Een skimmer op een website is schadelijke code die gegevens van bezoekers onderschept, bijvoorbeeld tijdens het afrekenen.
Definitiebron: Sansec: What is Magecart?. Gelezen op 24 oktober 2026. De praktische vragen op deze pagina helpen je de melding met je beheerder af te bakenen.
Wat doet een digitale skimmer?
Hier gaat skimming over websites, niet over een apparaat bij een pinautomaat. Sansec beschrijft webskimming als het onderscheppen van transactiegegevens tijdens het afrekenen. De code kan gegevens meenemen terwijl de bestelling gewoon doorgaat.
Dat een betaling slaagt, zegt daarom niets over wie de invoer daarnaast kon lezen.
FormjackingFormjacking is het onderscheppen van gegevens die bezoekers in een webformulier invoeren, zonder hun toestemming. legt de nadruk op het onderscheppen van formulierinvoer. MagecartMagecart is een verzamelnaam voor aanvallen waarbij betaalgegevens tijdens het afrekenen in een webshop worden onderschept. is een naam die je in onderzoek naar dit soort diefstal tegenkomt. Die woorden helpen een melding begrijpen, maar vertellen op zichzelf niet welke ingang op jouw site is gebruikt.
Welke aanwijzingen zijn relevant?
Welke PHP-versie meldt jouw site?
Passieve check van headers, versie en de kop van de homepage. Geen login, geen scan.
Een melding van je betaalprovider of een onverwachte wijziging aan je betaalpagina vraagt aandacht. Vraag naar de concrete waarneming en de betrokken pagina. Een nieuwe externe verbinding kan ook bij een toegestane betaalfunctie horen.
Laat een deskundige de functie en herkomst beoordelen, zonder echte klantgegevens als testmateriaal te gebruiken.
Leg vast op welke pagina en op welk moment het signaal is gezien. Vraag of de controle de pagina betrof die bezoekers werkelijk ontvangen, inclusief externe scripts. Een controle van alleen opgeslagen serverbestanden heeft een andere omvang.
Vermijd de conclusie dat niets aan de hand is omdat je zelf geen vreemd veld ziet.
Wat doe je als je checkout verdacht is?
Neem contact op met je beheerder en betaalprovider via hun bekende contactroute. Laat bepalen hoe nieuwe blootstelling van bezoekers wordt beperkt en welk onderzoek nodig is. Bewaar de oorspronkelijke melding.
Plaats geen kaartnummers, klantnamen of schermafbeeldingen met betaalgegevens in een openbare supportvraag.
Een Content Security PolicyEen Content Security Policy (CSP) is een regel die de browser vertelt van welke plekken jouw pagina bestanden en scripts mag laden. kan onderdeel zijn van het beheer van scripts. Het is geen verklaring dat een bestaande checkout vrij van schadelijke code is. Vraag welke scripts nodig zijn, wie wijzigingen goedkeurt en hoe de afgesproken configuratie wordt gecontroleerd.
Wanneer heb je gespecialiseerde hulp nodig?
Bij vermoedelijk onderschepte betaalgegevens hoort overleg met je betaalprovider. Laat die aangeven welke deskundigheid en vervolgstappen voor jouw situatie nodig zijn. Gewoon websiteonderhoud is geen gespecialiseerd betaalkaartonderzoek.
Leg geen hersteltermijn of meldplicht vast op basis van alleen deze definitiepagina.
PHPPHP is de programmeertaal waarmee veel websites, zoals WordPress-sites, hun pagina's maken op het moment dat een bezoeker erom vraagt. verwijderen neemt JavaScript dat je browser van derden ontvangt niet automatisch weg. Vraag dus naar de onderzochte route, niet alleen naar de servertaal. Houd de controle van de betaalpagina apart van het onderhoud aan je CMSEen contentmanagementsysteem (CMS) is een programma waarmee je teksten en afbeeldingen op je website zelf aanpast, zonder te hoeven programmeren..
Bereid je hulpvraag voor
Maak voor je beheerder een korte notitie met de betrokken pagina, het moment van de waarneming en wat je team daarvoor veranderde. Voeg de oorspronkelijke melding toe als die beschikbaar is. Houd feiten en vermoedens apart.
Een beschrijving als ‘dit zag ik op deze pagina’ is bruikbaarder dan een conclusie waarvoor nog geen onderzoek is gedaan.
Voor regulier onderhoud aan een PHP-site kun je de bestaande diensten van een PHP-specialist bekijken. Bespreek eerst welke vraag binnen die dienst past. Deze begrippenpagina biedt uitleg, geen onderzoek van jouw installatie of toezegging over herstel.
Laat bij een mogelijk incident vooraf vastleggen welke deskundigheid nodig is en welke onderdelen iemand daadwerkelijk kan beoordelen.
Spreek af wie de bevindingen ontvangt en wie een open vraag opvolgt. Vraag om een verslag met de gecontroleerde onderdelen, de datum en de beperkingen. Dat helpt je beslissen over een volgende stap zonder een algemene geruststelling als bewijs te gebruiken.
Je eerste eigen stap is de waarneming vastleggen en aan de verantwoordelijke beheerder doorgeven.
Veelgestelde vragen
Bewijst een werkende betaling dat er geen skimmer is?
Nee. De normale betaling en het onderscheppen van gegevens kunnen naast elkaar plaatsvinden. Laat de betaalpagina beoordelen en stem bij een vermoeden af met je betaalprovider.
Wat geef ik door aan mijn beheerder?
De betrokken pagina, het tijdstip en de oorspronkelijke melding. Beschrijf wat je zelf zag en wat nog een vermoeden is. Deel geen wachtwoorden, sleutels of persoonsgegevens van klanten in een gewoon formulier.
Kan de PHP Exposure Check dit vaststellen?
Nee. Die check laat alleen zien wat je server publiek over onder meer de PHP-versieEen PHP-versie is het nummer van de uitgave van PHP waarop jouw website draait, zoals 8.3. prijsgeeft. Hij onderzoekt geen malware, toegangsrechten of onderschepping van formuliergegevens.
Laat je concrete melding apart beoordelen.