Deze week kreeg de internetwereld twee waarschuwingen die de meeste ondernemers niet eens op hun radar hebben. De onderhouders van PHP — de taal waarop een groot deel van het web draait — kondigden aan dat er twee noodpatches aankomen. En los daarvan bleek een certificaatautoriteit, het bedrijf dat jouw slotje in de browser uitdeelt, gekraakt te zijn.
Wat er precies gebeurde
Het eerste nieuws komt van Ars Technica: de mensen achter PHP waarschuwen webontwikkelaars dat er twee kritieke beveiligingspatches op komst zijn. Dat is code voor "er zijn kwetsbaarheden gevonden die actief misbruikt kunnen worden, en je wilt niet dat je site erop draait wanneer de details openbaar worden."
Het tweede nieuws is subtieler maar misschien wel enger. Simon Willison, een bekende webontwikkelaar, rapporteerde over een compromis bij eMudhra, een certificaatautoriteit uit India. Een certificaatautoriteit is de instantie die de digitale certificaten uitgeeft waarmee browsers het bekende groene slotje tonen. Als zo'n autoriteit gekraakt wordt, kan een aanvaller in theorie valse certificaten uitgeven voor websites die hij niet bezit.
Waarom dit jouw business raakt
Je hoeft geen techbedrijf te zijn om hier geraakt te worden. Jouw website draait vrijwel zeker op software die ooit een beveiligingslek bevatte: je contentmanagementsysteem, je boekhoudpakket, je webshop, de plugin die je drie jaar geleden hebt laten installeren. Veel MKB-sites draaien op PHP — WordPress alleen al is goed voor een groot deel van alle websites wereldwijd.
Wat niemand je vertelt: het probleem is niet dat er kwetsbaarheden bestaan. Die zijn er altijd. Het probleem is dat kleine bedrijven patches vaak maanden of zelfs jaren te laat installeren. Een aanvaller hoeft geen genie te zijn; hij hoeft alleen de bedrijven te vinden die het lek nog niet hebben gedicht. En dat zoeken is tegenwoordig geautomatiseerd: scanners scannen dagelijks miljoenen websites af op bekende lekken, volledig zonder menselijke tussenkomst. Voor jou betekent dat één ding: het is niet de vraag óf iemand jouw site probeert binnen te komen, maar wanneer.
De Nederlandse realiteit
In Nederland is dit extra voelbaar omdat zoveel MKB-bedrijven hun website en webshop bij een eenmanszaak of kleine studio hebben laten bouwen, en daarna nooit meer een onderhoudscontract afsloten. De site draait, de klant betaalt, en niemand kijkt meer om naar updates. Tot er iets misgaat.
Een webwinkel in Eindhoven ontdekte dat op de harde manier. Hun bestelformulier was via een verouderde plugin maandenlang stilletjes meeleesbaar voor derden, omdat niemand de melding "update beschikbaar" serieus had genomen. De schade zat niet alleen in de klantgegevens, maar vooral in het vertrouwen dat daarna weglekte. En een tweede voorbeeld dat vaak over het hoofd wordt gezien: een accountantskantoor met twintig medewerkers had geen idee dat hun klantportaal op een PHP-versie draaide die al twee jaar geen beveiligingsupdates meer kreeg — simpelweg omdat hun oorspronkelijke bouwer was gestopt met het vak.
De kosten van niets doen
Een ransomware-aanval of datalek kost een klein bedrijf gemiddeld tienduizenden euro's — en dat is nog zonder de boete van de Autoriteit Persoonsgegevens als klantdata uitlekt. Een onderhoudscontract of een uurtje van een ontwikkelaar per maand kost een fractie daarvan. Uitstel is hier letterlijk duurder dan preventie.
Wat je nu kunt doen
Vraag wie jouw updates doet. Bel vandaag nog degene die je website heeft gebouwd en vraag één simpele vraag: wie installeert de beveiligingsupdates? Als het antwoord "niemand" is, heb je een gat gevonden dat je nu kunt dichten.
Zet automatische updates aan waar het kan. Veel moderne systemen kunnen zichzelf veilig updaten. Controleer of jouw site, plugins en pakketten dat doen — en schakel het in.
Maak een backup die je echt kunt terugzetten. Een backup die je nooit hebt getest, bestaat niet. Maak minstens één keer per maand een volledige backup en test dat je hem terug kunt zetten.
Beveiliging is geen project dat je afrondt. Het is een gewoonte — en voor de bedrijven die er een gewoonte van maken, is het tegelijk de goedkoopste verzekering die je als ondernemer kunt afsluiten.