Heb je wel eens gehoord van dieven die proberen een huis binnen te komen door verschillende sleutels uit te proberen? Zo werkt een brute force-aanval op WordPress-websites in principe. Aanvallers richten zich op gebruikers met zwakke beheerderswachtwoorden om zo toegang te krijgen. Als je je afvraagt hoe dit is gebeurd, leggen we het even uit. Een aantal versies geleden gebruikte WordPress een standaard gebruikersnaam genaamd 'admin'. Aanvallers misbruiken deze accounts door verschillende wachtwoorden te proberen die bij diezelfde gebruikersnaam horen, om zo toegang te krijgen tot alles wat hen toegang geeft.
Hoe voorkom je brute force-aanvallen op WordPress?
- De eerste stap is om je gebruikersnaam te wijzigen als je nog steeds 'admin' gebruikt, en iets uniekers te kiezen. Dit voorkomt dat je in de kwetsbare categorie valt waar aanvallers automatisch naar op zoek zijn. Het is tevens de meest effectieve maatregel om jezelf tegen deze aanval te beschermen.
- Gebruik geen zwakke wachtwoorden! Natuurlijk is '123456' makkelijk te onthouden, maar het is net zoiets als je huissleutels aan een bekende dief geven. Als je zelf geen moeilijk wachtwoord kunt bedenken, gebruik dan een wachtwoordgenerator om een sterk wachtwoord te genereren dat niet makkelijk te raden is. WordPress maakt het ook makkelijker om te zien hoe sterk je wachtwoorden zijn met een meter die verschijnt tijdens het aanmaken van een wachtwoord.
- Zorg ervoor dat je WordPress- en computersoftware up-to-date zijn en schakel 'tweefactorauthenticatie' in als je WP.com gebruikt. Dit waarschuwt je als een poging tot inbraak afkomstig is van een ander apparaat of een andere regio dan die van jou.
- Neem contact op met uw hostingprovider als u merkt dat het inloggen op uw beheerderspagina's lastig is geworden en dat ze traag reageren. Zij kunnen u waarschijnlijk verder helpen.
- Gebruik een extra tool of een plugin die het aantal inlogpogingen beperkt. Als uw website niet vereist dat meerdere personen inloggen, kunt u zelfs plugins toevoegen die alle pogingen (behalve die van uzelf) om toegang te krijgen tot wp-admin blokkeren.
- Als u in het verleden slachtoffer bent geweest van dit soort aanvallen en een patroon hebt opgemerkt in IP-adressen of regio's waar de aanvallen vandaan komen, kunt u een extra beveiligingslaag toevoegen. Dit kunt u doen door een 'blokkeerlijst' aan te maken van IP-adressen die vanuit die regio's toegang tot uw website proberen te krijgen. Helaas blokkeert u hiermee ook een aantal legitieme gebruikers die uw website willen bezoeken.
