Betaalpagina van uw webshop gekaapt: skimmer verwijderen

• Een nepformulier. Op uw afrekenpagina verschijnt een extra veld voor kaartnummer, vervaldatum en CVC, dat er netjes uitziet. De klant vult het in, de gegevens gaan naar de aanvaller, en daarna wordt de klant gewoon naar de echte betaalpagina gestuurd. Of krijgt een foutmelding en betaalt dan alsnog via iDEAL.
• Meekijken met velden. Een script leest mee wat er in de velden op uw checkout wordt getypt: naam, adres, telefoonnummer, e-mail, soms meer.

Beveiligingsbedrijf Sucuri beschreef in 2024 een geval waarin de skimmer niet in een bestand stond, maar in een instelling van een plugin voor eigen code-fragmenten, opgeslagen in de database. Het nepformulier werd zo aan het factuurformulier van WooCommerce toegevoegd. Een scan van alleen de bestanden had niets gevonden.

• Klanten melden misbruik van hun kaart na een bestelling bij u, zeker als het er meerdere zijn.
• De checkout vraagt om kaartgegevens terwijl u dat zelf nooit heeft ingesteld, of het formulier ziet er net anders uit dan anders.
• Klanten krijgen een foutmelding bij de eerste poging en betalen pas bij de tweede.
• Uw betaalprovider of bank neemt contact op over een patroon van fraude bij uw klanten.
• In de broncode van de afrekenpagina staat een script van een domein dat u niet kent.

Ook hier geldt dat de code zich vaak verstopt voor beheerders. Als ingelogde beheerder ziet u de normale checkout, een klant ziet iets anders. Test daarom uitgelogd, in een privévenster, liefst op een ander toestel.

• In de database: in instellingen van plugins, in widgets met eigen HTML, in de instellingen van een plugin voor scripts in de header of footer.
• In thema- of pluginbestanden, vaak midden in een bestand dat verder normaal werkt.
• In een JavaScript-bestand dat al bij uw site hoort, waar een paar regels aan zijn toegevoegd.
• In een extern script, zoals een chat- of statistiektool, waarvan het adres is aangepast.

Daarom kijken wij naar wat er werkelijk in de browser van een klant wordt geladen, en dus verder dan de bestanden op de server. Hoe wij de database doorzoeken, staat bij malware in de database van WordPress.

Neem ook contact op met uw betaalprovider. Die kan meekijken naar verdachte transacties en weet wat u verder moet doen. De kaartindustrie heeft met de norm PCI DSS sinds 31 maart 2025 eisen voor scripts op betaalpagina's, zoals een overzicht van welke scripts er draaien en controle op wijzigingen. Welke eisen voor uw shop gelden, hangt af van hoe uw betaling is ingericht. Vraag dat na bij uw betaalprovider.

Hoe u klanten informeert zonder paniek te zaaien, leest u in communicatie met klanten na een incident.

• Zet afrekenen tijdelijk uit als u een skimmer vermoedt. De winkel kan zichtbaar blijven met een korte melding dat bestellen even niet lukt. Dat kost omzet, maar beschermt uw klanten.
• Noteer wanneer de eerste melding binnenkwam en van welke klanten. Dat is belangrijk voor de termijn van 72 uur en voor het bepalen welke bestellingen geraakt kunnen zijn.
• Bel uw betaalprovider.
• Verwijder niets en zet geen back-up terug. U raakt bestellingen kwijt en wist het spoor dat laat zien sinds wanneer de skimmer actief was.

U krijgt na de eerste diagnose een vaste prijs, voordat wij beginnen. Wij werken alleen aan WordPress en WooCommerce en zijn voor spoed 24/7 bereikbaar. Wilt u daarna dat iemand uw shop doorlopend in de gaten houdt, kijk dan bij webshoponderhoud. Onze volledige aanpak bij een hack staat op de pagina over het herstellen van een gehackte website.