQ

Veelgestelde vragen

Mijn hostingpartij heeft het versturen van mail geblokkeerd. Hoe krijg ik dat terug?

Meestal heft de hostingpartij de blokkade op zodra u kunt aantonen dat de bron is gevonden en verwijderd. Vraag welke informatie zij daarvoor willen zien. Een korte uitleg van wat er is gevonden en wat er is gedicht, helpt.

Is spam vanaf mijn website een datalek?

Niet automatisch. Het wordt wel een vraag als de aanvaller ook bij persoonsgegevens kon, zoals klantgegevens in de database. Dan kan een melding bij de Autoriteit Persoonsgegevens nodig zijn. Laat u bij twijfel adviseren.

Waarom vindt een scanplugin het mailscript niet?

Mailscripts zijn vaak versleuteld of verstopt in bestaande bestanden, en sommige worden pas actief als ze van buitenaf worden aangeroepen. Een scan is een goed begin, maar vergelijken met de originele bestanden en de logs lezen vindt meer.

Nu gehackt? Wij helpen direct.

Vraag een gratis websitecheck aan. U ontvangt binnen één werkdag een helder rapport, zonder verplichtingen.

Gratis websitecheck +31 970 1028 0205
Reactie binnen 4 werkuren
WhatsApp