Inject judol berarti situs Anda disusupi peretas yang menyisipkan halaman, tautan, atau skrip promosi judi online (judol) tanpa izin. Cara memperbaikinya adalah mengisolasi situs, mencari dan menghapus semua file serta data berbahaya, menutup celah yang dipakai peretas, lalu meminta Google meninjau ulang situs Anda. Cara menghindarinya adalah menjaga pembaruan, memperketat akses, dan memantau perubahan file secara rutin.
Artikel ini menjelaskan semuanya secara berurutan: apa itu injeksi judol, tanda-tandanya, penyebabnya, dampaknya, cara mendiagnosis, langkah pembersihan, dan pencegahan jangka panjang.
Injeksi Judol Adalah Penyisipan Konten Judi Online ke Website Tanpa Izin
Injeksi judol adalah serangan yang menanamkan konten promosi judi online, seperti slot, togel, atau “slot gacor”, ke dalam website korban tanpa sepengetahuan pemiliknya. Peretas biasanya membuat ratusan sampai ribuan halaman siluman, menyisipkan tautan tersembunyi, atau mengalihkan pengunjung ke situs judi.
Tujuannya hampir selalu soal SEO ilegal (black hat SEO). Peretas memanfaatkan reputasi domain Anda, termasuk domain berakhiran .go.id, .ac.id, dan .sch.id yang dianggap berotoritas, untuk mendongkrak peringkat situs judi mereka di mesin pencari.
Beberapa istilah yang perlu Anda kenal:
- Backdoor / webshell: file kecil yang memberi peretas akses tersembunyi ke server, sehingga mereka bisa masuk lagi meski Anda sudah mengganti password.
- Cloaking: teknik menampilkan konten berbeda untuk pengunjung biasa dan untuk bot mesin pencari. Karena itulah pemilik situs sering tidak melihat apa-apa, padahal hasil Google penuh konten judi.
- Doorway page: halaman buatan yang tujuan utamanya mengarahkan pengunjung atau peringkat ke situs lain.
- Defacement: perubahan tampilan situs yang terlihat jelas. Injeksi judol justru biasanya sengaja dibuat senyap.
Baca Juga: di-Crawl Saat ini tidak terindex
Tanda Website Anda Terinject Judol Sering Muncul di Google, Bukan di Tampilan Situs
Tanda paling umum adalah hasil pencarian Google yang menampilkan judul atau deskripsi bernuansa judi untuk domain Anda, padahal halaman depan tampak normal. Pemilik situs sering baru tahu setelah diberi tahu orang lain.
Periksa gejala berikut:
- Pencarian site:namadomain.com memunculkan kata seperti “slot”, “gacor”, “togel”, “maxwin”, atau “deposit”.
- Pemberitahuan di Google Search Console, misalnya masalah keamanan atau tindakan manual terkait konten hasil peretasan (hacked content) atau spam.
- Traffic atau jumlah halaman terindeks melonjak mendadak tanpa Anda menerbitkan konten baru.
- Pengunjung dialihkan ke situs lain, terutama ketika datang dari Google atau dari perangkat seluler.
- File asing di server, atau file inti yang tanggal modifikasinya baru padahal Anda tidak mengubahnya.
- Pengguna admin yang tidak Anda kenal di dashboard CMS.
- Website melambat atau penggunaan CPU/resource hosting melonjak.
- Peringatan dari browser, antivirus, atau penyedia hosting soal konten berbahaya.
Satu hal yang sering terlewat: karena cloaking, situs bisa terlihat bersih saat Anda buka sendiri. Pengecekan lewat Google dan Search Console jauh lebih bisa diandalkan daripada hanya membuka situs di browser.
Penyebab Utama Website Bisa Terinject adalah Celah yang Tidak Ditambal dan Akses yang Lemah
Penyebab terbanyak adalah plugin, tema, atau CMS yang belum diperbarui, password lemah, dan hosting yang tidak aman. Saya belum punya angka pasti tentang persentase masing-masing penyebab, jadi sebaiknya Anda tidak menjadikan satu faktor sebagai satu-satunya tersangka.
Berikut jalur masuk yang paling sering dilaporkan praktisi keamanan:
| Penyebab | Cara peretas memanfaatkannya |
| Plugin/tema usang | Celah keamanan yang sudah diketahui publik dieksploitasi secara otomatis oleh bot |
| Tema/plugin bajakan (nulled) | Sudah disisipi backdoor sejak diunduh |
| Password lemah atau bocor | Serangan brute force atau credential stuffing pada login admin, FTP, atau cPanel |
| Hosting bersama yang tidak terisolasi | Situs tetangga yang terinfeksi menjalar ke akun Anda |
| Izin file terlalu longgar | Peretas bisa menulis file di folder yang seharusnya hanya bisa dibaca |
| Akun admin/FTP tidak terpakai | Akun lama yang terlupakan menjadi pintu masuk |
| Form atau upload tanpa validasi | File berbahaya bisa diunggah dan dijalankan |
| Komputer pengelola terinfeksi malware | Kredensial login dicuri dari perangkat Anda sendiri |
Mengapa situs kecil juga jadi sasaran: serangan ini umumnya otomatis. Bot memindai ribuan situs mencari celah yang sama, jadi ukuran atau popularitas situs bukan faktor utama.
Dampak Terinject Judol: Peringkat Anjlok, Reputasi Rusak, dan Risiko Hukum
Dampak terbesarnya adalah hilangnya kepercayaan Google dan pengunjung terhadap domain Anda. Peringkat bisa turun, situs bisa diberi peringatan di hasil pencarian, dan pengunjung bisa terpapar situs berbahaya melalui domain Anda.
Dampak yang perlu Anda perhitungkan:
- Peringkat dan traffic: Google dapat menurunkan situs yang berisi spam atau konten hasil peretasan, bahkan memberi tindakan manual.
- Reputasi: pengunjung, pelanggan, atau mahasiswa melihat nama organisasi Anda berdampingan dengan judi.
- Keamanan pengunjung: pengalihan bisa mengarah ke situs penipuan atau pengunduhan malware.
- Biaya: waktu pembersihan, kemungkinan sewa jasa keamanan, dan kehilangan pendapatan.
- Risiko hukum dan kepatuhan: untuk instansi atau perusahaan, situs yang memuat konten judi dapat memicu pemeriksaan. Detail konsekuensinya bergantung pada jenis organisasi dan regulasi yang berlaku, jadi konsultasikan dengan pihak hukum atau pembina Anda.
Cara Mendiagnosis Injeksi Judol: Cek Google, Server, dan Database Secara Berurutan
Diagnosis yang benar dilakukan dengan memeriksa tiga tempat: hasil Google, file di server, dan isi database. Jangan hanya menghapus halaman yang terlihat, karena backdoor tersembunyi akan membuat injeksi muncul kembali.
Langkah 1: Cek dari sisi Google
- Cari site:namadomain.com slot, lalu ulangi dengan kata gacor, togel, dan judi.
- Buka Google Search Console dan lihat bagian Security & Manual Actions serta laporan indeks halaman. Nama menu bisa berubah, jadi sesuaikan dengan tampilan terbaru.
- Periksa laporan Pages untuk URL aneh yang tidak pernah Anda buat.
- Cek sitemap Anda. Peretas kadang menambahkan sitemap palsu atau mengubah yang asli.
- Gunakan fitur inspeksi URL untuk melihat bagaimana Googlebot melihat halaman, karena versi ini bisa berbeda dari yang Anda lihat.
Langkah 2: Cek file di server
Cari file yang dimodifikasi baru-baru ini, terutama di folder inti. Jika Anda punya akses SSH, perintah seperti ini membantu menemukan file PHP yang berubah dalam 14 hari terakhir:
find . -type f -name “*.php” -mtime -14
Cari pola kode mencurigakan yang sering dipakai pada backdoor:
grep -rniE “base64_decode|eval\(|gzinflate|str_rot13|shell_exec” .
Peringatan: keberadaan fungsi-fungsi tersebut belum tentu berarti berbahaya, karena sebagian plugin sah juga memakainya. Perlakukan hasilnya sebagai petunjuk, lalu periksa tiap temuan satu per satu.
File yang paling sering diubah: index.php, .htaccess, wp-config.php, functions.php pada tema, dan file di folder wp-content/uploads yang berekstensi .php (seharusnya tidak ada).
Langkah 3: Cek database dan pengguna
- Periksa daftar pengguna admin dan hapus yang tidak dikenal.
- Cari kata judi pada tabel konten dan opsi (untuk WordPress: wp_posts, wp_options).
- Periksa tugas terjadwal (cron) yang mencurigakan, karena peretas memakainya untuk menanam ulang file yang sudah dihapus.
Cara Memperbaiki Website Terinject Judol: Isolasi, Bersihkan, Tutup Celah, Lalu Pulihkan
Perbaikan yang efektif mengikuti urutan: cadangkan bukti, isolasi situs, ganti semua kredensial, bersihkan file dan database, perbarui sistem, lalu ajukan peninjauan ulang ke Google. Melewatkan satu tahap, terutama penutupan celah, membuat peretasan sangat mungkin terulang.
Langkah 1: Cadangkan kondisi saat ini dan aktifkan mode pemeliharaan
Simpan salinan situs dalam kondisi terinfeksi sebagai bahan investigasi, lalu aktifkan halaman pemeliharaan agar pengunjung tidak terpapar konten berbahaya. Hubungi penyedia hosting karena mereka sering punya log akses yang membantu melacak asal serangan.
Langkah 2: Ganti semua kredensial dari perangkat yang bersih
Ganti password admin CMS, database, FTP/SFTP, cPanel atau panel hosting, dan email admin. Lakukan dari perangkat yang sudah dipindai malware. Aktifkan autentikasi dua faktor (2FA) bila tersedia.
Langkah 3: Pilih antara memulihkan dari cadangan bersih atau membersihkan manual
| Pilihan | Kapan cocok | Risiko |
| Restore dari cadangan bersih | Anda yakin tanggal cadangan sebelum infeksi | Celah yang sama tetap terbuka bila tidak ditambal; data baru bisa hilang |
| Bersihkan manual | Tidak ada cadangan bersih | Backdoor tertinggal bila pemeriksaan kurang teliti |
| Instal ulang bersih + impor konten | Infeksi parah atau tidak jelas asalnya | Butuh waktu lebih lama, tetapi hasilnya paling terkendali |
Rekomendasi saya: untuk infeksi yang luas, instal ulang inti CMS dan semua plugin/tema dari sumber resmi, lalu pindahkan hanya konten yang sudah diperiksa. Cara ini umumnya lebih aman daripada mencoba menemukan semua file jahat satu per satu.
Langkah 4: Hapus file, akun, dan data berbahaya
- Timpa file inti dengan versi asli dari sumber resmi.
- Hapus file PHP di folder uploads dan file asing lainnya.
- Periksa dan rapikan .htaccess dari aturan pengalihan yang tidak Anda buat.
- Hapus pengguna admin asing dan tugas cron mencurigakan.
- Bersihkan entri judol di database.
- Hapus plugin atau tema bajakan dan gantikan dengan versi resmi atau alternatif gratis yang sah.
Langkah 5: Pindai ulang dan pastikan tidak ada backdoor
Gunakan pemindai keamanan (misalnya plugin keamanan yang terpercaya atau layanan pemindai dari hosting), lalu periksa manual. Pemindai otomatis tidak menjamin 100% bersih. Jika Anda ragu, pertimbangkan jasa profesional keamanan.
Langkah 6: Bersihkan jejak di Google
- Pastikan situs sudah bersih dan halaman judol mengembalikan status 404 atau 410.
- Gunakan fitur penghapusan URL sementara di Search Console untuk halaman yang paling mengganggu.
- Kirim ulang sitemap yang bersih.
- Jika ada pemberitahuan keamanan atau tindakan manual, ajukan permintaan peninjauan ulang (reconsideration/review) dengan menjelaskan apa yang ditemukan dan langkah pembersihannya.
Proses pembersihan hasil pencarian bisa memakan waktu. Saya tidak bisa memastikan berapa lama, karena bergantung pada jumlah halaman dan kecepatan Google memproses ulang situs Anda.
Baca Juga: Duplikat, Google memilih versi kanonik yang berberda
Cara Menghindari Injeksi Judol: Kunci Pembaruan, Akses, dan Pemantauan
Pencegahan terbaik adalah menutup celah yang paling sering dipakai: pembaruan yang tertunda, akses yang lemah, dan ketiadaan pemantauan. Berikut praktik yang bisa Anda terapkan segera.
- Perbarui CMS, plugin, tema, dan versi PHP secara rutin. Hapus plugin dan tema yang tidak dipakai.
- Jangan memakai tema atau plugin bajakan. Hemat harga di awal sering berujung pada biaya pemulihan yang jauh lebih besar.
- Gunakan password panjang dan unik dengan pengelola password, serta aktifkan 2FA.
- Terapkan prinsip hak akses minimal. Beri peran admin hanya kepada yang benar-benar memerlukan.
- Pasang WAF (Web Application Firewall), yaitu penyaring lalu lintas yang memblokir permintaan berbahaya sebelum mencapai situs.
- Batasi percobaan login dan sembunyikan atau amankan halaman login.
- Atur izin file dengan benar. Umumnya folder 755 dan file 644, kecuali dokumentasi CMS Anda menyarankan lain.
- Buat cadangan otomatis di lokasi terpisah dari server utama, dan uji pemulihannya.
- Pantau integritas file agar Anda diberi tahu ketika file inti berubah.
- Pantau Google Search Console secara berkala dan aktifkan notifikasi emailnya.
Dua pengaturan teknis yang sering dianjurkan untuk WordPress (uji di lingkungan percobaan sebelum diterapkan, karena bisa memengaruhi fungsi tertentu):
Menonaktifkan editor file di dashboard lewat wp-config.php:
define(‘DISALLOW_FILE_EDIT’, true);
Memblokir eksekusi PHP di folder uploads lewat .htaccess di folder tersebut (untuk server Apache):
<Files *.php>
deny from all
</Files>
Sintaks yang tepat bisa berbeda menurut versi server, jadi cocokkan dengan dokumentasi hosting Anda.
Kesalahan Umum Saat Menangani Injeksi Judol Membuat Serangan Berulang
Kesalahan paling merugikan adalah hanya menghapus halaman judol yang terlihat tanpa mencari backdoor dan menutup celah awal. Berikut kesalahan lain yang sering terjadi:
- Hanya mengganti password admin, padahal webshell di server tetap memberi akses.
- Me-restore cadangan tanpa menambal celah, sehingga situs terinfeksi lagi.
- Mengandalkan satu pemindai dan menganggap hasilnya pasti benar.
- Mengabaikan database, tempat konten dan akun jahat bisa bersembunyi.
- Membiarkan halaman terindeks setelah situs bersih, sehingga hasil Google tetap kotor.
- Tidak memeriksa situs lain di akun hosting yang sama. Satu situs terinfeksi bisa menulari yang lain.
- Menunda pembersihan. Semakin lama dibiarkan, semakin banyak halaman judol yang terindeks.
Kapan Anda Perlu Menyewa Profesional atau Melapor
Sewa profesional keamanan jika infeksi muncul berulang, menyebar ke banyak situs, atau menyangkut data sensitif. Sebagai tambahan, pertimbangkan untuk melapor.
- Penyedia hosting: informasikan agar mereka membantu memeriksa log dan akun lain di server yang sama.
- Pihak berwenang: untuk instansi pemerintah atau infrastruktur penting, ada kanal pelaporan insiden siber. Saya tidak bisa memastikan kanal dan prosedur terkini, jadi cek langsung ke situs resmi BSSN atau tim tanggap insiden (CSIRT) di instansi Anda.
- Pimpinan atau tim hukum: bila situs milik organisasi, pastikan pihak yang berwenang tahu agar komunikasi publik terkendali.
Pertanyaan yang Sering Diajukan tentang Website Terinject Judol
Mengapa situs saya terlihat normal tapi di Google ada konten judol? Kemungkinan besar karena cloaking, yaitu konten judol hanya ditampilkan kepada bot mesin pencari. Periksa lewat site: dan inspeksi URL di Search Console.
Apakah menghapus halaman judol saja sudah cukup? Tidak. Selama backdoor dan celah awal belum dibersihkan, halaman baru bisa dibuat ulang.
Berapa lama pemulihan di Google? Saya tidak punya angka pasti. Prosesnya bergantung pada skala infeksi dan kecepatan Google memproses ulang situs.
Apakah situs non-WordPress bisa terkena? Bisa. WordPress sering disebut karena populer, tetapi CMS lain dan situs kustom juga rentan bila tidak dirawat.
Apakah firewall saja cukup? Tidak. WAF membantu, tetapi harus dikombinasikan dengan pembaruan, kontrol akses, dan pemantauan.
Kesimpulan: Website Terinject Judol Bisa Dipulihkan, Asalkan Celahnya Ikut Ditutup
Website terinject judol dapat diperbaiki dengan mengisolasi situs, membersihkan file dan database, mengganti semua kredensial, menambal celah, lalu meminta Google meninjau ulang. Pencegahannya bertumpu pada pembaruan rutin, penghindaran tema dan plugin bajakan, akses yang ketat dengan 2FA, cadangan terpisah, dan pemantauan berkala lewat Google Search Console.
Dari sisi infrastruktur, menggunakan VPS Cloud dari abracloud.id layak dipertimbangkan jika Anda ingin situs berjalan di lingkungan yang terpisah dari situs-situs lain. Di hosting bersama, situs tetangga yang terinfeksi bisa menjalar ke akun Anda. Dengan VPS, sumber daya dan konfigurasi server ada di bawah kendali Anda, sehingga Anda bisa mengatur firewall, izin file, cadangan otomatis, dan pemantauan sesuai kebutuhan.
