Betaalgegevens gestolen via jouw webshop? Zo herken en voorkom je een digital skimmer

TL;DR – Digital skimmer: onzichtbaar, maar verwoestend

Een digital skimmer is kwaadaardige code die onzichtbaar in jouw webshop draait en betaalgegevens van klanten steelt – terwijl alles er normaal uitziet.

Wat een digital skimmer doet:

Vervangt jouw betaalknop door een nep-formulier

Stuurt kaartgegevens naar criminelen

Laat geen sporen achter in jouw systemen

Jij weet van niks – totdat een klant belt

Wat je ertegen kunt doen:

Gebruik een externe betaalprovider (Mollie, MultiSafepay)

Houd alle modules en plugins up-to-date

Zorg voor actieve bestandsmonitoring op je server

Kies een hoster met proactieve beveiligingsmonitoring

Vorige week landde er een mail in mijn inbox van PrestaShop. Geen nieuwsbrief, geen update. Een beveiligingswaarschuwing aan alle merchants wereldwijd.

Een actieve digital skimmer campagne, webshops waren geïnfecteerd. En nog erger: Betaalgegevens van klanten gestolen. En de eigenaren? Die hebben niets gemerkt.

Geen melding. Geen alarm. Geen foutmelding. De bestellingen kwamen gewoon binnen.

Dat is wat een digital skimmer zo gevaarlijk maakt: het is volledig onzichtbaar totdat het al te laat is.

Wat is een digital skimmer?

Ken je die skimmer-apparaatjes die criminelen vroeger op pinautomaten plakten? Ze kopieerden stilletjes je betaalpas terwijl jij gewoon geld opnam.

Een digital skimmer werkt precies hetzelfde, maar dan in jouw webshop.

Het is een stukje kwaadaardige code, verborgen in je webshop, dat de betaalpagina manipuleert. De originele betaalknop wordt vervangen door een nep-formulier. Jouw klant denkt normaal af te rekenen. Maar de kaartgegevens gaan rechtstreeks naar criminelen.

Jij ziet niks. De bestelling wordt gewoon verwerkt. De klant ontvangt een bevestiging. Alles lijkt in orde.

Totdat die klant zijn bankafschrift checkt.

Meer lezen over recente digitale skimming-methoden? Bekijk het onderzoek van Europol over digitale web-skimming:
https://www.europol.europa.eu/media-press/newsroom/news/action-against-digital-skimming-reveals-443-compromised-online-merchants

Hoe komt een skimmer in jouw webshop?

Criminelen zoeken niet naar jou persoonlijk. Ze zoeken naar zwakke plekken in populaire software.

De meest voorkomende manieren:

Via verouderde modules of plugins Elke module die je installeert is een potentiële ingang. Modules die niet worden bijgehouden bevatten soms kwetsbaarheden die al lang bekend zijn en waar criminelen actief op scannen. De recente PrestaShop aanval maakte precies hier gebruik van: een kwetsbare third-party module gaf aanvallers toegang via SQL injectie.

Via een standaard databaseprefix Klinkt technisch, maar het is simpel: standaard installaties gebruiken een voorspelbaar prefix voor de database. Dat maakt automatische aanvallen een stuk makkelijker.

Via gelekte inloggegevens Als iemand toegang heeft tot je FTP of beheeromgeving – via een gelekt wachtwoord of een onbeveiligde verbinding – kan er code worden geïnjecteerd zonder dat je het merkt.

Via gratis themes of onbekende modules “Gratis” is zelden echt gratis. Sommige gratis themes en plugins bevatten al kwaadaardige code op het moment dat je het installateert.

Waarom merk je het zelf niet?

Dat is precies wat een digital skimmer zo gevaarlijk maakt.

Er gaat niks kapot. Er zijn geen foutmeldingen. De webshop draait gewoon door. Bestellingen komen binnen. Alles ziet er normaal uit.

De skimmer werkt op de achtergrond, stil en onopvallend. Het enige wat verandert is waar de betaalgegevens van jouw klanten naartoe gaan.

Klassieke monitoring ziet dit niet. Die checkt of je site bereikbaar is, of SSL nog geldig is, of de server niet overbelast is. Maar een stukje kwaadaardige code in een template-bestand? Dat valt buiten het blikveld van standaard monitoring tools.

Hoe herken je een skimmer?

Signalen om op te letten:

Klanten melden verdachte afschrijvingen na een aankoop in jouw webshop
Check via zoekmachines of de browser geeft een beveiligingswaarschuwing over jouw site
Onverklaarbare wijzigingen in bestanden op je server, zonder dat jij iets hebt aangepast
Vreemde scripts in de broncode van je betaalpagina

Technisch gezien zoek je naar onbekende <script> tags in je theme-bestanden – met name in de header. Bij de recente PrestaShop aanval zat de kwaadaardige code verstopt in het bestand themes/[thema]/templates/_partials/head.tpl.

Maar eerlijk gezegd: als je zelf moet gaan zoeken, ben je al te laat. De schade is dan al aangericht.

Wat beschermt jou wél?

Goed nieuws: er zijn concrete maatregelen die het risico aanzienlijk verkleinen – of de schade beperken als het toch misgaat.

Een externe betaalprovider

Dit is de belangrijkste bescherming. Als je werkt met Mollie, MultiSafepay of Buckaroo via een andere externe provider, worden kaartgegevens nooit ingevoerd op jouw webshop. De klant wordt doorgestuurd naar de beveiligde omgeving van de betaalprovider. Een skimmer kan de knop misschien vervangen, maar heeft geen toegang tot de betaalpagina van Mollie.

Up-to-date modules en plugins

Elke update dicht potentiële kwetsbaarheden. Het klinkt simpel, maar het wordt vaker overgeslagen dan je denkt. Zeker bij webshops met tientallen actieve modules.

Verwijder wat je niet gebruikt

Elke module die je niet actief gebruikt is een risico zonder voordeel. Schoon je installatie regelmatig op.

Een custom databaseprefix

Een kleine aanpassing bij de installatie die geautomatiseerde aanvallen een stuk lastiger maakt. Standaard ps_ of wp_ prefixen zijn de eerste dingen die aanvallers proberen.

Actieve bestandsmonitoring

Dit is waar proactieve hosting het verschil maakt. Als een bestand op je server onverwacht wordt aangepast – zonder dat jij of een update daar de oorzaak van is – wil je dat direct weten. Niet een week later.

Bij DSCloud9 monitoren we dit als onderdeel van onze dagelijkse security-rapportage. Veranderingen in bestanden die niet verwacht worden, worden tijdig gesignaleerd om problemen te voorkomen.

Wil je jouw webshop technisch beter beschermen? Bekijk dan ook mijn pagina met infrastructuur‑add‑ons voor beveiliging en monitoring:
https://dscloud9.nl/infrastructuur-add-ons/

Een hosting provider met AVG-procedure

Als er toch een incident plaatsvindt waarbij klantdata is gelekt, ben jij als verwerkingsverantwoordelijke verplicht dit te melden bij de Autoriteit Persoonsgegevens – binnen 72 uur. Zorg dat je provider weet wat dat inhoudt en je daarin kan ondersteunen.

Wat doe je nú?

Een praktische checklist:

✓ Controleer of je een externe betaalprovider gebruikt (geen inline kaartformulier op jouw pagina)
✓ Update alle modules, plugins en je webshop core naar de laatste versie
✓ Verwijder modules die je niet meer gebruikt
✓ Vraag je hosting provider of er actieve bestandsmonitoring actief is
✓ Controleer of je provider een AVG-procedure heeft bij een datalek
✓ Check de broncode van je betaalpagina op onbekende scripts

Onder aan de streep

Een digital skimmer is niet onontkoombaar. Het is het resultaat van verouderde software, ontbrekende monitoring en een te reactieve aanpak van beveiliging.

Met de juiste technische basis wordt een aanval opgemerkt voordat klanten schade ondervinden. Niet door toeval, maar door proactieve monitoring van je server.

De vraag is niet óf jouw webshop een doelwit is. De vraag is of jouw beveiliging het opmerkt voordat jouw klanten het doen.

Europese servers. AVG-compliant. Privacy-first. Proactieve beveiliging.

Twijfel je of jouw webshop gevoelig is voor digitale skimmers?
Mail me op info@dscloud9.nl voor een gratis mini‑securitycheck met 3 verbeterpunten.