Website Kena Hack — Harus Apa? Langkah Darurat Urutan Pertama

Website kena hack harus segera: (1) jangan panik dan jangan hapus apa pun dulu, (2) pisahkan situs dari pengunjung, (3) amankan bukti, (4) ganti semua kredensial dari perangkat bersih, (5) pulihkan dari backup yang terbukti bersih, (6) temukan celah masuk sebelum online lagi. Urutan ini penting — langkah nomor satu yang instinctive (menghapus halaman aneh) justru menghancurkan jejak yang Anda butuhkan supaya tidak dibobol dua kali.

Konteks kenapa ini makin sering: BSSN mencatat 5,5 miliar serangan siber ke Indonesia sepanjang 2025, naik lebih dari tujuh kali lipat dibanding rata-rata tahunan 2020–2024 (Antara, 2026), dan defacement (halaman diganti/dirusak) adalah jenis yang paling sering terjadi. Sebagian besar korbannya bukan perusahaan besar — situs UMKM dan organisasi dengan satu-satunya “tim IT” adalah vendor luar.

30 menit pertama: yang boleh dan jangan disentuh

Jangan:

• Jangan hapus file/halaman asing. Godaannya besar — halaman judi itu terlihat, mari hapus. Tahan. File itu (beserta tanggal pembuatannya) adalah bukti jalur masuk dan sering jadi satu-satunya.
• Jangan langsung install ulang CMS/hosting. Samanya: Anda menyapu TKP sebelum diperiksa.
• Jangan bayar tebusan dulu kalau muncul ransom note — keputusan itu butuh penilaian, bukan refleks.

Boleh dan perlu sekarang:

1. Pisahkan, jangan matikan total. Kalau memungkinkan, pasang mode karantina: situs nonaktif untuk pengunjung, tapi server tetap hidup supaya log dan file utuh. Di hosting umum biasanya ada tombol “maintenance mode” atau Anda bisa mematikan sementara lewat panel.
2. Foto/screenshot bukti: halaman yang berubah, pesan hacker, file asing yang terlihat di file manager, termasuk tanggalnya.
3. Catat waktu kejadian sedetail mungkin: kapan terakhir kali Anda melihat situs normal, kapan tahu rusak.

Jam pertama: putuskan akses penyerang, dari luar

Urutannya penting karena penyerang yang masih punya akses akan menempatkan kembali dirinya setiap kali Anda membersihkan.

1. Ganti password akun hosting, cPanel/SSH, SFTP, database, dan semua akun admin CMS — dari laptop/HP yang bersih (bukan yang mungkin kena keylogger), pakai password baru yang unik per layanan. Yang lama dianggap sudah dibacakan penyerang.
2. Cabut akses pihak ketiga yang tidak Anda kenali: API key, application password, user admin titipan (“untuk support”), webhook. Ini pintu yang sering lolos karena “kok masih ada akses si A yang sudah berhenti tahun lalu”.
3. Cek kontak email domain Anda — kalau email admin ikut dibajak, reset password via email tidak aman lagi; ubah alurnya lewat panel hosting.
4. Aktifkan 2FA di semua yang mendukung, hari ini juga.

Hari pertama: pulihkan dan periksa

Pulihkan dari backup — tapi backup yang terbukti bersih. Backup dari server yang sama, dari sebelum insiden, itu titik pulih yang sah. Kapan backup terakhir dibuat menentukan segalanya: kalau restore membuat Anda kehilangan data transaksi terbaru, itu harga dari tidak adanya backup terjadwal — catat sebagai PR berikutnya, tapi jangan menggantinya dengan membiarkan file hasil hack online.

Sebelum online lagi, cek lima tempat ini (di file hasil restore atau di server karantina):

Lokasi	Yang dicari
Folder upload (wp-content/uploads dkk)	File .php yang tidak seharusnya ada di folder gambar
File inti tema/plugin	Tanggal modifikasi di luar tanggal edit Anda
Tabel users / daftar admin	Akun admin baru yang tidak Anda buat
functions.php, .htaccess, robots.txt	Sisipan link/skrip asing, redirect diam-diam
Cron job & task terjadwal	Perintah yang mengunduh payload dari server lain

Cari jejak di log kalau tersedia: log akses web (request aneh sebelum kejadian), log login gagal/berhasil massal, log SSH. Tanggal file asing pertama yang Anda temukan adalah titik awal pencarian.

Minggu pertama: tutup akarnya, pulihkan nama baik

1. Audit akar masuk — langkah yang membedakan “sudah dibersihkan” dari “sudah aman”. Tanpa ini, statistik diam-diam kejam: mayoritas situs yang dibersihkan tanpa audit akar masalah diserang lagi, kadang lewat celah yang sama persis. Kalau sumber daya internal tidak ada, ini pekerjaan untuk praktisi eksternal (lihat apa yang diperiksa dalam audit keamanan).
2. Periksa apakah data pengunjung ikut keluar. Kalau ya, UU Perlindungan Data Pribadi (UU 27/2022) mengatur pemberitahuan ke subjek data dalam 3×24 jam — konsultasikan dengan bagian legal; tidak memberi tahu bisa lebih mahal daripada memberi tahu.
3. Lapor ke BSSN lewat insiden.id untuk insiden serius — gratis dan membantu Anda dapat perspektif tren nasional.
4. Cek reputasi: site:domainanda.com di Google (halaman hantu masih terindeks?), status blacklisting di Google Search Console dan tools pengecekan blacklist. Minta tinjauan keamanan (security review) di Search Console setelah bersih.
5. Tutup utang yang bikin kejadian ini mungkin: update software, hapus akses mati, backup otomatis di luar server, password manager untuk tim. Checklist lengkapnya ada di 10 pemeriksaan keamanan website.

Pertanyaan yang sering muncul

Berapa lama website biasanya dipulihkan? Defacement sederhana oleh satu orang yang paham prosesnya: hitungan jam. Kalau penyerang meninggalkan backdoor yang tidak ditemukan, atau data pelanggan ikut tercuri: hitungan hari sampai minggu — dan sisanya adalah pekerjaan audit, bukan sekadar pemindahan file.

Sudah pakai jasa hosting, apakah mereka tidak wajib memperbaiki? Hosting mengamankan servernya; website, login, dan plugin Anda di atasnya adalah tanggung jawab pemilik situs. Banyak paket hosting hanya menyediakan alat bantu, bukan penanganan insiden — tanya dulu apa persisnya yang mereka tangani, sebelum kejadian.

Bisakah saya selesaikan sendiri tanpa orang lain? Untuk pembersihan dasar, sering bisa — langkah di atas memang untuk itu. Yang sulit dilakukan sendiri adalah objektivitas: memastikan tidak ada yang tersisa. Backdoor kecil di file yang “kelihatan normal” adalah hal terakhir yang ditemukan pemilik situs, bahkan setelah berminggu-minggu merasa sudah bersih.

---

Situs Anda sedang dibobol sekarang, atau baru saja pulih dan ingin memastikan tidak ada sisa? Hubungi lewat kontak — respons awal dalam 24 jam, dan langkah darurat bisa dimulai hari ini. Jejak pekerjaan kami di kondisi nyata bisa dibaca di studi kasus infrastruktur IAC.