5 Langkah Darurat Pertama Saat Situs Anda Diretas

Ketika situs Anda diretas, hal pertama yang perlu dilakukan adalah membatasi kerusakan tanpa panik, mengisolasi situs, memperbarui semua akses, kembali ke cadangan yang bersih, menghapus kode berbahaya, dan menerapkan langkah-langkah keamanan permanen. Dalam 24 jam pertama yang paling kritis, tujuan Anda adalah memutus akses penyerang, mencegah kerusakan lebih lanjut pada pengunjung dan data Anda, tidak mengirim sinyal yang salah ke mesin pencari, dan mengembalikan situs Anda ke publik dengan cara yang terverifikasi.

Perebutan situs web tidak hanya berarti mengganti gambar di halaman utama. Penyerang sering kali lebih memilih untuk tetap tidak terlihat; mereka menghasilkan halaman spam, mengubah formulir pembayaran, menambah akun admin, meninggalkan kode pengalihan rahasia di database, atau menggunakan server Anda untuk mengirim email. Oleh karena itu, proses pemulihan tidak hanya sekadar menghapus file. Diperlukan intervensi sistematis yang melindungi bukti, memverifikasi kebersihan, dan mencegah terulangnya serangan.

Dalam panduan ini, kami akan menjelaskan lima langkah darurat pertama yang harus dilakukan ketika situs Anda diretas, dengan menyederhanakan detail teknis namun tetap dapat diterapkan secara praktis. Prinsip utama yang sama berlaku, terlepas dari apakah itu WordPress, perangkat lunak khusus, infrastruktur e-commerce, atau situs web perusahaan: isolasi, tutup akses, kembali ke sumber yang bersih, verifikasi, perkuat.

Gejala Situs Anda Diretas

Perebutan tidak selalu dimulai dengan keruntuhan yang terlihat. Beberapa serangan dapat berlangsung berlarut-larut selama berminggu-minggu tanpa terdeteksi. Jika Anda melihat salah satu gejala di bawah ini, Anda harus menangani situs sebagai peristiwa keamanan, bukan sebagai kesalahan biasa.

• Judul dengan konten perjudian, obat-obatan, kripto, atau konten dewasa muncul di bawah situs Anda dalam hasil pencarian Google.
• Anda menerima peringatan situs berbahaya, phishing, atau tautan yang tidak aman di browser.
• Anda tidak bisa masuk ke panel admin atau melihat pengguna admin yang tidak dikenal.
• Tiba-tiba ada peningkatan lalu lintas CPU, RAM, disk, atau pengiriman email di server.
• Perubahan yang tidak terduga pada .htaccess, index.php, wp-config.php, atau file tema.
• Pengunjung diarahkan ke domain lain.
• Email massal dikirim dari akun hosting Anda tanpa sepengetahuan Anda.
• Plugin keamanan dinonaktifkan atau catatan log dihapus.

Contohnya, jika sebuah blog yang biasanya memiliki 2.000 pengunjung per hari tiba-tiba menghasilkan 30.000 permintaan, itu sering kali bukan peningkatan pengguna nyata tetapi aktivitas bot, percobaan brute force, atau eksekusi skrip berbahaya. Demikian juga, jika tema berukuran 10 MB tiba-tiba menjadi 80 MB dalam beberapa hari, itu bisa menunjukkan adanya file backdoor yang diunggah.

30 Menit Pertama Setelah Diretas: Bukti dan Kontrol, Bukan Panik

Refleks pertama Anda tidak boleh langsung menghapus semuanya. Menghapus file secara acak dapat menghilangkan jejak serangan, menyulitkan pembersihan, dan dapat menyebabkan Anda kembali ke cadangan yang salah. Pertama, ambil foto keadaan saat ini: tanggal, waktu, peringatan yang muncul, URL yang terpengaruh, pengguna mencurigakan, pembaruan terakhir yang dilakukan, dan log hosting. Informasi ini akan membantu tim dukungan teknis dan ahli keamanan dalam mendiagnosis dengan cepat.

Menjaga catatan kejadian sangat penting, terutama untuk situs e-commerce, keanggotaan, atau situs yang memproses data pribadi. Catat data apa yang mungkin terkena dampak, kapan serangan dimulai, dan dari IP mana akses dicoba. Saat menghubungi tim dukungan di Hostragons, berbagi nama domain, folder yang terpengaruh, rentang waktu, dan pesan kesalahan yang Anda terima akan mempercepat waktu respons. Untuk informasi lebih lanjut tentang pilihan infrastruktur hosting, Anda dapat mempertimbangkan Paket web hosting yang aman.

Langkah 1: Isolasi Situs dan Batasi Kerusakan

Langkah darurat pertama saat situs Anda diretas adalah mencegah penyerang dan kode berbahaya memberikan kerusakan lebih lanjut. Tahap ini mirip dengan menutup katup gas sebelum memadamkan api. Situs tidak harus sepenuhnya ditutup; namun, pengunjung harus dilindungi dari pengalihan berbahaya, formulir pembayaran palsu, atau file yang terinfeksi.

Aktifkan Mode Pemeliharaan atau Batasi Akses Secara Sementara

Jika Anda menggunakan WordPress, Anda dapat menampilkan halaman mode pemeliharaan, mengembalikan respons 503 sementara di perangkat lunak khusus, atau hanya mengizinkan akses dari alamat IP tertentu. Kode 503 memberi tahu mesin pencari bahwa situs tidak dapat diakses sementara; ini adalah sinyal yang lebih akurat daripada menunjukkan 404 atau halaman kosong. Jika situs menyebarkan phishing atau malware, lebih aman untuk sepenuhnya membatasi akses.

• Jangan biarkan panel admin terbuka untuk umum; gunakan pembatasan IP.
• Matikan sementara eksekusi PHP di folder unggahan file.
• Jika pengiriman email disalahgunakan, hentikan akses SMTP.
• Jika halaman pembayaran terpengaruh, nonaktifkan integrasi POS virtual dan pembayaran sementara.

Lindungi Log dan Status File Saat Ini

Selama isolasi, log akses, log kesalahan, catatan FTP, dan riwayat tindakan panel kontrol harus dilindungi. Banyak serangan dimulai dari titik masuk yang lemah, seperti plugin lama, kata sandi FTP yang lemah, akun admin yang bocor, atau kesalahan izin tulis. Tanpa log, sulit untuk menemukan penyebab utama. Ini dapat menyebabkan situs yang Anda bersihkan diretas lagi dalam beberapa hari.

Pada tahap ini, sangat berguna untuk mengunduh file di server ke komputer lokal Anda dan memeriksanya di lingkungan yang aman. Namun, karena file yang diunduh mungkin mengandung kode berbahaya, pastikan untuk bekerja di mesin dengan perlindungan antivirus. Jika ada opsi cadangan di panel kontrol hosting, cadangan momen kejadian harus disimpan hanya untuk analisis; jangan digunakan langsung sebagai cadangan yang bersih. Untuk strategi pencadangan yang teratur, Anda dapat melihat halaman solusi hosting dengan backup otomatis.

Langkah 2: Perbarui Semua Akses, Kata Sandi, dan Kunci

Banyak pemilik situs hanya mengubah kata sandi panel admin setelah diretas. Namun, titik akses penyerang bisa jadi adalah FTP, pengguna database, panel hosting, kunci SSH, akun email, token API, atau integrasi pihak ketiga. Oleh karena itu, langkah darurat kedua adalah mereset semua kredensial secara menyeluruh.

Kata Sandi Mana yang Harus Diubah?

• Kata sandi panel kontrol hosting.
• Kata sandi pengguna FTP, SFTP, dan SSH.
• Kata sandi pengguna database dan konfigurasi koneksi.
• Akun admin CMS dan semua akun editor.
• Akun email, terutama yang mengirim melalui nama domain.
• Kunci API, token sistem pembayaran, dan akses panel CDN serta DNS.
• Kunci untuk layanan Git, deploy, otomatisasi, dan pencadangan.

Kata sandi yang kuat harus memiliki setidaknya 16 karakter, unik, dan tidak dapat ditebak. Menggunakan kata sandi yang sama di platform lain, dapat langsung membahayakan situs Anda dalam kebocoran data. Dua faktor autentikasi harus diaktifkan di semua panel yang memungkinkan. Khususnya untuk akun admin, 2FA secara signifikan mengurangi dampak serangan brute force.

Tutup Pengguna Mencurigakan dan Sesi Aktif

Jika ada pengguna yang tidak dikenal di dalam CMS, hanya menonaktifkannya tidak cukup; pertama, catat peran, tanggal pembuatan, dan tindakan yang dilakukan, lalu hapus. Di WordPress, Anda dapat memperbarui kunci keamanan untuk mengakhiri semua sesi pengguna. Di perangkat lunak khusus, tabel sesi dapat dibersihkan. Di situs e-commerce, akun pelanggan tidak boleh menjadi fokus utama; akun staf dengan hak admin harus diperiksa terlebih dahulu.

Bayangkan sebuah contoh: Penyerang mungkin telah mengakses akun editor lama dan mengunggah web shell melalui plugin yang memiliki izin unggah file. Jika Anda hanya mengubah kata sandi admin utama, akun editor penyerang tetap aktif. Oleh karena itu, matriks hak akses harus diperiksa, dan peran admin serta editor yang tidak perlu harus dikurangi. Manajemen nama domain, DNS, dan SSL juga harus aman; untuk itu, Manajemen Nama Domain dan Keamanan DNS serta solusi sertifikat SSL dapat sangat berguna.

Langkah 3: Kembali ke Cadangan yang Bersih atau Karantina Area yang Terinfeksi

Cara pemulihan yang paling cepat dan aman adalah dengan kembali ke cadangan yang terverifikasi dan bersih yang diambil sebelum serangan. Namun, kunci di sini adalah kata "bersih". Jika cadangan yang diambil kemarin, tetapi serangan dimulai seminggu yang lalu, itu bisa terinfeksi. Oleh karena itu, tanggal cadangan, catatan log, dan waktu perubahan file harus dievaluasi bersama-sama.

Bagaimana Memilih Cadangan yang Bersih?

Pertama, tentukan kapan gejala peretasan pertama kali muncul. Misalnya, jika peringatan keamanan Google Search Console muncul pada 12 Maret tetapi log server menunjukkan permintaan POST mencurigakan pada 5 Maret, cadangan dari 12 Maret tidak dapat dipercaya. Cadangan dari 4 Maret atau sebelumnya harus dianalisis. Sebelum mengembalikan dari cadangan, file cadangan harus melalui pemindaian keamanan.

• Tanggal cadangan harus sebelum perkiraan awal serangan.
• Cadangan tidak boleh mengandung pengguna admin yang tidak dikenal.
• Integritas file harus diperiksa; file inti CMS harus dibandingkan dengan paket asli.
• Dalam database, cari iframe rahasia, kode base64, skrip mencurigakan, dan konten spam.
• Setelah pemulihan, semua pembaruan perangkat lunak harus dilakukan.

Apa yang Harus Dilakukan Jika Tidak Ada Cadangan?

Jika tidak ada cadangan bersih, pemulihan harus dilakukan dengan lebih hati-hati. Pertama, salin situs ke staging atau area sementara. File yang mencurigakan dipindahkan ke karantina, file inti CMS diunggah kembali dari sumber resmi, tema dan plugin diganti dengan paket yang bersih. Folder unggahan pengguna adalah salah satu area yang paling sering disembunyikan oleh penyerang; di sini file yang dapat dieksekusi seperti .php, .phtml, dan .phar harus diperiksa dengan seksama.

Pembersihan database juga sama pentingnya dengan pembersihan file. Pengalihan berbahaya kadang-kadang tidak disimpan di file, tetapi di pengaturan situs, area widget, opsi tema, atau konten tulisan. Saat mencari dalam database besar, pernyataan seperti skrip, iframe, eval, atob, base64_decode, gzinflate, shell_exec, dan document.location dapat diperiksa. Namun, tidak semua pernyataan base64 berbahaya; penghapusan yang salah dapat merusak sistem yang berfungsi. Oleh karena itu, sebelum melakukan langkah ini, salinan database harus selalu diambil.

Langkah 4: Bersihkan Kode Berbahaya, Perbarui, dan Tutup Celah

Memulihkan situs Anda tidak cukup hanya dengan itu. Jika Anda tidak menemukan bagaimana penyerang masuk, mereka dapat mengakses kembali melalui celah yang sama. Tujuan langkah keempat adalah menyelesaikan pembersihan file dan database, menutup kerentanan perangkat lunak, dan memperbaiki kesalahan konfigurasi.

Daftar Periksa Sistem File

• Daftar file yang terakhir diubah berdasarkan tanggal dan periksa perubahan yang tidak terduga.
• Bandingkan file inti CMS dengan versi resmi.
• Periksa apakah ada file yang dapat dieksekusi di folder unggahan.
• Periksa file tersembunyi; file seperti .user.ini, .htaccess, dan sejenisnya dapat digunakan untuk pengalihan.
• Persempit izin file; aturan umum adalah 644 untuk file dan 755 untuk folder.
• Hapus tema, plugin, zip cadangan lama, dan folder pengujian yang tidak perlu.

Plugin yang tidak digunakan di WordPress harus dihapus, tidak hanya dinonaktifkan. Plugin slider, formulir, atau pengelola file yang lama dapat menjadi risiko jika masih ada di server meskipun terlihat dinonaktifkan. Selain itu, tema nulled dan plugin tanpa lisensi sering kali datang dengan kode backdoor yang tertanam. Pilihan ini mungkin terlihat menguntungkan dari segi biaya dalam jangka pendek, tetapi dapat membahayakan reputasi merek dan data pelanggan.

Urutan Pembaruan yang Harus Dilakukan

Selama proses pembersihan, pertama-tama perbarui sistem inti, kemudian tema, dan terakhir plugin. Jika versi PHP sudah usang, harus diperbarui ke versi terbaru dan didukung setelah melalui pengujian kompatibilitas. Situs yang masih menggunakan versi PHP lama pada standar 2026 berada dalam risiko serius; karena tidak mendapatkan patch keamanan. Di sisi hosting, penting untuk memiliki PHP terbaru, arsitektur akun terisolasi, cadangan reguler, dan dukungan firewall. Untuk opsi di area ini, Anda dapat melihat halaman Hosting Web Hostragons.

Selain itu, pastikan sertifikat SSL Anda valid. SSL tidak melindungi situs Anda dari peretasan sendirian; tetapi mengenkripsi data antara pengguna dan server serta membantu mengurangi dampak formulir palsu. SSL wajib pada halaman masuk, pembayaran, dan pendaftaran. Untuk opsi sertifikat, Anda dapat mempertimbangkan tautan beli sertifikat SSL.

Langkah 5: Verifikasi, Pantau, dan Terapkan Perlindungan Permanen Sebelum Mengembalikan ke Publik

Langkah kelima adalah memverifikasi bahwa situs benar-benar telah dibersihkan dan mencegah terulangnya peristiwa yang sama. Jika tahap ini dilewati, peringatan yang sama bisa muncul kembali dalam beberapa hari setelah situs dibuka. Verifikasi harus mencakup pemindaian teknis dan proses bisnis.

Pemeriksaan Sebelum Mengembalikan ke Publik

• Halaman utama, halaman login, halaman pembayaran, dan URL populer harus diuji dari berbagai perangkat.
• Periksa masalah keamanan dan laporan tindakan manual di Google Search Console.
• Periksa peta situs dan file robots.txt.
• Analisis log server untuk mendeteksi 404, 500, permintaan POST, dan percobaan login yang berulang.
• Periksa reputasi pengiriman email; jika terdaftar di daftar hitam, proses penghapusan harus dimulai.
• Uji formulir pembayaran, formulir kontak, dan area unggahan file.

Jika Google atau browser menandai situs Anda sebagai berbahaya, Anda perlu mengajukan permohonan peninjauan kembali setelah pembersihan. Dalam permohonan ini, harus dijelaskan secara jelas apa yang telah dibersihkan, celah yang telah ditutup, dan langkah-langkah yang telah diambil. Sebaiknya berikan informasi konkret, seperti "plugin pengelola file lama dihapus, semua kata sandi admin diperbarui, dan eksekusi PHP di folder unggahan dimatikan," alih-alih penjelasan yang samar dan singkat.

Langkah-Langkah yang Dapat Diterapkan untuk Perlindungan Permanen

Keamanan bukanlah proses sekali saja, tetapi merupakan proses yang berkelanjutan. Bahkan di situs perusahaan kecil, membangun rencana pemeliharaan bulanan dapat secara signifikan mengurangi risiko peretasan. Setidaknya, harus diterapkan pemeriksaan pembaruan mingguan, pencadangan harian, kebijakan kata sandi yang kuat, dan pemantauan log. Di situs dengan lalu lintas tinggi, disarankan untuk menggunakan WAF, CDN, perlindungan bot yang canggih, dan pemindaian keamanan eksternal.

Di situs perusahaan, pembagian tanggung jawab juga harus dicatat secara tertulis. Siapa yang akan melakukan pembaruan, siapa yang akan memeriksa cadangan, kepada siapa harus diberitahu jika ada peringatan keamanan, dan dalam situasi apa situs akan masuk ke mode pemeliharaan? Pertanyaan-pertanyaan ini harus dijawab sebelumnya, bukan saat kejadian. Dengan demikian, ketika situs Anda diretas, tim dapat menerapkan rencana yang telah ditentukan tanpa panik.

Langkah Pemulihan Tambahan untuk SEO, Reputasi, dan Kepercayaan Pengguna

Meski situs yang diretas telah dibersihkan secara teknis, pemeriksaan tambahan di sisi SEO diperlukan. Penyerang seringkali menghasilkan ribuan URL spam. Jika halaman-halaman ini masuk ke indeks mesin pencari, setelah pembersihan, harus ditentukan strategi pengalihan yang tepat, seperti 404, 410, atau pengalihan yang sesuai. Mengalihkan semua URL spam ke halaman utama tidak selalu benar; Google bisa menilai ini sebagai sinyal kualitas yang negatif.

Halaman yang terindeks di Search Console, masalah keamanan, tindakan manual, dan peta situs harus diperiksa. Setelah konten berbahaya dibersihkan, peta situs dapat dikirim ulang. Namun, pastikan bahwa halaman spam benar-benar telah dihapus. Jika judul berbahaya muncul dalam pencarian merek, permintaan untuk merayapi ulang halaman bersih dapat diajukan.

Untuk kepercayaan pengguna, komunikasi yang transparan namun tidak menimbulkan kepanikan sangatlah penting. Jika data pengguna, informasi pembayaran, atau akun keanggotaan mungkin terpengaruh, kewajiban hukum dan proses perlindungan data harus dipertimbangkan. Situasi mungkin berbeda dalam situs promosi sederhana; tetapi dalam sistem e-commerce dan keanggotaan, ruang lingkup kejadian harus dinilai secara profesional.

Kesalahan Umum yang Harus Dihindari

Beberapa kesalahan yang dilakukan selama proses pemulihan dapat menyebabkan kerusakan yang lebih besar daripada serangan itu sendiri. Kesalahan paling umum adalah berpikir bahwa masalah berakhir saat situs dibuka kembali. Jika file backdoor masih ada, penyerang dapat masuk kembali di kemudian hari. Kesalahan kedua adalah mengembalikan cadangan tanpa verifikasi. Cadangan yang terinfeksi akan menyebarkan kode berbahaya lagi.

• Tidak melakukan pencadangan sebelum pembersihan.
• Hanya menghapus file berbahaya yang terlihat dan tidak menyelidiki penyebab utama.
• Terus menggunakan versi plugin atau tema yang lama.
• Memberikan izin penuh yang tidak perlu kepada semua pengguna admin.
• Menghapus catatan log atau menimpanya tanpa memeriksa.
• Menganggap situs sepenuhnya aman hanya karena ada SSL.
• Mengunduh tema dan plugin dari sumber yang murah atau tidak terkontrol.

Memberikan izin terlalu luas, terutama dalam hal izin file, memudahkan penyerang untuk beraksi. Izin 777 mungkin terlihat seperti solusi darurat, namun di lingkungan produksi menjadi risiko serius. Prinsip izin minimum harus diterapkan; izin tulis hanya harus dibatasi pada folder yang benar-benar membutuhkannya.

Ringkasan Tindakan Darurat Singkat

Ketika situs Anda diretas, penting untuk tidak menyimpang dari urutan tindakan yang benar: pertama isolasi situs, kemudian perbarui semua akses, pulihkan sistem dengan cadangan bersih atau pembersihan terkontrol, tutup celah, dan lakukan verifikasi sebelum kembali ke publik. Pendekatan ini mengurangi risiko teknis serta kehilangan SEO dan reputasi.

Dengan infrastruktur hosting yang aman, sertifikat SSL, manajemen nama domain, dan solusi pencadangan dari Hostragons, Anda dapat meningkatkan ketahanan situs web Anda. Jika Anda perlu meninjau struktur hosting situs Anda yang ada, Anda dapat memulai dengan halaman Paket Hosting Hostragons dan Pemeriksaan Domain dan Pengelolaan Nama Domain. Ingatlah bahwa tujuan utama Anda adalah menyeimbangkan kecepatan, keamanan, pencadangan, dan dukungan sebelum membuat keputusan pembelian.

FAQ

Apakah saya harus segera menurunkan situs saya jika diretas?

Jika situs Anda menyebarkan malware, mengarahkan pengguna ke situs lain, atau memengaruhi formulir pembayaran, Anda harus segera membatasi akses. Dalam situasi yang lebih ringan, mode pemeliharaan 503 atau pembatasan IP dapat digunakan. Tujuannya adalah untuk melindungi pengunjung sambil memberi tahu mesin pencari bahwa ini adalah keadaan sementara.

Apakah kembali ke cadangan yang bersih selalu cukup?

Tidak. Cadangan bersih menyediakan pemulihan cepat; namun jika cara penyerang masuk tidak ditemukan, situs dapat diretas lagi. Setelah mengembalikan dari cadangan, kata sandi harus diubah, pembaruan dilakukan, izin file diperiksa, dan kerentanan yang menyebabkannya harus diperbaiki.

Apakah situs yang diretas kehilangan peringkat SEO?

Dalam kasus kejadian yang dikelola dengan benar dan dalam waktu singkat, kehilangan SEO permanen mungkin tidak terjadi. Namun, jika halaman spam terindeks, Google menunjukkan peringatan keamanan, atau situs ditutup dalam waktu lama, peringkat dapat terpengaruh. Setelah pembersihan, pemeriksaan di Search Console, permohonan evaluasi ulang, dan pembersihan URL spam harus dilakukan.

Mengapa situs WordPress saya terus menerus diretas?

Penyebab umum dari peretasan berulang adalah file backdoor yang tertinggal, plugin yang tidak diperbarui, kata sandi yang lemah, akun admin yang tidak perlu, izin file yang salah, dan cadangan yang terinfeksi. Alih-alih hanya menghapus kode berbahaya yang terlihat, analisis penyebab utama harus dilakukan dan semua informasi akses harus diperbarui.

Apakah pemilihan hosting memengaruhi keamanan situs?

Ya. Struktur akun yang terisolasi, dukungan PHP yang diperbarui, pencadangan reguler, firewall, pemindaian malware, dukungan teknis yang cepat, dan kompatibilitas SSL secara langsung memengaruhi keamanan. Hosting yang aman tidak menghilangkan semua risiko; tetapi mengurangi permukaan serangan dan mempercepat proses pemulihan.