Als je een website beheert, met name een e-commerce website, dan is het jouw verantwoordelijkheid om ervoor te zorgen dat transacties veilig plaatsvinden en dat de gegevens van je gebruikers en klanten niet in gevaar komen. In de database van je WordPress website worden bijvoorbeeld persoonlijke gegevens, fysieke en elektronische adressen, creditcardgegevens, transactielogboeken en nog veel meer opgeslagen en jij bent verantwoordelijk voor de veiligheid en integriteit van al deze gegevens.

Een goede beveiliging betekent niet dat je onschendbaar bent. Er bestaat niet zoiets als absolute veiligheid op het internet, zeker niet als het gaat om open source software. Er zijn echter veel beveiligingsmaatregelen die je kunt nemen om de risico’s van inbreuken, gegevensdiefstal en andere meer of minder ernstige schade aan je website of infrastructuur te minimaliseren. Vergeet niet dat, volgens de GDPR, de verantwoordelijke voor de gegevensverwerking ook verantwoordelijk is om ervoor te zorgen dat de gegevensverwerking voldoet aan de GDPR en de regels voor gegevensbescherming.

De gegevensbeheerder bepaalt de doeleinden waarvoor en de middelen waarmee persoonsgegevens worden verwerkt. Dus als jouw bedrijf/organisatie bepaalt ‘waarom’ en ‘hoe’ de persoonsgegevens verwerkt moeten worden, is het de verantwoordelijke voor de gegevensverwerking. Medewerkers die binnen jouw organisatie persoonsgegevens verwerken, doen dat om jouw taken als verantwoordelijke voor de verwerking te vervullen.

Een beveiligingslek in een website kan het leven van een bedrijf in gevaar brengen. Wie wil zijn creditcardgegevens toevertrouwen aan een onveilige website? En welke schade zou de reputatie van je merk oplopen als de gegevens van je klanten worden gestolen en voor illegale doeleinden worden gebruikt?

Kortom, naast prestaties is beveiliging een cruciale factor voor een succesvolle e-commerce website en bedrijf. Met dit in gedachten hebben we in dit artikel een lijst met beveiligingsmaatregelen en best practices verzameld die elke e-commerce eigenaar zou moeten nemen om concurrerend te blijven op lokale en internationale markten en om ernstige juridische aansprakelijkheid en schade aan hun online bedrijf te voorkomen.

13 grote beveiligingsrisico’s voor e-commerce websites

Volgens het 2020 Trustwave Global Security Report zijn traditionele retailers en e-commerce omgevingen de meest blootgestelde sectoren aan cyberbeveiligingsrisico’s, met ongeveer 24% van de totale beveiligingsincidenten in 2019.

Dit brengt ons ertoe om na te denken over het belang van beveiliging voor e-commerce websites, te ontdekken welke bedreigingen een online bedrijf boven het hoofd hangen en welke maatregelen eigenaren van e-commerce websites moeten nemen om de transacties en gegevens van hun klanten te beveiligen.

Om beter te begrijpen welke acties en best practices een online bedrijfseigenaar moet nemen om zijn websites en e-stores te beveiligen, moeten we eerst de gevaarlijkste bedreigingen voor e-commerce websites begrijpen.

Op basis van de OWASP Top 10 Web Application Security Risks hebben we de volgende niet-uitputtende lijst samengesteld van de meest voorkomende bedreigingen waar e-commerce websites vandaag de dag mee te maken hebben.

1. Malware en ransomware

Er zijn veel soorten malware en verschillende niveaus van beveiligingsrisico’s. Hackers gebruiken ze om apparaten te hacken en gegevens te stelen. Malware kan ernstige financiële schade veroorzaken en zelfs een heel bedrijf vernietigen.

Hoewel de gevolgen niet altijd zo ernstig zijn, kunnen je klanten de foutmelding “The site ahead contains malware” of “Deceptive site ahead” of iets dergelijks krijgen, en dit kan de zichtbaarheid van je site in SERP’s beïnvloeden en je merkimago ernstig schaden.

Ransomware is een ondersoort van malware. Ransomware kaapt een apparaat of website en weigert de toegang tot de bestanden totdat het slachtoffer losgeld betaalt voor de decoderingssleutel.

Vanwege het hoge risico dat een malware-aanval kan hebben op een e-commerce website, is het regelmatig scannen van je e-commerce site op malware-infecties van vitaal belang voor je bedrijf.

Bekijk onze videogids over malware

2. Phishing

Phishing is een soort social engineering-aanval die door cybercriminelen wordt gebruikt om malware te verspreiden – meestal via e-mails.

Het gaat hierbij om een poging om gevoelige informatie te stelen, zoals gebruikersnamen, wachtwoorden, creditcard- of bankgegevens, of andere belangrijke gegevens om te gebruiken of te verkopen met kwade bedoelingen. Meestal wordt dit soort aanvallen uitgevoerd via spam en andere vormen van frauduleuze e-mails of chatberichten.

3. DDoS aanvallen

DDoS is de korte term voor distributed denial of service. Dit is een type aanval waarbij een website wordt overspoeld met een groot aantal verzoeken om de server te overspoelen met buitensporig internetverkeer en de website plat te leggen. Het gevolg is dat je site offline gaat en de bandbreedtekosten enorm toenemen. Dit kan ook leiden tot de opschorting van je hostingaccount.

4. SQL injectie

SQL injectie is een soort aanval die wordt uitgevoerd door een kwaadwillende die SQL instructies probeert te injecteren in een webapplicatie. Als de aanval succesvol is, krijgen ze toegang tot de database van je site en kunnen ze gegevens lezen, wijzigen of verwijderen.

5. Cross-site scripting

Cross-Site Scripting (XSS) is een soort aanval waarbij iemand kwaadaardige code op een website plaatst om uit te voeren bij het laden van de pagina. De injectie gebeurt in de browser van een gebruiker en is meestal bedoeld om gevoelige informatie te stelen.

6. Man-in-the-middle aanvallen

Een man-in-the-middle (MitM) of on-path aanval is een cyberaanval waarbij iemand zich in het midden van de communicatie tussen twee apparaten plaatst (zoals een webbrowser en een webserver) met als doel informatie te grijpen en/of zich voor te doen als een van de twee agents.

7. Credential stuffing

Credential Stuffing is een cyberaanval waarbij de aanvaller referenties gebruikt die verkregen zijn uit een datalek op een service of website om in te loggen op een andere service of website. Dit soort aanvallen is een veel voorkomend risico voor professionals die thuis of op afstand werken.

8. Zero-day exploits

Een zero-day exploit is een onopgelost of voorheen onbekend beveiligingslek dat nog niet is verholpen. Zero-day betekent dat je nul dagen hebt om het probleem op te lossen voordat het ernstige schade toebrengt aan je bedrijf.

9. E-skimming

E-skimming of digital skimming is het invoegen van kwaadaardige software op de website van een winkelier met als doel betaalgegevens te stelen tijdens het afrekenen. Dit staat ook bekend als Magecart aanval.

10. Brute force aanvallen

Een brute force aanval is een trial-and-error methode die wordt gebruikt om gevoelige gegevens te decoderen, zoals inloggegevens, API sleutels en SSH inloggegevens. Als een wachtwoord eenmaal bekend is, kan het worden gebruikt om toegang te krijgen tot andere diensten als je dezelfde gegevens op meerdere websites gebruikt. (Zie credential stuffing.)

Het gebruik van sterke wachtwoorden, het inschakelen van multi-factor authenticatiesystemen en het gebruik van een robuuste wachtwoordmanager zijn allemaal best practices om dit soort cyberaanvallen te voorkomen.

11. Backdoors

Een backdoor is een manier om een authenticatie- of versleutelingssysteem te omzeilen en automatisch in te loggen op een website, apparaat of dienst. Als een website of service eenmaal is gekraakt, kan een kwaadwillende zijn eigen achterdeurtjes maken om toegang te krijgen tot je website, gegevens te stelen en mogelijk je hele site te vernietigen.

12. Social engineering-aanvallen

Social engineering aanvallen zijn vooral gevaarlijk omdat ze gebruik maken van de menselijke natuur: vertrouwen in anderen, gebrek aan kennis, ongemak om tegen een bevel in te gaan, utilitarisme, enzovoort. De basis van social engineering is de psychologische manipulatie van mensen met als doel vertrouwelijke informatie zoals wachtwoorden, bankgegevens en financiële informatie openbaar te maken.

De meest gebruikte kanalen om dit soort aanvallen uit te voeren zijn e-mails, chat, telefoongesprekken, sociale netwerken, websites en andere. De aanvaller kan die informatie vervolgens gebruiken om andere soorten exploits uit te voeren, zoals Cross-Site Request Forgery.

Bekijk onze videohandleiding om alles te begrijpen over CSRF aanvallen

13. Aanvallen op de supply chain

Bij een supply chain aanval infiltreert een cyberaanvaller kwaadaardige code in de software van een leverancier om deze samen met een update te verspreiden.

Hoewel ze niet zo wijdverspreid zijn als andere backdoor-aanvallen, zijn er recentelijk supply chain-aanvallen ontdekt op verschillende WordPress plugins.