Formjacking is het onderscheppen van gegevens die bezoekers in een webformulier invoeren, zonder hun toestemming.
Definitiebron: Sansec: What is Magecart?. Gelezen op 24 oktober 2026. De praktische vragen op deze pagina helpen je de melding met je beheerder af te bakenen.
Wat wordt er bij formjacking gekaapt?
Het gaat om de invoer van de bezoeker. Een formulier kan er normaal uitzien en de bedoelde aanvraag versturen terwijl schadelijke code de gegevens daarnaast onderschept. Sansec gebruikt formjacking als term bij webskimming van betaalformulieren.
Een skimmerEen skimmer op een website is schadelijke code die gegevens van bezoekers onderschept, bijvoorbeeld tijdens het afrekenen. is de code die zo’n onderschepping uitvoert.
Houd de betekenis apart van een defect formulier. Een foutmelding na verzenden bewijst geen gegevensdiefstal. Andersom is een bevestigingsmail geen bewijs dat de invoer uitsluitend bij de bedoelde ontvanger terechtkwam.
Voor die conclusie moet je weten wat de pagina tijdens het invullen en verzenden uitvoerde.
Waaraan kun je het herkennen?
Welke PHP-versie meldt jouw site?
Passieve check van headers, versie en de kop van de homepage. Geen login, geen scan.
Een onverwacht toegevoegd script of een waarschuwing over een formulier kan aanleiding geven tot onderzoek. Vraag je beheerder welke verandering is vastgesteld en waarom die verdacht is. Een formulier mag bijvoorbeeld legitiem verbinding maken met een afgesproken formulierdienst.
Het doel en de bestemming moeten dus in de beoordeling worden meegenomen.
Noteer om welk formulier het gaat en of er gevoelige gegevens worden gevraagd. Deel voor een eerste melding de pagina en de beschrijving van het probleem, geen ingevulde klantgegevens. Laat een deskundige bepalen hoe het gedrag kan worden gecontroleerd zonder bezoekers of echte gegevens aan extra risico bloot te stellen.
Wat vraag je aan je beheerder?
Vraag welke scripts op het formulier nodig zijn en wie ze beheert. Betrek ook wijzigingen via externe diensten. Een Content Security PolicyEen Content Security Policy (CSP) is een regel die de browser vertelt van welke plekken jouw pagina bestanden en scripts mag laden. beperkt toegestane bronnen volgens een ingesteld beleid.
Subresource IntegritySubresource Integrity laat je browser controleren of een geladen script of stijlbestand overeenkomt met de vooraf verwachte inhoud. vergelijkt geschikte externe bestanden met een vooraf vastgelegde inhoud. Geen van beide is op zichzelf een onderzoek naar al gestolen gegevens.
Laat bij een concreet vermoeden bepalen of het formulier tijdelijk moet worden beperkt. Spreek af welk alternatief bezoekers krijgen en wie controleert dat de opvolging werkt. Een formulier uitschakelen zonder afhandeling te regelen kan aanvragen laten verdwijnen; dat is een aparte bedrijfsbeslissing die je met de beheerder neemt.
Wanneer vraag je specialistische hulp?
Bij mogelijke onderschepping van betaalgegevens neem je ook contact op met de betaalprovider. Bij andere persoonsgegevens laat je de verantwoordelijke voor privacy beoordelen welke opvolging nodig is. Deze pagina stelt geen meldplicht vast en geeft geen termijn voor jouw situatie.
Laat de onderzoeker onderscheiden wat de website nu doet en wat over een eerdere periode aantoonbaar is. De huidige pagina kan gewijzigd zijn sinds het eerste signaal. Een controle vandaag kan daarom niet zonder meer beschrijven wat eerdere bezoekers hebben ontvangen.
Bereid je hulpvraag voor
Maak voor je beheerder een korte notitie met de betrokken pagina, het moment van de waarneming en wat je team daarvoor veranderde. Voeg de oorspronkelijke melding toe als die beschikbaar is. Houd feiten en vermoedens apart.
Een beschrijving als ‘dit zag ik op deze pagina’ is bruikbaarder dan een conclusie waarvoor nog geen onderzoek is gedaan.
Voor regulier onderhoud aan een PHP-site kun je de bestaande diensten van een PHP-specialist bekijken. Bespreek eerst welke vraag binnen die dienst past. Deze begrippenpagina biedt uitleg, geen onderzoek van jouw installatie of toezegging over herstel.
Laat bij een mogelijk incident vooraf vastleggen welke deskundigheid nodig is en welke onderdelen iemand daadwerkelijk kan beoordelen.
Spreek af wie de bevindingen ontvangt en wie een open vraag opvolgt. Vraag om een verslag met de gecontroleerde onderdelen, de datum en de beperkingen. Dat helpt je beslissen over een volgende stap zonder een algemene geruststelling als bewijs te gebruiken.
Je eerste eigen stap is de waarneming vastleggen en aan de verantwoordelijke beheerder doorgeven.
Veelgestelde vragen
Is HTTPS voldoende tegen formjacking?
Een beveiligde verbinding beantwoordt een andere vraag dan wat de pagina met invoer doet. Laat het formulier en de gebruikte scripts beoordelen; een slotje is geen controle op onderschepping in de pagina.
Wat geef ik door aan mijn beheerder?
De betrokken pagina, het tijdstip en de oorspronkelijke melding. Beschrijf wat je zelf zag en wat nog een vermoeden is. Deel geen wachtwoorden, sleutels of persoonsgegevens van klanten in een gewoon formulier.
Kan de PHP Exposure Check dit vaststellen?
Nee. Die check laat alleen zien wat je server publiek over onder meer de PHP-versieEen PHP-versie is het nummer van de uitgave van PHP waarop jouw website draait, zoals 8.3. prijsgeeft. Hij onderzoekt geen malware, toegangsrechten of onderschepping van formuliergegevens.
Laat je concrete melding apart beoordelen.