Website gehackt voor een phishingpagina: zo check je het
In de openbare lijst met actieve phishinglinks staan 76 Nederlandse domeinen met een WordPress-map in het pad. We openden hun voorpagina's. Op 31 daarvan staat gewoon een bakkerij, een camping, een kerk, een school of een mondhygiëniste. Niets aan de voorkant verraadt dat hun website gehackt is, en dat er ergens dieper in de site een nep-inlogpagina in de lijst staat.
bakkerij.nl/wp-content/plugins/…/nep-inlog van je bank
Een website gehackt zonder dat de eigenaar het ziet
Wie een WordPress-site overneemt voor phishing, laat de voorpagina meestal met rust. Dat is slim van de aanvaller. De eigenaar ziet niks geks, de bezoekers ook niet, en de site blijft dus langer in de lucht. De nepbank of het nep-PostNL zit in een map als /wp-content/plugins/iets/, en alleen wie de link uit de sms krijgt, komt daar.
Kaspersky telde tussen 15 mei en 31 juli 2023 22.400 gehackte WordPress-sites met phishingpagina's. In dezelfde tweeënhalve maand probeerden gebruikers 200.213 keer zo'n pagina te openen. Als herkenningsteken noemt Kaspersky mappen als /wp-content/, /wp-admin/ en /wp-includes/ in het adres, met een PHP-bestand erin. Lees het onderzoek van Kaspersky.
Dat teken hebben we zelf nageteld in de lijst van Phishing.Database (MIT), stand 3 november 2026. Die lijst telt 789.054 actieve phishinglinks op 436.843 adressen. In 14.265 adressen zit minstens één link met een WordPress-map. Dat is 3,3% van alle adressen. Zo ziet de verdeling over de mappen eruit:
De pluginmap wint ruim. Dat past bij wat beveiligers als ingang zien. Patchstack telde over 2025 11.334 nieuwe kwetsbaarheden in WordPress, en 91% daarvan zat in plugins (Patchstack, State of WordPress Security 2026). Een aanvaller die via een lek in een plugin binnenkomt, zet zijn bestanden vaak gewoon in die pluginmap neer.
Staat jouw domein in de phishinglijst?
Typ je eigen domein. We zoeken het op in de actieve adressen van Phishing.Database, die we elke dag verversen. Je ziet welke adressen op jouw domein gemeld zijn en of er een WordPress-map in het pad zit.
Wat staat er op die 76 Nederlandse sites?
Van de 14.265 adressen met een WordPress-map eindigen er 77 op .nl, verdeeld over 76 domeinen. Op .be zijn het 97 adressen. We openden op 3 november van elk .nl-domein alleen de voorpagina, zonder door te klikken naar de gemelde link. Namen noemen we niet: een gehackte bakker is geen oplichter.
| Wat de voorpagina liet zien (76 .nl-domeinen) | Domeinen |
|---|---|
| WordPress-site van een herkenbare Nederlandse zaak, club, kerk of school | 31 |
| WordPress, maar leeg, doorgestuurd of onduidelijk | 4 |
| Geen WordPress meer: gokspam, te koop of leeg | 4 |
| Andere site zonder WordPress | 1 |
| Geen verbinding, time-out of serverfout | 36 |
Eigen meting, 3 november 2026: één verzoek per voorpagina, ingedeeld op de paginatitel en WordPress-sporen in de HTML.
Bij die 31 gaat het om een aannemer, een bakkerij, een camping, een carnavalsvereniging, een museum, een jeugdbrandweer, een mondhygiëniste, twee kerkelijke sites en een middelbare school. Precies het soort site dat iemand ooit heeft laten bouwen en daarna niet meer bijhoudt. Eén domein stuurt inmiddels door naar een goksite in het Indonesisch. Dat is vaak het volgende station van een verwaarloosde site.
Een WordPress-map in een phishinglink bewijst nog geen hack
Wees voorzichtig met onze eigen telling. Een pad met wp-content kan ook op een WordPress-installatie staan die de oplichter zelf heeft neergezet. Eén van de 35 WordPress-voorpagina's liet alleen "Just another WordPress site" zien, de standaardtitel van een kale installatie. Een aanvaller kan het pad ook nadoen op een server zonder WordPress, om er betrouwbaar uit te zien.
De lijst loopt bovendien achter. "Actief" betekent dat het adres bij de laatste test nog antwoord gaf, niet dat de nepbank er vandaag nog staat. Een eigenaar die al heeft opgeruimd, kan er nog dagen in staan. Lees een treffer dus als een reden om te kijken, niet als een vonnis.
En zet het in verhouding. 3,3% van de adressen heeft een WordPress-map. De grote massa draait op platforms waar iedereen gratis een subdomein krijgt, zoals pages.dev en vercel.app. Dat zochten we uit in een oud domein zegt niks over een neppagina.
https://bakkerij.nl/wp-content/plugins/wp-cache-x/bank/login.php
- bakkerij.nl Het echte domein van de bakker. Oud, netjes, en dus geen waarschuwing in een leeftijdscheck.
- /wp-content/plugins/ De pluginmap van WordPress. Hier staan de meeste gemelde phishinglinks.
- wp-cache-x/ Een map met een saaie naam die op een echte plugin lijkt. Die zoek je in je bestandsbeheer.
- bank/login.php De nep-inlogpagina zelf, met een PHP-bestand dat de ingevulde gegevens doorstuurt.
De eerste dag na een treffer
- Open Search Console. Ga naar Beveiliging en handmatige acties, dan Beveiligingsproblemen. Staat daar iets, dan zie je voorbeeld-URL's van de pagina's die Google als phishing ziet. Google noemt dat rapport zelf de bron van waarheid, ook als jij de waarschuwing in je eigen browser niet ziet.
- Zoek de map. Open het bestandsbeheer van je hosting of verbind via SFTP. Kijk in
wp-content/plugins,wp-content/themesenwp-content/uploadsnaar mappen die je niet kent en bestanden met een recente wijzigingsdatum. Een PHP-bestand in uploads hoort er bijna nooit. - Sluit de deur. Verander de wachtwoorden van alle beheerders, je hosting, SFTP en de database. Kijk bij Gebruikers in WordPress of er een beheerder bij staat die je niet kent, en haal die weg.
- Ruim op en werk bij. Verwijder plugins die je niet gebruikt of niet kent, en installeer WordPress zelf opnieuw via Dashboard, Updates. Twijfel je, vraag dan je hoster om een schone back-up van vóór de hack.
- Vraag een beoordeling aan. Pas als alles weg is: kies in het rapport Beveiligingsproblemen voor Beoordeling aanvragen en schrijf erbij wat je hebt opgeruimd. Volgens Google duurt zo'n beoordeling een paar dagen tot een paar weken.
Kom je de map niet tegen, haal dan iemand erbij. Alleen de phishingpagina weghalen is niet genoeg. Wie er één keer in kwam, heeft vaak ook een achterdeur achtergelaten.
Kreeg je zelf zo'n link?
Dan is het andersom: je ziet een gewoon .nl-domein van een bakker en denkt dat het goed zit. Plak de link in de linkvolger om de link te checken. Die volgt elke doorverwijzing zonder dat jij klikt, en laat zien in welke map je uitkomt. Met de domeinleeftijd erbij zie je ook dat zo'n domein al jaren bestaat, en dat zegt bij een hack dus niks.
November en december zijn de drukste maanden
Beveiliger Monarx zag in 2025 het aantal kwaadaardige bestandsuploads in november en december bijna verdrievoudigen, staat in hetzelfde rapport van Patchstack. Er wordt dan veel online gekocht, en bij hosters en bureaus zijn minder mensen aan het werk. Dat zijn ook precies de weken van de nep-sms'jes over pakketjes. Een site die nu niet is bijgewerkt, kan in december opeens in de lijst staan. Zoek je domein vandaag op in de lijstcheck hierboven, en update daarna je plugins.