Vrijdagmiddag komt een mail binnen die precies op een bericht van je betaalprovider lijkt. Je account zou zijn geblokkeerd en de knop opent een overtuigend inlogscherm. Juist tijdens de drukste uren is één gehaaste klik genoeg om het beheer van je webshop of uitbetalingen kwijt te raken.
De vijf basisprincipes van het Nationaal Cyber Security Centrum zijn een bruikbaar startpunt. Voor een webshop worden ze pas praktisch als je ze koppelt aan deze vijf controles.
1. Beveilig shopbeheer én betaalprovider met MFA
Controleer vandaag de accounts voor WordPress, Shopify of je andere shopplatform, hosting, domeinbeheer, zakelijke e-mail en het dashboard van je betaalprovider. Ieder beheeraccount krijgt een uniek wachtwoord en multifactorauthenticatie. Een gelekt shopwachtwoord mag nooit automatisch ook toegang geven tot uitbetalingen. Lees ook waarom wachtwoorden hergebruiken zo snel meerdere systemen raakt.
2. Bel een leverancier terug bij een gewijzigd rekeningnummer
Een overtuigende mail van een vaste leverancier met ‘ons IBAN is gewijzigd’ is geen betaalinstructie. Bel terug via een nummer dat al in je administratie staat of dat je zelf op de officiële site opzoekt. Gebruik nooit het nummer uit de verdachte mail. Laat een tweede medewerker de wijziging en de eerste betaling goedkeuren.
3. Betaal een retour alleen terug via de oorspronkelijke methode
Een fraudeur kan zich voordoen als klant en vragen het geld naar een ander rekeningnummer over te maken. Maak daarom geen losse bankoverschrijving. Gebruik de terugbetaalfunctie van de oorspronkelijke bestelling en laat een uitzondering door een tweede persoon controleren. Zo blijft het bedrag gekoppeld aan de echte transactie.
4. Verwijder plugins en apps die je niet meer gebruikt
Maak een lijst van alle plugins, thema’s, trackingpixels en gekoppelde apps. Zet ook eenvoudige webtools, zoals een pagina voor gedicht maken met AI, op die lijst zodra je er klant- of betaalgegevens mee deelt. Verwijder wat niet nodig is. Controleer bij de rest de laatste update, de leverancier en welke rechten de koppeling heeft. Een verlaten checkout-plugin is niet alleen rommel; code op de betaalpagina kan order- of betaalgegevens meelezen.
5. Trek oude beheeraccounts ieder kwartaal in
Ex-bureaus, tijdelijke medewerkers en oude fulfilmentkoppelingen houden soms langer toegang dan de samenwerking duurt. Loop elk kwartaal alle beheerders en API-koppelingen langs. Geef medewerkers alleen toegang tot de orders of instellingen die zij voor hun werk nodig hebben.
Zet de vijf controles naast je gewone webshopbeheer
Beveiliging is geen losse jaarlijkse audit. Neem deze lijst op in dezelfde maandelijkse beheerbeurt waarin je retouren, betaalinstellingen en leveranciers controleert. Voor algemene uitleg over het starten, beheren en laten groeien van een online bedrijf kun je daarnaast terecht op Zakelijkbrein.nl; de technische beveiligingscontrole blijft bij je shopplatform, betaalprovider en het NCSC.
Begin met MFA op het shopbeheer en het betaalproviderdashboard. Dat kost meestal minder dan tien minuten en voorkomt dat één gestolen wachtwoord meteen je hele verkooproute openzet.
Rik Hoogland
Rik begeleidde jarenlang phishing-simulaties en awareness-programma's bij Nederlandse organisaties. Op Humanfirewall.nl legt hij uit hoe oplichters mensen bespelen en hoe je daar als team tegen bestand raakt. Stel Rik je vraag.
Zelf een situatie die niet vertrouwd voelt?
Beschrijf wat er gebeurde of waar je over twijfelt, dan denkt Rik mee over de juiste reactie.