Je website is gebouwd door een bureau of freelancer en je weet niet precies wat erin zit. In 2026 vindt AI een lek in uren, en aanvallers zoeken niet naar grote bedrijven maar naar lekke plugins. Wat dat voor jou betekent, en welke vragen je je bureau kunt stellen.
Pentesten HackIndex 6 min lezen
Kort antwoord
Ja, ook een kleine website is interessant. Aanvallers kiezen geen bedrijf, ze zoeken automatisch naar sites met een bekend lek, vaak in een plugin. In 2026 zitten er soms maar een paar uur tussen het bekend worden van een lek en de eerste aanvallen. Je hoeft niet te weten hoe je site werkt om hem veilig te houden, wel wie hem bijhoudt en of iemand hem ooit heeft getest.
Je hebt een website of webshop laten bouwen. Hij werkt, klanten vinden je en je hebt er verder weinig omkijken naar. Hoe hij precies in elkaar zit, weet je eigenlijk niet. Welke plugins erin zitten, wie ze bijwerkt en of iemand ooit heeft gekeken of hij veilig is, ook niet.
Dat is heel normaal. Je hoeft ook niet te weten hoe je site werkt. Maar een aanvaller weet het wel, vaak binnen een paar minuten. En in 2026 gaat dat sneller dan ooit.
Veel ondernemers denken: wie wil er nou mijn site hacken? Het antwoord is: niemand in het bijzonder. Aanvallers zoeken niet naar jouw bedrijf, ze zoeken naar sites met een bekend lek. Daar zit software achter die het hele internet afzoekt. Een kapperszaak, een loodgieter of een webshop met tien producten valt net zo goed in dat net als een grote organisatie.
Het jaarlijkse onderzoek van Verizon naar datalekken zegt het dit jaar zo: de aanvallen zijn opportunistisch, het gaat niet om de branche of de omzet van het slachtoffer. Een lek in software is in 2026 voor het eerst de belangrijkste manier waarop aanvallers binnenkomen, vaker dan gestolen wachtwoorden.
In juli 2026 vond een onderzoeker een ernstig lek in WordPress zelf, het systeem waar een groot deel van alle websites op draait. Hij gebruikte daarvoor een AI-model en had het lek in ongeveer tien uur gevonden. Het lek werkte op een gewone WordPress-installatie, zonder plugins en zonder in te loggen.
WordPress bracht een update uit. Binnen een paar uur na die update waren de aanvallen al begonnen. Andere onderzoekers wisten het lek met hulp van AI binnen minuten na te maken. In hun valstrikken zagen ze tienduizenden pogingen en meer dan honderd beheerdersaccounts die aanvallers stiekem hadden aangemaakt.
Het patroon is breder dan dit ene lek. Patchstack, dat de beveiliging van WordPress volgt, rekende uit dat er bij de meest aangevallen lekken gemiddeld 5 uur zit tussen het moment dat een lek bekend wordt en de eerste aanvallen. Wie zijn site eens per maand laat bijwerken, loopt dus weken achter.
Een WordPress-site of webshop bestaat uit de basis plus een stapel plugins: voor formulieren, de webshop, statistieken, mail of een kaartje op de contactpagina. Volgens Patchstack werden er in 2025 ruim 11.000 nieuwe lekken gevonden in het WordPress-ecosysteem. 91 procent daarvan zat in plugins, niet in WordPress zelf. En bij bijna de helft was er nog geen oplossing van de maker toen het lek bekend werd.
Twee voorbeelden uit 2026:
Gravity SMTP, een plugin om mail te versturen, op zo'n 100.000 sites. Zonder in te loggen kon een aanvaller de sleutels opvragen van de maildiensten die eraan gekoppeld waren. Wordfence blokkeerde meer dan 17 miljoen pogingen.
WP Maps Pro, een plugin voor kaarten. Zonder in te loggen kon een aanvaller een eigen beheerdersaccount aanmaken en de site overnemen. Wordfence zag binnen 24 uur bijna 3.000 aanvallen.
In beide gevallen was er een update. Wie die op tijd had, was veilig. Wie niet wist dat die plugin op zijn site stond, had geen idee dat er iets moest gebeuren.
Wat er mis kan gaan
Klantgegevens meenemen
Namen, adressen en bestellingen uit je webshop of contactformulier. Dan ben je verplicht een datalek te melden.
Een nep-betaalpagina tonen
Klanten betalen aan de aanvaller in plaats van aan jou, en merken het pas als hun bestelling niet komt.
Mail versturen uit jouw naam
Met de sleutels van je maildienst gaan er phishingmails uit die er precies uitzien als die van jou.
Je site gebruiken voor iets anders
Een verborgen beheerder, spam of malware op je site. Je merkt het vaak pas als Google je site als onveilig markeert.
Je hoeft niet zelf technisch te worden. Stel deze vragen aan wie je site heeft gebouwd of onderhoudt. De antwoorden zeggen veel.
Wie werkt mijn site en plugins bij, en hoe vaak? Het goede antwoord is: automatisch of binnen een dag na een beveiligingsupdate. Niet: als je erom vraagt.
Welke plugins zitten erin, en zijn ze allemaal nog nodig? Elke plugin die er niet in zit, kan ook niet lek zijn.
Hoor ik het als er een lek is in iets dat mijn site gebruikt? Je wilt weten dat iemand het in de gaten houdt.
Is er een back-up die buiten de site zelf staat, en is die ooit teruggezet? Een back-up die nooit getest is, is een gok.
Heeft iemand de site ooit getest op beveiliging? Niet een scan, maar iemand die met de hand kijkt wat er mis kan gaan.
Bij een pentest probeert een tester met jouw toestemming bij je site binnen te komen, zoals een aanvaller dat zou doen. Het verschil met een scan: een scan zoekt naar bekende fouten, een tester kijkt ook naar wat een scanner mist, zoals wie welke gegevens kan zien.
Je hoeft daarvoor niet te weten hoe je site werkt. Voor gangbare sites, zoals WordPress en WooCommerce, zet HackIndex een veilige kopie van je site op, zonder meerprijs. Zo loopt je echte site geen risico. Je krijgt een rapport in gewone taal, met per bevinding een oplossing die je bureau of developer direct kan toepassen. Een web- en API-pentest begint bij € 1.950 excl. btw, met een vaste prijs nadat de scope vastligt.
Ja. Aanvallers zoeken automatisch naar sites met een bekend lek, niet naar een bepaald bedrijf. Een kleine site met een verouderde plugin is voor hen net zo bruikbaar als een grote.
Dat helpt veel, als ze updates snel doorvoeren. Een test kijkt verder: naar fouten in hoe je site gebouwd is, die geen update oplost. Het rapport is ook geschreven voor je bureau, zodat zij het kunnen oplossen.
Nee. Toegang tot je hosting of een back-up is genoeg. HackIndex zet daar een veilige kopie van op en test die, zodat je live site geen risico loopt.
Je hoeft niet te weten hoe je site werkt. Beschrijf wat je hebt, en je ontvangt een voorstel met een vaste prijs.
Beschrijf kort wat je hebt. Je ontvangt een voorstel met een vaste prijs.
