Website sekolah, kampus, atau instansi disusupi judi online: cara mengenali, membersihkan, dan melaporkannya

Oleh Mohammad Hilmi Bisri, S.Kom.. Terbit 12 Oktober 2026.

Banyak website sekolah, kampus, dan instansi disusupi halaman atau tautan judi online. Penyusup masuk lewat celah keamanan, lalu membuat halaman baru atau menyisipkan tautan ke halaman yang sudah ada. Sisipan ini sering hanya tampil di Google, sehingga pengelola tidak melihatnya saat membuka website.

Kementerian Komunikasi dan Digital (Komdigi) mencatat 86.826 temuan alamat halaman (URL) situs instansi pemerintah yang tersisipi konten perjudian sejak Januari 2022 sampai Mei 2026. Sebanyak 75.136 di antaranya sudah diturunkan, tetapi per 19 Mei 2026 masih ada 767 URL yang aktif.

Tanda-tanda website disusupi

• Ketik site: diikuti alamat website Anda (tanpa spasi dan tanpa https://) di kolom pencarian Google. Hasilnya menampilkan halaman website Anda yang tercatat di Google, termasuk halaman tambahan penyusup. Judul atau keterangan berisi kata-kata judi, atau alamat halaman yang tidak pernah Anda buat, adalah tanda yang jelas.
• Halaman yang di Google berisi judi tampak normal atau "tidak ditemukan" saat Anda buka sendiri. Teknik ini disebut penyelubungan (cloaking): Google dan pengunjung diberi isi yang berbeda. Fitur Inspeksi URL di Google Search Console (layanan gratis Google untuk pemilik website) menampilkan halaman seperti yang dilihat Google.
• Laporan Masalah Keamanan di Search Console menampilkan temuan seperti "Diretas: Injeksi konten" (tautan atau teks spam ditambahkan ke halaman Anda) atau "Diretas: Injeksi URL" (penyusup membuat halaman baru). Halaman yang terkena bisa diberi label peringatan di hasil pencarian.
• Ada akun admin yang tidak Anda kenal di CMS (sistem pengelola isi website, misalnya WordPress). Periksa juga menu Setelan, lalu Pengguna dan izin, di Search Console. Penyusup bisa mendaftarkan diri sebagai pemilik dan mengubah setelan di sana.
• Pengelola situs pemerintah menerima email dari Komdigi tentang konten perjudian yang tersisip di situsnya.

Kepada siapa melapor

Pengelola website adalah penyelenggara sistem elektronik menurut Peraturan Pemerintah (PP) Nomor 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik. Jika terjadi kegagalan atau gangguan sistem yang berdampak serius akibat perbuatan pihak lain, penyelenggara wajib mengamankan informasi dan dokumen elektroniknya, lalu segera melapor pada kesempatan pertama kepada aparat penegak hukum serta kementerian atau lembaga terkait (Pasal 24 ayat (3)).

• Pusat Kontak Siber BSSN (Badan Siber dan Sandi Negara) menerima laporan insiden siber dari masyarakat, instansi pemerintah, dan swasta, termasuk peretasan website. Kanalnya: email bantuan70@bssn.go.id, WhatsApp atau telepon 0811-1065-2018, saluran khusus 183, dan portal aduansiber.bssn.go.id. Siapkan foto kartu identitas, formulir layanan, dan keterangan tentang sistem yang terdampak. BSSN memverifikasi persyaratan paling lambat 24 jam sejak dokumen diterima, lalu memberi hasil analisis awal paling lambat 72 jam sejak laporan dinyatakan valid.
• Instansi pemerintah daerah sebaiknya juga mengabari CSIRT (tim tanggap insiden siber) pemerintah daerahnya. Di Kabupaten Jombang, misalnya, JombangKab-CSIRT diketuai Kepala Dinas Komunikasi dan Informatika dan dapat berkoordinasi dengan CSIRT Provinsi Jawa Timur serta Gov-CSIRT BSSN untuk insiden yang tidak dapat ditanganinya. Gov-CSIRT sendiri melayani CSIRT pemerintah pusat dan daerah.
• Website berdomain .go.id: kabari pengelola nama domain instansi di Komdigi lewat helpdeskdomain@mail.komdigi.go.id.
• Situs judi yang menjadi tujuan tautan sisipan bisa dilaporkan ke aduankonten.id (situs luar) milik Komdigi.

Jika penyusup sempat mengakses data pribadi, misalnya data siswa atau warga, berlaku juga kewajiban pemberitahuan dalam UU Pelindungan Data Pribadi (lihat artikel UU PDP untuk desa, sekolah, dan instansi).

Cara membersihkan

1. Amankan akses. Tutup website sementara, misalnya dengan meminta penyedia hosting menampilkan halaman pemeliharaan dari luar folder yang terinfeksi. Menurut Google, menutup website sementara selama pemulihan kecil kemungkinannya memengaruhi peringkatnya di hasil pencarian. Catat lalu hapus akun asing, dan ganti kata sandi semua akun website.
2. Buat salinan keadaan website saat ini dan beri label "terinfeksi". Salinan ini hanya untuk berjaga-jaga jika ada isi yang ikut terhapus.
3. Cari sumber sisipan. Periksa file .htaccess (file pengaturan server). Panduan Google menjelaskan satu jenis peretasan yang memakai file ini untuk membuat halaman spam secara otomatis, dengan merujuk ke file PHP bernama acak. Periksa juga isi database, plugin dan tema, serta catatan akses server (log) untuk mengetahui kapan penyusup pertama kali masuk. Pindai komputer admin dengan antivirus, karena program mata-mata di komputer itu bisa merekam kata sandi.
4. Pulihkan dari cadangan bersih, yaitu cadangan yang dibuat sebelum website disusupi. Tanggal masuknya penyusup dari langkah 3 membantu memilihnya.
5. Perbarui CMS, plugin, dan tema ke versi terbaru. Google menyarankan pemasangan ulang yang bersih, karena pembaruan biasa bisa menyisakan file lama yang terinfeksi. Hapus semua file plugin atau tema yang tidak dipakai, jangan hanya dinonaktifkan.
6. Tutup celah yang dipakai penyusup, lalu ganti sekali lagi semua kata sandi: admin CMS, panel hosting, FTP (akses untuk mengunggah file), dan database.
7. Atur halaman buatan penyusup supaya menampilkan kode 404 (halaman tidak ditemukan). Halaman itu akan hilang dari Google seiring waktu. Untuk mempercepatnya, pakai Alat Penghapusan di Search Console, khusus untuk halaman yang memang tidak akan dipakai lagi.

HanzCodes menerima pekerjaan membersihkan sisipan judi online; rinciannya ada di halaman perbaikan website.

Meminta peninjauan ulang ke Google

Ajukan peninjauan setelah kepemilikan website terverifikasi di Search Console, sisipan sudah bersih, celah sudah ditutup, dan website sudah dibuka kembali. Pastikan halaman tidak diblokir dari Google, misalnya oleh robots.txt atau tag noindex.

1. Buka laporan Masalah Keamanan di Search Console.
2. Pastikan semua masalah yang tercantum sudah diperbaiki di seluruh website. Perbaikan pada sebagian halaman saja tidak cukup.
3. Pilih Minta Peninjauan. Jelaskan masalah yang terjadi, langkah perbaikan yang sudah dilakukan, dan hasilnya. Contoh dari panduan Google: untuk URL injeksi konten, konten spam sudah dihapus dan celahnya ditutup dengan memperbarui plugin yang usang.

Menurut Google, sebagian besar peninjauan memerlukan beberapa hari sampai beberapa minggu. Peninjauan situs yang diretas dengan spam bisa melibatkan pemeriksaan manual. Jangan mengirim ulang permintaan sebelum keputusan akhir keluar. Permintaan yang diajukan sebelum masalahnya benar-benar beres bisa memperlama peninjauan berikutnya, atau membuat situs ditandai sebagai pelanggar berulang.

Mencegah supaya tidak terulang

• Buat cadangan otomatis secara rutin, mencakup file, database, dan gambar.
• Perbarui CMS, plugin, dan tema secara berkala. Jangan memasang versi gratis dari plugin atau tema berbayar yang diunduh dari situs tidak jelas. Google mencatat cara ini sering dipakai untuk menyisipkan kode jahat.
• Pakai kata sandi yang kuat dan berbeda untuk setiap akun, dan aktifkan verifikasi dua langkah (kode tambahan, misalnya lewat HP, saat masuk).
• Beri akses admin hanya kepada petugas yang membutuhkannya, dengan akun terpisah untuk setiap orang. Hapus akun petugas yang sudah pindah tugas.
• Selalu perbarui sistem operasi dan browser di komputer yang dipakai untuk mengelola website.
• Periksa hasil pencarian site: dan laporan Masalah Keamanan secara berkala. Pastikan email pengelola di Search Console dan pada pendaftaran domain masih aktif, supaya pemberitahuan dari Google atau Komdigi terbaca.
• Instansi pemerintah dapat meminta uji keamanan ITSA (Information Technology Security Assessment) dari BSSN tanpa biaya, sesuai kuota, berupa pencarian celah dan rekomendasi perbaikan. Permohonannya dikirim lewat itsa@bssn.go.id.

Artikel ini adalah ringkasan, bukan nasihat hukum. Untuk keputusan tertentu, rujuk teks PP 71/2019 di JDIH BPK (situs luar) serta pejabat atau unit yang berwenang, misalnya Dinas Komunikasi dan Informatika, CSIRT daerah, atau BSSN.