De meeste aanvallen die wij zien beginnen niet met een spectaculaire hack. Ze beginnen met iets wat er maandenlang gewoon uitzag: een plugin die niet was bijgewerkt, of een portaal dat prima leek te werken.
Dat is het lastige aan beveiligingslekken. Ze geven geen signaal af. Je website blijft laden, je klanten blijven inloggen en er verschijnt geen foutmelding. Ondertussen ligt de deur open.
Hieronder twee scenario’s die wij in de praktijk tegenkomen bij Nederlandse MKB-bedrijven. Ze lijken op elkaar, maar vragen om een heel ander soort controle.
Scenario 1: een oud beveiligingslek wordt misbruikt
Je WordPress-website draait al maanden op een verouderde plugin. Er is allang een beveiligingsupdate beschikbaar, maar niemand heeft die geïnstalleerd. Hackers weten dit en misbruiken het lek. Er wordt een script geïnstalleerd dat bezoekers van je website automatisch doorstuurt naar een valse webshop. Google markeert je website als gevaarlijk. Je positie in Google keldert. Het duurt drie weken voor de schade volledig hersteld is.
De schade
- Website maanden lang kwetsbaar zonder het te weten
- Google-ban: website uit de zoekresultaten verwijderd
- Bezoekers doorgestuurd naar oplichters
- Drie weken herstelwerk (hostingpartij, developer, SEO)
- Verlies aan websiteverkeer dat niet automatisch terugkomt
Wat had dit voorkomen?
Geautomatiseerde kwetsbaarheidsscans controleren doorlopend je website, plugins en software op bekende beveiligingslekken. Orange Warriors rapporteert bevindingen en geeft prioriteit aan herstel, zodat je weet wat urgent is.
Het venijn zit hier in het woord bekend. Zodra een lek publiek wordt gemaakt, weten aanvallers precies waar ze moeten zoeken. Er bestaan geautomatiseerde tools die het hele internet afstruinen op websites die de update nog niet hebben gedraaid. Jouw site hoeft dus niet interessant te zijn om gevonden te worden, hij hoeft alleen achter te lopen.
Scenario 2: een lek in je klantenportaal dat je niet kende
Je klantenportaal werkt prima. Klanten loggen in, bekijken hun dossiers en communiceren met je. Wat je niet weet: er zit een kwetsbaarheid in de authenticatie waardoor een aanvaller, door een slim verzoek te sturen, de dossiers van andere klanten kan inzien. Maandenlang zijn er klantgegevens, offertes en vertrouwelijke documenten ingezien door een onbekende partij. Je ontdekt het pas wanneer een concurrent informatie heeft die alleen in je systeem stond. Tegen die tijd is de schade al geleden.
De schade
- Klantdata maandenlang ingezien door onbevoegden
- Concurrentiegevoelige informatie (offertes, contracten) gelekt
- AVG-overtreding: meldplicht en mogelijke boete
- Verlies van klantvertrouwen als het uitkomt
- Kosten voor forensisch onderzoek en juridisch advies (€ 10.000+)
Wat had dit voorkomen?
Een penetratietest simuleert een aanval door een ethische hacker die actief zoekt naar kwetsbaarheden die je zelf niet ziet. Kwetsbaarheden worden gevonden en gedicht vóórdat een echte aanvaller ze ontdekt. In het Sentinel-pakket voert Orange Warriors dit elk kwartaal uit.
Waarom één controle niet genoeg is
Het verschil tussen deze twee scenario’s is precies het verschil tussen een scan en een pentest.
Het eerste lek stond in een database. Iemand had het gevonden, gepubliceerd en er was een update voor. Een geautomatiseerde scan had het binnen een dag gemeld.
Het tweede lek stond nergens. Het zat in de logica van een portaal dat speciaal voor jouw bedrijf is gebouwd. Geen enkele scanner kent die code, dus geen enkele scanner vindt het. Daar is iemand voor nodig die denkt zoals een aanvaller: wat gebeurt er als ik dit verzoek net iets anders opstuur?
Kort gezegd:
- Een kwetsbaarheidsscan vindt bekende lekken in standaardsoftware, doorlopend en geautomatiseerd.
- Een penetratietest vindt onbekende lekken in jouw eigen systemen, periodiek en met mensenwerk.
Wie alleen scant, mist de tweede categorie. Wie alleen een pentest laat doen, staat een kwartaal later weer achter op de updates.
Wat je zelf kunt doen
Ook zonder externe partij zet je een paar stappen die het risico flink verkleinen:
- Inventariseer wat er draait. Welke plugins, thema’s en modules staan er eigenlijk geïnstalleerd? In de praktijk staat een deel daarvan al jaren uit, maar nog wel op de server.
- Verwijder wat je niet gebruikt. Uitgeschakelde software met een lek is nog steeds een lek. Weg is veiliger dan uit.
- Zet automatische updates aan waar het kan. Zeker voor beveiligingsupdates weegt het risico van niet updaten bijna altijd zwaarder dan het risico van een update die iets stukmaakt.
- Let op verlaten software. Krijgt een plugin al twee jaar geen update meer? Dan komt er ook geen beveiligingsupdate meer. Zoek een alternatief.
- Houd Google Search Console in de gaten. Google waarschuwt vaak als eerste wanneer je site verdacht gedrag vertoont.
Deze stappen dekken het eerste scenario grotendeels af. Voor het tweede, maatwerk waar geen scanner iets van weet, is een periodieke pentest de enige betrouwbare manier om erachter te komen.
Tot slot
De gemiddelde kosten van een cyberincident bij een Nederlands MKB-bedrijf liggen rond de € 270.000, gerekend over directe schade, herstelkosten, boetes en omzetverlies door stilstand. Die cijfers komen uit de CBS Cybersecuritymonitor, het Hiscox Cyber Readiness Report en ESET-onderzoek onder het MKB. In jouw situatie kan de schade hoger of lager uitvallen.
Wat beide scenario’s gemeen hebben, is niet de techniek maar de tijd. In allebei de gevallen liep het misbruik maanden voordat iemand het doorhad. Die maanden zijn het echte probleem, en daar is wél iets aan te doen.
Wil je weten wat er nu in jouw omgeving openstaat? Wij kijken gratis mee. Lees ook meer over onze website beveiliging of bekijk in welk pakket kwetsbaarheidsscans en een kwartaalpentest zitten.
