Een medewerker van marketing meldt dat ze niet meer binnenraakt in de Facebook-pagina van het bedrijf. Een uur later verschijnen er advertenties die niemand gemaakt heeft, betaald met de bedrijfskaart. Wie zijn Facebook- of Instagram-bedrijfsaccount gehackt ziet, heeft geen tijd voor achtergrond. Daarom staat de checklist voor het eerste uur hieronder bovenaan, en de uitleg pas daarna.
Dit artikel gaat over bedrijfspagina’s, advertentieaccounts en zakelijke profielen op Facebook, Instagram, LinkedIn en andere platformen. Niet over het privéaccount van een particulier.
In het kort
- Een gehackte bedrijfspagina is eerst een financieel probleem: aanvallers gebruiken de gekoppelde betaalkaart voor advertenties. Blokkeer die kaart als eerste.
- Een Facebook-pagina heeft geen eigen wachtwoord. Wie binnenraakt, doet dat via het persoonlijke profiel van een beheerder, een vals partnerverzoek of een gestolen sessie.
- Een tweede beheerder die nog toegang heeft, is uw snelste weg terug.
- Bent u volledig buitengesloten, dan loopt het herstel bij Meta via een formele procedure met een verklaring op bedrijfsbriefpapier en een eigendomsbewijs.
- Wie u via sociale media aanbiedt om het account tegen betaling terug te halen, is vrijwel altijd zelf een oplichter.
Bedrijfspagina gehackt? Dit doet u in het eerste uur
Bij een gehackte bedrijfspagina stopt u eerst de geldstroom, dan sluit u de aanvaller buiten met een tweede beheerder, dan beveiligt u het e-mailadres achter het account, en tot slot legt u bewijs vast. Die volgorde beperkt de schade het meest, omdat advertentiekosten per minuut kunnen oplopen.
- Minuut 0 tot 15: stop de betalingen. Blokkeer de kaart die aan het advertentieaccount gekoppeld is via de app van uw bank of via Card Stop op 078 170 170. Raakt u nog in Meta Business Suite of LinkedIn Campaign Manager, verwijder dan ook daar de betaalmethode.
- Minuut 15 tot 30: gebruik een tweede beheerder. Kijk of iemand anders in het bedrijf nog beheerder is. Die verwijdert via de instellingen onder “Personen” en “Partners” elke onbekende persoon, elk onbekend bedrijfsportfolio en elke beheerder die er net bij kwam.
- Minuut 30 tot 45: beveilig de toegang erachter. Meld alle actieve sessies af op de persoonlijke profielen van de beheerders. Wijzig het wachtwoord van het e-mailadres waaraan het account hangt, en kijk in die mailbox of er geen regels staan die berichten doorsturen of verwijderen.
- Minuut 45 tot 60: leg bewijs vast en waarschuw intern. Maak schermafbeeldingen met zichtbare datum en tijd van gewijzigde rollen, onbekende advertenties en account-ID’s. Vraag collega’s om geen berichten of verzoeken te beantwoorden die nu via het account binnenkomen.
Daarna volgt de bredere aanpak: wie u verwittigt, welke systemen u nakijkt en hoe u verder gaat. Die algemene stappen staan in ons artikel over de eerste zeven stappen als uw bedrijf gehackt is.
Waarom heeft een bedrijfspagina geen eigen wachtwoord?
Een Facebook-bedrijfspagina heeft geen eigen inloggegevens. Ze wordt beheerd via de persoonlijke profielen van de beheerders, en bij grotere organisaties via een bedrijfsportfolio in Meta Business Suite. Wie de pagina overneemt, doet dat dus via een van die profielen, en het advies om “het wachtwoord van de pagina te wijzigen” werkt daarom niet.
Dat verklaart ook waarom een probleem met één privéprofiel zo snel de hele bedrijfsaanwezigheid raakt. Wordt het profiel van de zaakvoerder gehackt of door het platform geschorst, en is hij de enige beheerder, dan verliest het bedrijf mee de controle.
Een tweestapsverificatie houdt niet alles tegen. Infostealers zoals Ducktail, beschreven door WithSecure in 2022, stelen de cookies van aangemelde browsersessies en werden onder meer via LinkedIn verspreid naar medewerkers van marketing en HR. Met zo’n cookie is de aanvaller al aangemeld. Hoe u nagaat of bedrijfsaccounts in zulke gestolen gegevens opduiken, leest u in ons artikel over Have I Been Pwned en gelekte bedrijfsaccounts.
Officiële herstelroutes per platform
Gebruik voor het herstel enkel de routes van het platform zelf. Leg vooraf klaar wat het platform vraagt, dan verliest u geen tijd met heen-en-weer.
| Platform | Officiële route | Wat u klaarlegt |
|---|---|---|
| Facebook-pagina en Meta Business Suite | facebook.com/hacked en het Meta Business Help Center (herstel van een bedrijfsportfolio, Page Admin Dispute) | Pagina-ID en URL, gegevens van het bedrijf, verklaring op bedrijfsbriefpapier, officieel eigendomsbewijs |
| Instagram-bedrijfsaccount | instagram.com/hacked | Accountnaam, oorspronkelijk e-mailadres en telefoonnummer; soms een videoselfie als er gezichten op het profiel staan |
| LinkedIn-bedrijfspagina | Het ondersteuningsformulier van LinkedIn voor beheerdersrechten van een bedrijfspagina | URL van de pagina, een e-mailadres op het domein van het bedrijf, het profiel van een medewerker |
| TikTok for Business | Business Support via ads.tiktok.com | Ondernemingsnummer, bewijs van het webdomein, Business Center-ID |
| X | help.x.com/forms/account-access/regain | Gebruikersnaam, registratie-e-mailadres, toelichting bij de ongeautoriseerde toegang |
Geen enkel platform publiceert een vaste hersteltermijn. Volg een geopend ticket elke dag op, zodat het niet automatisch wordt afgesloten wegens inactiviteit.
Volledig buitengesloten: de Page Admin Dispute bij Meta
Heeft niemand van het bedrijf nog toegang, dan biedt Meta een formele betwisting van het beheer aan. Daarvoor vraagt Meta twee soorten stukken. Een verklaring op officieel briefpapier van het bedrijf, ondertekend, waarin staat wat de relatie van de indiener tot de pagina is en waarom hij het beheer opeist. En een officieel eigendomsbewijs, zoals een recent uittreksel uit de Kruispuntbank van Ondernemingen of de statuten. Zelf opgestelde documenten en facturen volstaan niet als eigendomsbewijs.
Pas op voor wie aanbiedt uw account terug te halen
Wie publiek om hulp vraagt, krijgt vaak binnen het uur berichten van profielen die beweren dat een “ethische hacker” het account tegen betaling terughaalt. Dat zijn oplichters. Ze hebben geen toegang tot de systemen van Meta of LinkedIn, vragen een voorschot en verdwijnen. Ook een cybersecuritybedrijf kan een geblokkeerd account niet rechtstreeks deblokkeren. Wat een specialist wel doet: de schade beperken, bewijs bundelen en het dossier bij het platform zo sterk mogelijk maken.
Hoe raken aanvallers binnen bij een bedrijfspagina?
| Aanvalsweg | Hoe het werkt | Wie het doelwit is |
|---|---|---|
| Valse meldingen over auteursrecht of schorsing | Een bericht via e-mail of Messenger dreigt met het sluiten van de pagina en leidt naar een nagemaakte inlogpagina | Beheerders van bedrijfspagina’s |
| Infostealers | Malware, vermomd als sollicitatie of mediakit, steelt aangemelde sessies uit de browser | Marketing, communicatie en HR |
| Valse partnerverzoeken | Een medewerker keurt een partnerverzoek goed in Meta Business Suite, waarna een ander portfolio rechten krijgt | Marketingteams |
| Gehackt privéprofiel van een beheerder | Een hergebruikt wachtwoord of zwakke beveiliging op het persoonlijke profiel | Zaakvoerders die enige beheerder zijn |
| Vergeten rechten | Ex-medewerkers of een vroeger bureau hebben nog beheerdersrechten; een inbraak bij hen raakt uw pagina | Pagina’s zonder periodieke controle van rollen |
Officiële meldingen van Meta verschijnen in het ondersteuningspostvak van uw beheeromgeving, niet als chatbericht met een externe link. Een verdacht bericht stuurt u door naar verdacht@safeonweb.be; hoe dat werkt, leest u in ons artikel over phishing melden in België.
“Sociale media zijn een marketingzaak, geen IT-probleem”
Dat hoort u vaak, en voor de dagelijkse inhoud klopt het. Bij een overname niet meer. Aan een advertentieaccount hangt een betaalkaart. In de inbox van de pagina staan namen, bestellingen en soms cv’s. En een overgenomen pagina met het vertrouwde logo is voor aanvallers een ideaal kanaal om uw klanten valse links te sturen. Daarom hoort de beveiliging van de bedrijfspagina bij de informatiebeveiliging, en de inhoud bij marketing.
Is een gehackte bedrijfspagina een datalek?
Dat hangt af van wat de aanvaller kon zien. Kreeg hij toegang tot een postvak met berichten van klanten, sollicitanten of leveranciers, dan is er een inbreuk op persoonsgegevens. Houdt die een risico in voor de betrokkenen, dan meldt u ze binnen 72 uur bij de Gegevensbeschermingsautoriteit; hoe, staat in ons artikel over een datalek melden bij de GBA. Ging het enkel om advertenties en een gewijzigde paginanaam, zonder toegang tot persoonsgegevens, dan is er geen melding nodig, maar legt u wel intern vast wat er gebeurde.
Doe in elk geval aangifte bij de lokale politie. Hacking en informaticabedrog zijn strafbaar, en een proces-verbaal hebt u nodig om onterechte advertentiekosten bij uw bank en uw verzekeraar te betwisten.
Zo houdt u de bedrijfspagina in eigen handen
- Minstens twee vaste beheerders. Twee medewerkers in vaste dienst met volledige rechten, zodat één geblokkeerd profiel het bedrijf niet buitensluit.
- Bureaus als partner, nooit als eigenaar. Het bedrijfsportfolio blijft van uw bedrijf. Een extern bureau krijgt toegang via een partnerkoppeling, nooit via gedeelde wachtwoorden.
- Tweestapsverificatie met een app of sleutel, niet per sms. Waarom sms niet meer volstaat, legden we uit in ons artikel over MFA en waarom sms niet meer veilig is.
- Rechten intrekken bij elk vertrek. Wie het bedrijf verlaat of wiens bureaucontract stopt, verliest de dag zelf zijn rechten. Dat hoort in uw offboardingprocedure bij een personeelswissel.
- Limieten en meldingen. Stel een dagelijkse bestedingslimiet in op het advertentieaccount en laat u verwittigen bij elke nieuwe beheerder of advertentie.
Is uw bedrijfspagina nu overgenomen?
Zit u midden in een overname, of twijfelt u of er meer dan de pagina getroffen is? Cyberplan helpt bij de eerste schadebeperking, het veiligstellen van bewijs en het opbouwen van een sterk dossier voor het platform, de politie en de GBA. Neem contact op via onze pagina voor bedrijven die gehackt zijn.
Veelgestelde vragen
Wat moet ik eerst doen als onze Facebook-bedrijfspagina gehackt is?
Blokkeer eerst de betaalkaart die aan het advertentieaccount gekoppeld is, via uw bank of Card Stop op 078 170 170. Laat daarna een tweede beheerder onbekende personen en partners verwijderen, beveilig het e-mailadres achter het account en leg bewijs vast met schermafbeeldingen met datum en tijd.
Hoe krijg ik een gehackt Instagram-bedrijfsaccount terug?
Een gehackt Instagram-bedrijfsaccount herstelt u via instagram.com/hacked. U hebt de accountnaam en het oorspronkelijke e-mailadres of telefoonnummer nodig, en soms vraagt Instagram een videoselfie. Is het account aan een overgenomen Meta-bedrijfsportfolio gekoppeld, herstel dan ook dat portfolio via het Meta Business Help Center.
Heeft een Facebook-bedrijfspagina een eigen wachtwoord?
Nee, een Facebook-bedrijfspagina heeft geen eigen wachtwoord. Ze wordt beheerd via de persoonlijke profielen van de beheerders of via een bedrijfsportfolio in Meta Business Suite. Een overname gebeurt dus altijd via een beheerdersprofiel, een vals partnerverzoek of een gestolen sessie op de computer van een beheerder.
Krijgen we onterechte advertentiekosten terug?
Niet automatisch. Leg bewijs vast, doe aangifte bij de politie en betwist de kosten zowel bij Meta als bij uw bank. Het proces-verbaal van de politie versterkt die betwisting. Kijk ook na of uw cyberverzekering zulke kosten dekt, en meld het incident zo snel mogelijk aan uw verzekeraar.
Kan een extern bedrijf ons gehackte account herstellen?
Nee, geen enkel extern bedrijf heeft toegang tot de systemen van Meta of LinkedIn. Wie via sociale media aanbiedt om uw account tegen betaling terug te halen, is vrijwel altijd een oplichter. Een specialist kan wel de schade beperken, bewijs bundelen en het herstelverzoek bij het platform zo sterk mogelijk maken.
Moet ik een gehackte bedrijfspagina melden aan de GBA?
Alleen als de aanvaller toegang had tot persoonsgegevens, zoals berichten van klanten of sollicitanten in het postvak, en dat een risico inhoudt voor die personen. Dan meldt u het binnen 72 uur bij de Gegevensbeschermingsautoriteit. Een overname zonder toegang tot persoonsgegevens legt u enkel intern vast.
