UpdraftCentral-sleutels gelekt: een checklist per site voor bureaus

In het weekend van 17–18 oktober 2026 ontdekte TeamUpdraft (het bedrijf achter UpdraftPlus) onbevoegde toegang tot teamupdraft.com en stelde vast dat de klantendatabase was ingezien. Die database bevatte onder meer de verbindingssleutels voor UpdraftCentral, UpdraftVault en UpdraftClone. Op 21 oktober bevestigde TeamUpdraft dat de aanvaller een gelekte UpdraftCentral-sleutel gebruikte om beheerdersaccounts aan te maken en plugins op sites te installeren; de volledige omvang wordt nog onderzocht. Beheer je klantsites via UpdraftCentral (cloud), behandel dan elke site die daar vóór 18 oktober stond als mogelijk geraakt. Deze gids zet het officiële advies om in een checklist per site die je aan iedereen in je team kunt geven, en vertelt wat je klanten laat weten.

Alles over het incident zelf komt uit de beveiligingsmelding van TeamUpdraft (gepubliceerd op 19 oktober, laatst bijgewerkt op 22 oktober op het moment van schrijven). Bekijk die voor de laatste stand voordat je begint.

Eerst: ben je getroffen?

• Je gebruikte UpdraftCentral (cloud) om sites te beheren: getroffen. De verbindingssleutels zijn gelekt en er is er minstens één gebruikt. Werk vandaag elke vermelde site af.
• Je gebruikt zelf gehoste UpdraftCentral: niet getroffen, volgens TeamUpdraft.
• Je gebruikt UpdraftVault: alle sites zijn losgekoppeld en er zijn nieuwe inloggegevens uitgegeven. Je moet elke site opnieuw koppelen (zie hieronder).
• Je deelde UpdraftClone-sleutels met klanten: oude sleutels werken niet meer; stuur je klanten de nieuwe.
• Je hebt überhaupt een teamupdraft.com-account: wijzig dat wachtwoord en elke plek waar je het hergebruikte.
• Gratis UpdraftPlus zonder teamupdraft.com-account: geen actie nodig, maar houd de plugin bijgewerkt.

De plugin-downloads zijn niet geraakt, en back-ups die je naar je eigen externe opslag stuurt (Google Drive, Dropbox, Amazon S3 en vergelijkbaar) ook niet. Kaartgegevens werden niet door TeamUpdraft bewaard. Was een site bereikbaar via UpdraftCentral, dan raadt TeamUpdraft aan de externe opslag opnieuw te autoriseren en uit voorzorg de toegangssleutels van de opslag te wijzigen.

Maak een lijst voordat je iets aanraakt

Bij veel klantsites is het risico dat je er een overslaat. Exporteer of kopieer eerst de lijst van sites die aan UpdraftCentral gekoppeld zijn, en geef elke site een regel: site, wie controleerde, tijd, beheerders OK, plugins OK, sleutel verwijderd, wachtwoorden gewijzigd, opnieuw gekoppeld. Het kost vijf minuten en het is wat je de klant later laat zien.

De checklist voor elke gekoppelde site

Doe dit via het eigen WordPress-dashboard van de site (log in op de site zelf), niet via UpdraftCentral. Typ het adres zelf in in plaats van op links in e-mails te klikken.

1. Update UpdraftPlus naar 1.26.13 (gratis) of 2.26.13 (Premium) of hoger. Deze releases trekken UpdraftCentral-verbindingssleutels in die vóór 13:07 BST op 18 oktober zijn gemaakt. WordPress.org heeft de update automatisch uitgerold, maar controleer de versie op elke site.
2. Verwijder de oude verbindingssleutel onder Instellingen → UpdraftPlus → Advanced Tools → UpdraftCentral.
3. Controleer Gebruikers. Filter op Beheerder en op Redacteur, en verwijder elk account dat je niet herkent. Noteer de gebruikersnaam en aanmaakdatum voordat je het verwijdert; die heb je later misschien nodig.
4. Controleer Plugins, inclusief het tabblad Must-Use. Verwijder alles wat je niet zelf hebt geïnstalleerd. Aanvallers houden van plugins met onschuldig klinkende namen, en must-use-plugins staan niet in de gewone lijst.
5. Wijzig de wachtwoorden van alle beheerdersaccounts, inclusief het account van je eigen bureau op die site.
6. Ziet iets er verdacht uit, zet dan een back-up van vóór 17 oktober terug, en herhaal daarna de controles op de teruggezette site.
7. Autoriseer de externe opslag opnieuw (Google Drive, Dropbox, S3 en vergelijkbaar) en wijzig die toegangssleutels als de site in UpdraftCentral stond.
8. Koppel de site opnieuw aan UpdraftCentral pas als de stappen hierboven klaar zijn. Sites die je zo opnieuw koppelt, worden door de update niet nog eens losgekoppeld.

Kijk iets verder dan de officiële lijst

De officiële stappen dekken de voor de hand liggende ingangen. Op sites die ertoe doen (shops, ledensites, alles met klantgegevens) besteed je tien minuten extra:

• Onbekende bestanden en mappen in de webroot en in wp-content, en onbekende IP-adressen in je toegangslogs, vooral recent gewijzigde PHP-bestanden of mappen met willekeurige namen of alleen cijfers.
• Geplande taken die je niet herkent (WP-Cron-items, via een tool als WP Crontrol of WP-CLI wp cron event list).
• Applicatiewachtwoorden op beheerdersprofielen. Die blijven bestaan na een gewone wachtwoordwijziging.
• Uitgaande doorverwijzingen en spam: open de site op een telefoon, uitgelogd, en zoek in Google op site:clientdomain.com om pagina’s te vinden die je nooit hebt gemaakt.
• De malwarescan van je beveiligingsplugin of host, draai die nu één keer nu je weet dat er misschien iets te vinden is.

UpdraftVault en UpdraftClone

UpdraftVault: ga op elke site naar Instellingen → UpdraftPlus → Settings, kies UpdraftVault onder externe opslag, klik op Connect onder “Already got space?”, vul je teamupdraft.com-e-mailadres in met het nieuwe wachtwoord, sla op en draai één handmatige back-up om te bewijzen dat het werkt. Tot je dit doet, sturen die sites geen back-ups naar Vault.

UpdraftClone: heb je nooit klantsleutels gemaakt, dan hoef je niets te doen. Deed je dat wel, kopieer dan de nieuwe sleutels uit My Account → UpdraftClone → UpdraftClone Key Management en stuur ze naar de klanten die ze gebruiken.

Wat je je klanten vertelt

Klanten horen over inbraken via het nieuws of via een nerveuze collega. Het is beter als ze het van jou horen, kort en met het werk al gedaan. Een kort bericht is genoeg:

“Een back-uptool die wij gebruiken, meldde op 19 oktober een beveiligingsincident. We hebben je site gecontroleerd: geen onbekende beheerdersaccounts of plugins, wachtwoorden gewijzigd, verbinding vernieuwd. Je hoeft niets te doen. We houden het in de gaten.”

Stuur dat pas als het voor die site klopt. Vond je iets, zeg dan wat je vond, wat je terugzette en waar je nu op let. Let ook op phishing: TeamUpdraft zegt nooit per e-mail om wachtwoorden of sleutels te vragen, dus elk bericht dat dat wel doet, komt niet van hen.

De les voor elk centraal dashboard

Dit gaat niet alleen over één leverancier. Elke tool die veel sites vanaf één plek beheert, heeft een sleutel tot elk ervan: een back-updashboard, een beheerconsole, een hostingpaneel. Een paar gewoontes beperken de schade als er één wordt gekraakt:

• Houd een actuele lijst bij van welke tools aan welke klantsites gekoppeld zijn.
• Gebruik unieke wachtwoorden en tweestapsverificatie op elk leveranciersaccount.
• Bewaar back-ups op een plek die jij beheert, met meer dan één kopie, en test of ze terug te zetten zijn.
• Kies liever tools die elke login en elke actie op een site vastleggen, en die de site-eigenaar vanuit WordPress kan uitzetten.
• Weet wie in je team wat doet op de dag van een incident, voordat die dag komt.

Hoe Verploy hiermee omgaat

Verploy maakt verbinding met klantsites via een kleine connector-plugin. Inloggen met één klik in WP Admin vanuit Verploy wordt vastgelegd, en de site-eigenaar kan dit in WordPress uitzetten (Instellingen → Verploy). Elke update wordt gecontroleerd. Risicovolle eerst op een kopie getest. Meer op de pagina WordPress-onderhoud voor bureaus .