Muziekwinkel raakt Facebook-pagina kwijt na hack en loopt vast bij Meta

Muziekwinkel Atelier Pfeiffer uit Rijswijk raakte vorige maand na een hack zijn Facebook-pagina kwijt en krijgt Meta niet in beweging om die terug te geven, meldt Het Financieele Dagblad in een reportage.

Voor een klein bedrijf is zo'n pagina zelden bijzaak. Ze is tegelijk etalage, openingstijden, recensies en klantenservice, en ze hangt vrijwel altijd aan het persoonlijke Facebook-account van één beheerder. Valt dat account om, dan valt het kanaal waar klanten je vinden en aanspreken mee om. Precies die dubbelrol maakt sociale media volgens het FD een gewild doelwit bij mkb-bedrijven.

De aanval zit niet op je pagina maar op je privéaccount

Meta beschrijft de route zelf. Een aanvaller die een wachtwoord steelt, meldt zich aan bij het persoonlijke account van de beheerder, voegt zichzelf toe aan de pagina en verwijdert daarna de toegang van de rechtmatige eigenaar. Een tweede variant gaat helemaal zonder inbraak: een oplichter praat een beheerder de controle over de pagina uit handen binnen Meta Business Suite.

Dat verklaart waarom een goed beveiligde bedrijfspagina niet genoeg is. De zwakste schakel is het privéaccount van de mens die de pagina beheert, en die categorie groeit hard. Gekaapte accounts stegen bij de Autoriteit Persoonsgegevens over 2025 van ruim 600 naar ruim 1.700 datalekmeldingen, bijna een verdrievoudiging.

Wat Meta wel doet als het misgaat

Er is precies één officiële route: een herstelformulier voor een gehackte pagina. Meta zegt te streven naar antwoord binnen een dag, met de aantekening dat sommige beoordelingen langer duren. Het bedrijf voegt daaraan toe alleen actie te kunnen ondernemen als het zelf kan bevestigen dat de pagina daadwerkelijk is gehackt.

Betalen brengt je daar niet omheen. Ook bedrijven met een abonnement op Meta Verified krijgen het advies exact hetzelfde formulier in te sturen, omdat dat volgens Meta de snelste weg naar herstel is. Een aparte, snellere lijn voor dit probleem valt dus niet te kopen.

De voorzorg die wel in eigen hand ligt

De belangrijkste maatregel is een eigendomskwestie, geen wachtwoordkwestie. Eigendom van een bedrijfspagina betekent bij Meta dat de pagina in een bedrijfsportfolio staat op naam van de onderneming, en niet aan het privéaccount van een beheerder hangt. Meta schrijft zelf dat pagina's die een bedrijf vertegenwoordigen aan het bedrijfsportfolio van dat bedrijf moeten worden toegevoegd, en dat het bedrijf ook eigenaar blijft wanneer een reclamebureau het beheer doet. Dat bureau krijgt toegang als partner, niet het eigendom.

Praktisch komt dat neer op drie zetten:

• Eigendom bij het bedrijf. Claim de pagina in een bedrijfsportfolio op naam van je onderneming, zodat ze niet aan één persoonlijke inlog hangt.
• Twee mensen met volledige controle. Eén gekaapt account is dan niet meteen de laatste sleutel die je had.
• Een kanaal dat van jou is. Een website met je aanbod, een e-maillijst met je klanten, openingstijden en telefoonnummer op een plek die niemand kan afsluiten.

Een gekaapte pagina is vaak ook een datalek

Er zit een kant aan die in dit soort gevallen wordt overgeslagen. In het postvak van een bedrijfspagina staan gesprekken met klanten, inclusief namen, telefoonnummers en soms adressen. Neemt een aanvaller de pagina over, dan krijgt hij die persoonsgegevens erbij, en dan gaat het om een datalek. De meldplicht kent een klok van 72 uur die begint te lopen zodra je het lek ontdekt, niet zodra je je pagina terugkrijgt.

Een etalage die je huurt

De casus in Rijswijk is klein, het patroon erachter niet. Meta bouwt Facebook juist verder uit tot een plek waar mensen dingen opzoeken, met een AI-modus die antwoorden samenstelt uit wat mensen publiek delen in Groups en Reels. Hoe zwaarder dat kanaal gaat wegen voor je vindbaarheid, hoe ongemakkelijker het is dat de toegang ertoe aan één persoonlijke inlog hangt en dat het herstel bij verlies neerkomt op een formulier zonder toezegging.

Wat het verhaal van Atelier Pfeiffer laat zien, is niet dat sociale media onbetrouwbaar zijn. Het laat zien dat de etalage gehuurd is. Het bereik is echt en de huur is gratis, maar er hoort geen serviceloket bij. Daarmee is de vraag wie formeel eigenaar is van je pagina, en wat er van je klantcontact overblijft als die pagina morgen weg is, geen it-detail meer maar een bedrijfsvraag.