Ken je al je websites? Een aanvaller met AI-agents kent ze wel

De site waar je zelf al jaren niet meer naar kijkt

Vraag een ondernemer hoeveel websites zijn bedrijf heeft en het antwoord is meestal: één. Vraag dan door. Er is nog die actiepagina van drie jaar geleden, het klantportaal dat een leverancier voor je bouwde, een oude webshop op een subdomein en het formulier voor reparatieaanvragen dat ooit snel in elkaar is gezet. Ze staan allemaal nog online. Niemand kijkt ernaar.

Precies dat soort pagina's is sinds deze week een bewezen doelwit. Een aanvaller hoeft ze niet meer zelf te zoeken. Hij laat dat over aan AI-agents die dag en nacht doorzoeken, voor een paar tientjes per geslaagde inbraak.

Wat er is gebeurd

Persbureau Reuters publiceerde op 19 oktober een onderzoek naar een Chineessprekende hacker die met AI-agents de websites van meer dan honderd bedrijven binnenkwam. Onderzoeker Snorre Fagerland van het beveiligingsbedrijf NorForge vond het bedieningspaneel van de aanvaller onbeveiligd op internet. Daardoor kon hij meekijken hoe de agents werkten.

Een paar dingen vallen op:

• De campagne begon op 25 september en de agents probeerden ruim 1.200 websites, vooral webwinkels in de Verenigde Staten, Canada, Australië en Japan.
• De opdracht aan de agents was korter dan honderd Chinese tekens. De rest bedachten ze zelf.
• Volgens de berichtgeving gebruikte de aanvaller een open-source agentplatform met taalmodellen van DeepSeek en de programmeeragent Claude Code.
• NorForge schat de kosten op ongeveer 50 dollar per geslaagde inbraak, met de kanttekening dat het bedrijf geen echte verbruikscijfers had. Het precieze bedrag is dus onzeker. De orde van grootte is het punt: tientjes, geen duizenden euro's.

Onder de getroffen bedrijven zitten grote namen als Deere en SharkNinja. Het leerzame zit in waar het misging. Bij SharkNinja ging het om een losse website voor productondersteuning. Cummins onderzoekt een mogelijke aanval op een site die door een leverancier wordt beheerd. Reuters kon niet vaststellen welke gegevens er zijn buitgemaakt.

Waarom een klein bedrijf hier niet buiten valt

Tot nu toe kon je als klein bedrijf redelijk geruststellend denken: een aanvaller heeft wel betere doelen dan mijn site. Dat klopte zolang aanvallen mensenwerk waren. Een mens kiest, want zijn tijd is beperkt.

Een agent kiest niet. Hij loopt de lijst af. Voor een agent kost jouw site evenveel moeite als die van een multinational en het rendement hoeft niet hoog te zijn als de kosten zo laag zijn. Je wordt dus niet uitgekozen. Je komt gewoon aan de beurt.

Dat sluit aan op wat we eerder zagen bij een aanval die binnen uren na een beveiligingslek begon. Toen ging het om snelheid: de tijd tussen een gepubliceerd lek en de eerste inbraak kromp tot uren. Nu komt daar de breedte bij. Ook de pagina waarvan je vergeten was dat hij bestond, wordt bezocht.

Zo breng je je eigen websites in kaart

Je hoeft geen beveiligingsspecialist te zijn om te beginnen. Wat je nodig hebt, is een lijst. Reken op een middag.

1. Begin bij je domeinen. Log in bij de partij waar je je domeinnaam hebt geregistreerd en kijk welke domeinen en subdomeinen er op jouw naam staan. Elk subdomein dat naar een server wijst, is een website of een dienst.
2. Zoek jezelf op. Typ in Google "site:jouwdomein.nl" en blader door de resultaten. Je ziet pagina's terug die je zelf allang vergeten was.
3. Vraag het je leveranciers. Wie heeft ooit iets voor je gebouwd dat nog online staat? Een boekingsmodule, een klantportaal, een landingspagina voor een campagne? Zet ze op de lijst met de naam van wie het beheert.
4. Vergeet je automatisering niet. Draai je een eigen server met bijvoorbeeld n8n, dan heeft die ook een webadres met een inlogscherm. Dat is net zo goed een website.
5. Noteer per regel drie dingen: wat het is, wie het bijwerkt en of het nog nodig is.

Die laatste kolom is de belangrijkste. In de praktijk blijkt een flink deel van zo'n lijst overbodig.

Wat je met die lijst doet

Een website die niemand bijwerkt, is de makkelijkste ingang. Daarom deel je je lijst in drie groepen in:

• Weg ermee. Alles wat niet meer nodig is, haal je offline. Een site die er niet is, kan niet worden gekraakt. Dat is de snelste en goedkoopste maatregel die er bestaat.
• Bijwerken. Alles wat blijft, krijgt een eigenaar die software en plug-ins actueel houdt. Bij een WordPress-site met een handvol plug-ins betekent dat elke maand even inloggen en bijwerken, of automatische updates aanzetten.
• Navragen. Wordt een site door een leverancier beheerd, vraag dan schriftelijk wie de updates doet en hoe snel. Het voorbeeld van Cummins laat zien dat een aanval op de site van een leverancier nog steeds jouw naam in de krant zet.

Doe daarnaast twee kleine dingen die bij elke site helpen. Zet tweestapsverificatie aan op elk beheeraccount. En zorg dat je een melding krijgt als er een nieuwe beheerder bijkomt of als bestanden veranderen. De meeste hostingpartijen bieden dat al, je moet het alleen aanzetten.

De andere kant van hetzelfde gereedschap

Het is verleidelijk om hier vooral het gevaar in te zien. Maar de agents die deze aanvaller gebruikte, zijn hetzelfde soort gereedschap dat beveiligers en bedrijven zelf inzetten. Een agent die duizend sites afloopt op zwakke plekken, kan ook jouw eigen lijst aflopen en je vertellen welke software verouderd is.

Dat is het nuchtere advies: gebruik het tempo van de aanvaller ook voor jezelf. Laat je eigen sites regelmatig controleren, automatisch en met een overzicht dat bij een mens landt. Een maandelijkse controle die zelf draait, is beter dan een grondige controle die er nooit van komt.

Wil je weten welke websites jouw bedrijf eigenlijk heeft en welke daarvan een risico zijn? We kijken het graag samen met je door.