Gehackt Meta- of Google-bedrijfsaccount terugkrijgen: het stappenplan per platform

Het is dinsdagochtend, je wachtwoord werkt niet meer en je Facebook-bedrijfspagina heet ineens iets anders. In je mailbox staat een bevestiging van een e-mailwijziging die je niet hebt aangevraagd. De collega die "het allemaal beheert" blijkt sinds vorig jaar geen beheerder meer te zijn.

Vanaf dit punt is de belangrijkste variabele niet hoe hard je aan de bel trekt, maar in welke volgorde je de dingen doet. Er is namelijk geen nummer om te bellen. Bij Meta en Google loopt herstel via formulieren en bewijsstukken, en allebei beoordelen ze alleen bewijs dat ze zelf kunnen controleren. Wie eerst het paginaformulier instuurt en daarna pas het gekaapte privéaccount terugpakt, doet het werk twee keer.

Dat loket vraagt weinig van jou en veel van je papierwerk, en daar is een reden voor. Het herstelkanaal is inmiddels zelf de aanvalsroute, met een AI-supportvoorziening bij Meta die zes weken lang Instagram-accounts weggaf en een helpdeskgesprek dat Transport for London 39 miljoen pond kostte. Dat verhaal eindigt bij drie beslissingen die je vooraf vastlegt. Deze gids begint waar je die beslissingen niet hebt genomen en nu buiten staat.

Wat je nodig hebt voordat je één formulier instuurt

Accountherstel is de procedure waarmee een platform de toegang tot een account teruggeeft aan iemand die kan aantonen dat hij de rechtmatige eigenaar is. Bij Meta gebeurt dat via een formulier plus een beoordeling achteraf. Bij Google Workspace via een record in het DNS van je eigen domein. Beide routes negeren wat je zegt en kijken alleen naar wat je kunt bewijzen.

Dat maakt de voorbereiding concreet. Het meeste tijdverlies zit niet in de beoordeling van het platform, maar in het feit dat je halverwege een formulier ontdekt dat je het bewijsstuk niet hebt.

Die derde regel is bij Google de kritieke. Je bewijst eigendom van een Workspace-beheerdersaccount door een record aan het DNS van je domein toe te voegen, dus als je registrar-inlog bij je webbureau ligt, ligt je herstelroute daar ook. Dat is dezelfde blinde vlek als een beheerrelatie met je IT-partner die na een leverancierswissel gewoon blijft doorlopen omdat niemand hem opzegt: niemand heeft hem ooit als bevoegdheid opgeschreven.

De eerste tien minuten

Voordat je één herstelknop indrukt, doe je drie dingen die later niet meer kunnen.

Controleer je e-mailregels. Het NCSC zet dit in zijn herstelvolgorde meteen na het contact met de aanbieder: check je e-mailaccount, filterinstellingen en doorstuurregels. Een aanvaller die een doorstuurregel achterlaat, leest je herstelmails gewoon mee nadat jij je wachtwoord hebt veranderd. Alles wat je daarna doet, doe je in het bijzijn van de inbreker.

Bepaal welk account de ingang was. Bij Meta is dat vrijwel altijd het privéaccount van een beheerder en niet de pagina zelf. Een muziekwinkel in Rijswijk raakte zijn Facebook-pagina kwijt via precies die route en kreeg Meta daarna niet in beweging. Herstel je alleen de pagina, dan zit de aanvaller nog steeds in het account waarmee die pagina beheerd wordt.

Start de klok van 72 uur. Staan er klantgesprekken in je paginapostvak of persoonsgegevens in je Workspace, dan is dit waarschijnlijk een datalek. De Autoriteit Persoonsgegevens rekent vanaf het moment dat je redelijk zeker bent dat het misging, en accepteert een late melding alleen in uitzonderlijke gevallen: weekend, vakantie, ziekte of drukte zijn expliciet geen geldige redenen. Loopt het onderzoek nog, dan doe je binnen 72 uur een voorlopige melding en vul je later aan. De volledige route staat in het stappenplan voor de eerste 72 uur na een lek waarbij jij verwerkingsverantwoordelijke blijft.

Meta: van je eigen inlog naar je pagina terug

1. Begin bij je persoonlijke account, op een bekend apparaat. Ga naar facebook.com/hacked, bij voorkeur op de laptop of telefoon waarmee je eerder inlogde. Meta herkent dat apparaat en dat scheelt een controleronde. Kun je nog inloggen maar zie je vreemd gedrag, dan loopt dezelfde route sneller vanuit je instellingen.

2. Zoek in je oude mailbox naar de omkeerlink. Wijzigt iemand je e-mailadres, dan stuurt Meta een bericht naar het vorige adres met een link om die wijziging ongedaan te maken. Bij Instagram komt dat bericht van security@mail.instagram.com met de knop om je account te beveiligen. Zo'n link verloopt, dus dit is het eerste wat je zoekt en niet het laatste.

3. Voor Instagram loopt de route apart. Vraag via "Wachtwoord vergeten?" een inloglink aan op je e-mailadres of telefoonnummer. Ben je ook die kwijt, dan ga je naar instagram.com/hacked en dien je een supportverzoek in op een adres dat alleen jij kunt lezen. Staan er foto's van jezelf op het account, dan vraagt Meta een video-selfie waarbij je je hoofd in verschillende richtingen draait, en wordt die video binnen 30 dagen verwijderd. Zonder foto's van jezelf krijg je in plaats daarvan vragen over het e-mailadres, het telefoonnummer en het apparaattype waarmee je destijds registreerde.

4. Pas nu het paginaformulier. Voor een gekaapte bedrijfspagina is er precies één officiële route, en dat is het herstelformulier op facebook.com/help/contact/957215276032920. Meta zegt te streven naar antwoord binnen een dag, met de aantekening dat sommige beoordelingen langer duren, en zet er een harde voorwaarde bij: het bedrijf kan alleen actie ondernemen als het zelf kan bevestigen dat de pagina daadwerkelijk gehackt is. Dat is geen formaliteit. Meta vergelijkt jouw melding met wat het in zijn eigen logboeken ziet: een rolwijziging, een naamswijziging, een aanmelding vanaf een onbekend apparaat. Hoe preciezer je datum en tijdstip, hoe beter dat matcht. Dien in vanaf het account waarmee je de pagina normaal beheert, want een vers aangemaakt account voegt geen bewijs toe.

5. Ruim het bedrijfsportfolio op. Heb je toegang terug, ga dan naar Instellingen in Meta Business Suite en loop onder Gebruikers zowel Mensen als Partners na. Verwijder alles wat je niet herkent. Een bureau hoort partnertoegang te hebben en geen eigendom: een partner met volledige controle kan alles beheren, maar het middel niet doorgeven aan een ander bedrijf, want alleen de eigenaar-organisatie mag delen. Zet daarna de tweestapsverificatie-eis aan via Instellingen, Gegevens van bedrijfsportfolio, Zakelijke opties. Je kiest tussen Alleen beheerders en Iedereen, en de eis werkt direct. Bij portfolio's jonger dan 90 dagen is dit optioneel, maar voor sommige oudere portfolio's vereist Meta tweestapsverificatie automatisch en kun je het niet meer uitzetten.

Google Workspace: je domein is het bewijsstuk

1. Probeer eerst de gewone herstelroute. Ga naar accounts.google.com/signin/recovery, vul het beheerdersadres in en klik door naar "Probeer het anders". Heb je een herstel-e-mailadres of herstelnummer ingesteld, dan stuurt Google daar een code heen en ben je binnen een paar minuten klaar.

2. Kijk of er nog een tweede super admin is. Dit is de snelste uitweg en hij wordt het vaakst vergeten. Een collega met super-admin-rechten reset je wachtwoord in de Admin console via Directory, Gebruikers, de gebruiker, Beveiliging, Wachtwoord. Twee minuten werk. Bestaat die tweede beheerder niet, dan is dat meteen de eerste les die je uit dit incident meeneemt.

3. Geen herstelgegevens en geen tweede beheerder? Dan bewijs je je domein. De herstelwizard vraagt je een CNAME-record aan je DNS toe te voegen. Twee details bepalen of dit lukt. Draait je hosting bij een andere partij dan je registrar, dan moet je het record bij je hostingpartij zetten en niet bij de registrar. En gebruik als contactadres nooit het e-mailadres van het geblokkeerde account. Vindt Google het record niet meteen, dan krijg je via een verificatiecode alsnog een resetlink toegestuurd, maar is het record na 48 uur nog niet gevonden, dan volgt bericht dat het herstel is mislukt. Daarna komen nog vragen over je Workspace-account, waarbij je niet alles goed hoeft te hebben.

4. Werkt de wizard niet, ga dan naar de begeleide route. De wizard biedt op enig moment "Contact support" aan en stuurt je naar de Apps Admin Toolbox. Je geeft een contactadres op, krijgt een referentienummer, en plaatst een CNAME- of TXT-record met dat nummer in je DNS. Propagatie kan tot 24 uur duren en je controleert hem zelf via toolbox.googleapps.com/apps/dig. Daarna kies je "Request for Password Reset" en dien je het verzoek in. Kocht je Workspace via een reseller, dan loopt herstel via die reseller en niet via Google zelf.

5. Ben je geen beheerder maar gebruiker? Dan is er een aparte route via toolbox.googleapps.com/apps/recovery/form met de optie "I am a user and cannot contact my administrator". Ook daar bewijs je het domein met een DNS-record. Google benadert vervolgens de bestaande beheerders, en promoveert jouw account alleen als die inactief en onbereikbaar blijken.

Ligt je domein bij een webbureau dat vandaag niet opneemt, dan is dat je echte incident. Bel op het nummer uit je eigen administratie en niet op het nummer in een mailhandtekening, en vraag om het record plus een tijdstip. Krijg je geen gehoor, dan is de registrar je volgende stap: die kan de DNS-toegang herstellen op naam van de domeinhouder. Regel na afloop dat de domeinnaam op naam van je onderneming staat en dat jij de registrar-inlog hebt. Dat is geen it-detail. Dat is de sleutel van je hele werkomgeving.

Wat een Meta Verified-abonnement wel en niet koopt

Hier zit veel verwarring, en het antwoord is genuanceerder dan "voorrang kun je niet kopen". Meta Verified voor bedrijven levert wel degelijk een supportkanaal: chat en e-mail bij alle abonnementen, telefonische hulp bij Premium en Max, en actieve bewaking van je supportzaak bij Max. Accountproblemen en beveiligingsvragen staan expliciet in de lijst met onderwerpen waarvoor je hulp kunt vragen.

Drie dingen relativeren dat meteen. Meta's eigen instructie voor een gehackte pagina blijft dat je dat ene formulier instuurt, ook als je Verified hebt. De ondersteuning wordt geleverd in vijftien talen waar Nederlands niet bij zit. En je regelt zo'n abonnement binnen het bedrijfsportfolio dat je juist kwijt bent, dus als noodmaatregel tijdens de brand is het geen route. Als voorzorg voor een bedrijf dat dagelijks omzet uit Facebook of Instagram haalt, is het een verdedigbare uitgave. Als reddingsboei niet.

Het sluitstuk: sessies, gekoppelde apps en het nieuwe apparaat

Je wachtwoord terug hebben is niet hetzelfde als je account terug hebben. Een aanvaller die binnen was, laat meestal iets achter dat een wachtwoordwijziging overleeft.

Trek de sessies in. In de Admin console doe je dat per gebruiker via Beveiliging en Aanmeldingscookies, met de knop Resetten. Let op de grens die Google er zelf bij zet: het resetten van aanmeldingscookies logt de gebruiker niet uit apps zoals Gmail en Drive voor desktop. Reset dus ook het wachtwoord, en trek in hetzelfde scherm de app-specifieke wachtwoorden in onder Application-specific password. Bij Meta loop je "Waar je bent aangemeld" na in je accountinstellingen en meld je alles af wat je niet herkent.

Loop de gekoppelde apps na. In diezelfde beveiligingssectie staat Connected applications, waar je per app de toegang verwijdert. Bij Instagram gaat dat via instagram.com/accounts/manage_access. Dit is de stap die het vaakst wordt overgeslagen, terwijl een goedgekeurde app een token krijgt dat blijft werken tot iemand het handmatig intrekt, en je die app moet beoordelen op de gevraagde permissies in plaats van op zijn naam.

Registreer daarna een nieuw apparaat en gooi de oude factoren eruit. Dit deel bepaalt of een volgende buitgemaakte reset alsnog strandt. Verwijder in de Admin console onder Beveiliging elke beveiligingssleutel en elke tweestapsmethode die je niet zelf hebt geregistreerd, en zet er een passkey of hardwaresleutel voor in de plaats. Google behandelt die twee als gelijkwaardig: de modus "alleen beveiligingssleutel" accepteert sinds de komst van passkeys allebei. Weet wel wat je aanzet, want in die modus kan een gebruiker zelf geen back-upcodes meer genereren en moet een beheerder ze aanleveren. Voor beheerders geldt een extra beperking: alleen een super admin kan back-upcodes voor een andere beheerder genereren, dus zonder tweede super admin sta je de volgende keer weer bij de DNS-route.

Bij Meta betekent apparaatregistratie iets anders. Meta onthoudt je computer en browser, en die herkenning werkt niet als je in privémodus surft of je browser de geschiedenis wist bij het afsluiten. Voor de mensen die je pagina beheren is een authenticator-app dus praktischer dan sms, en de tweestapsverificatie-eis op het portfolio zorgt dat een nieuwe beheerder hem ook echt instelt.

Draai je Microsoft 365 in plaats van Workspace, dan zit het equivalent in het Entra-beheercentrum onder Users en Authentication methods. Daar deactiveert "Require re-register MFA" de hardware-OATH-tokens en verwijdert het telefoonnummers, Authenticator-apps en software-OATH-tokens, waarna de gebruiker bij de volgende aanmelding een nieuwe methode instelt. "Revoke sessions" maakt de refresh-tokens ongeldig. App-wachtwoorden verwijder je apart via Multifactor authentication en Manage user settings.

Sluit af met wat je vooraf had willen hebben: back-upcodes op papier in een kluis, een reservebeveiligingssleutel, en een tweede super admin die geen dagelijks werkaccount is.

Waar het misgaat

Je herstelt de pagina en niet het privéaccount. Dan is de pagina binnen een week opnieuw weg, want de sleutel lag nooit op de pagina zelf.

Je gebruikt het gekaapte adres als contactadres. Google zegt letterlijk dat je bij herstel niet het e-mailadres van het geblokkeerde account moet opgeven. Doe je het toch, dan stuur je de resetlink naar de aanvaller.

Je zet het DNS-record op de verkeerde plek. Registrar en hostingpartij zijn vaak twee verschillende bedrijven, en het record moet staan waar je DNS daadwerkelijk gehost wordt. Een record op de andere plek wordt nooit gevonden, terwijl de klok van 48 uur doorloopt.

Je wacht met melden tot je alles weet. Dat is precies de fout die de toezichthouder niet accepteert. Een voorlopige melding binnen 72 uur, met een vervolgmelding erachteraan, is de bedoelde werkwijze.

Je accepteert hulp uit je eigen reacties. Een gekaapt account krijgt vaak een nieuwe naam en profielfoto, soms letterlijk "Meta Support", om anderen mee op te lichten, constateert Erik Miedema van de stichting Cybersecurity Noord Nederland. Zet je publiek dat je gehackt bent, dan komen de aanbiedingen om je pagina tegen betaling terug te halen vanzelf binnen. Geen enkele legitieme herstelroute begint in een privébericht.

Je gaat ervan uit dat het altijd goedkomt. Miedema schat de kans voor een privéaccount op ruwweg 50 tot 60 procent mits je snel handelt, en noemt de kans voor een zakelijke pagina waarvan de Business Manager is overgenomen aanmerkelijk kleiner. Omroep Eemsdelta raakte eind januari 2026 ongeveer 2.300 volgers kwijt en begon uiteindelijk met een nieuwe pagina opnieuw. Reken op herstel, maar bouw ondertussen aan het alternatief.

De routes naast elkaar

Wat een route bruikbaar maakt is niet de belofte, maar wie hem kan starten en welk bewijs telt. Zo staan ze naast elkaar, stand augustus 2026.

Beslis-kader: zelf doen, je bureau bellen of hulp inschakelen

Drie criteria bepalen het antwoord, en ze zijn alle drie in vijf minuten te beantwoorden.

Heb je zelf DNS-toegang? Zo ja, dan is Google-herstel een klus van een uur en doe je die zelf. Zo nee, dan is je eerste telefoontje niet naar Google maar naar wie het domein beheert, en is de snelheid van die partij de enige variabele die telt.

Hangt er omzet aan het gekaapte kanaal? Een pagina die vooral bereik levert, mag een week kosten. Een Instagram-account waar dagelijks bestellingen binnenkomen niet. Bij het tweede loont parallel werken: het formulier indienen en tegelijk je klanten via mail en website vertellen waar je wel bereikbaar bent.

Zitten er persoonsgegevens in? Klantgesprekken in een paginapostvak of een Workspace-mailbox maken dit een meldplichtig incident. Dan gaat de vraag niet meer alleen over wie hersteltechnisch handig is. Er moet ook iemand de melding doen en het tijdstip van ontdekking vastleggen.

Mijn eerlijke lijn: het herstel zelf is bijna nooit specialistenwerk, want er is geen truc die een leek mist. Hulp inschakelen loont bij de dingen eromheen, het opruimen van toegang achteraf en het opnieuw beleggen van eigenaarschap. Loop je vast op bewijs dat je niet hebt, dan koopt geen enkele partij dat bewijs voor je.

Een week uit de praktijk

Neem een installatiebedrijf van veertien mensen. Google Workspace op het eigen domein, een Facebook-pagina met acht jaar recensies, een Instagram-account met projectfoto's, en een domeinnaam die het webbureau ooit registreerde. Ik loop het scenario door met de doorlooptijden die de platformen zelf noemen.

Dag 1, 08:40. De eigenaar komt niet in zijn Facebook-account. De bedrijfspagina heeft een nieuwe naam. Hij controleert eerst zijn Gmail: geen doorstuurregels, wel een melding van een e-mailwijziging op Facebook van 06:12. Hij gebruikt de omkeerlink in die mail en is om 09:05 terug in zijn privéaccount. Tweestapsverificatie via een authenticator-app gaat er meteen op.

Dag 1, 09:30. De pagina staat nog op naam van een onbekende beheerder. Hij dient het herstelformulier in met de paginanaam, het tijdstip 06:12 en een beschrijving van de rolwijziging. Diezelfde ochtend mailt hij zijn tweehonderd vaste klanten dat aanvragen via de website en de telefoon lopen.

Dag 1, 11:00. In de Workspace-mailbox van de administratie blijkt een onbekende aanmelding te staan. Daar zitten offertes met adresgegevens in. Hij noteert het tijdstip van ontdekking en doet dezelfde dag een voorlopige melding bij de Autoriteit Persoonsgegevens.

Dag 2. Meta vraagt om bevestiging via het account waarmee hij normaal beheert. Omdat hij dat account op dag 1 heeft teruggepakt, kan hij die leveren. Was de volgorde omgekeerd geweest, dan had hij hier vastgezeten.

Dag 3. De pagina is terug. Hij verwijdert twee onbekende gebruikers uit het bedrijfsportfolio, zet de tweestapsverificatie-eis op Iedereen, en verplaatst het bureau van Mensen naar Partners met gedeeltelijke toegang.

Dag 4. Het Workspace-deel. Aanmeldingscookies resetten voor de betrokken gebruiker, wachtwoord resetten, twee app-specifieke wachtwoorden intrekken, en in Connected applications een pdf-tool verwijderen die niemand herkent. Er komen twee hardwaresleutels op de plank: een voor de eigenaar, een reserve in de kluis.

Dag 9. Het webbureau draagt de domeinnaam over naar een registrar-account op naam van het bedrijf. De directeur en de administratief medewerker worden allebei super admin, de tweede als apart account dat niet voor dagelijks werk wordt gebruikt. De back-upcodes gaan geprint in dezelfde kluis.

Twee dagdelen werk, twee hardwaresleutels en één ongemakkelijk gesprek met het webbureau. Het duurste onderdeel was de tijd tussen 06:12 en 08:40, waarin niemand keek.

Wat je hiervan overhoudt

De platformen gaan dit niet voor je oplossen. Meta kiest schaal boven een klantenservice met mensen erachter, en Google heeft het eleganter opgelost door bewijs te vragen dat alleen de echte eigenaar kan leveren. Maar dat bewijs is een DNS-record, en dus ligt de macht over je herstelroute bij wie dat record kan plaatsen.

Daar zit de enige les die na dit incident nog telt. Herstel is een procedure die je kunt leren, en die staat hierboven. Wie hem mag uitvoeren is een beslissing, en die had je al genomen moeten hebben. Zolang je domeinnaam bij iemand anders staat en je enige beheerdersaccount aan één mens hangt, is je noodplan het telefoonnummer van een bureau dat vandaag toevallig opneemt.