Cara Membersihkan Website yang Disusupi Konten Judi Online
Halaman slot dan judi online muncul atas nama domainmu di Google? Ini cara memastikannya, mencari backdoor, membersihkan, dan memulihkan di Search Console.
Jawaban singkat
Konten judi online yang muncul di Google atas nama domainmu biasanya berasal dari halaman sisipan dan backdoor. Pastikan dengan pencarian site:, cari file dan data asing, tutup celahnya, hapus semua halaman spam beserta backdoor, lalu ajukan peninjauan di Google Search Console.
Daftar isi
Seorang rekan mengirim tangkapan layar: ketika nama kampus atau perusahaanmu dicari di Google, yang muncul justru judul seperti "slot gacor" dan "situs togel terpercaya" dengan alamat domainmu. Kamu buka websitenya, semuanya terlihat normal. Menu, artikel, dan halaman kontak masih sama.
Pola ini banyak ditemui pada website di Indonesia, dari domain .go.id dan .ac.id sampai website bisnis biasa. Pelaku menyisipkan ratusan sampai ribuan halaman judi untuk menumpang reputasi domainmu di mesin pencari. Halaman itu sering hanya ditampilkan ke Googlebot atau pengunjung dari Google, sehingga admin yang membuka alamat langsung tidak melihat apa pun.
Memastikan konten judi memang ada di domainmu
Mulailah dari Google, karena di sanalah masalahnya terlihat. Pakai operator pencarian dengan kata yang biasa dipakai pelaku:
site:domainmu.ac.id slotsite:domainmu.ac.id gacor OR togel OR "maxwin"site:domainmu.ac.id inurl:slot
Coba juga tanpa kata kunci, cukup site:domainmu.ac.id, lalu gulir beberapa halaman hasil. Perhatikan subdomain dan folder yang tidak kamu kenal, misalnya domainmu.ac.id/files/ atau subdomain lama yang sudah lama tidak diurus. Pada banyak kasus, pintu masuknya justru aplikasi lama di subdomain yang terlupakan.
Lalu lihat dari sudut pandang Google. Di Google Search Console, buka laporan Masalah keamanan untuk melihat apakah Google sudah mendeteksi konten yang diretas atau spam. Pakai juga Inspeksi URL pada salah satu alamat spam, lalu lihat halaman yang dirender Google. Kalau Google melihat konten judi sementara browsermu tidak, itu tanda cloaking. Kamu juga bisa membandingkan respons dengan user agent berbeda dari terminal, misalnya curl -A "Googlebot" https://domainmu.ac.id/halaman-aneh, walau sebagian skrip jahat juga memeriksa IP sehingga cara ini tidak selalu memperlihatkan isinya.
Di mana biasanya spam dan backdoor bersembunyi?
Halaman judi hanyalah gejala. Yang membuatnya bisa muncul lagi adalah backdoor: file atau kode kecil yang memberi pelaku akses ulang kapan saja. Kalau hanya halaman spam yang dihapus, dalam beberapa hari halamannya biasanya kembali.
| Lokasi | Yang perlu dicari | Contoh pemeriksaan |
|---|---|---|
| File PHP di folder upload dan cache | File berkekstensi .php yang seharusnya tidak ada | find wp-content/uploads -name "*.php" |
| File yang baru berubah | File inti atau tema yang diubah tanpa sepengetahuanmu | find . -name "*.php" -mtime -30 |
| Kode yang disamarkan | Fungsi eval, base64_decode, gzinflate, str_rot13, assert | grep -rlE "eval\(|base64_decode|gzinflate" . |
| .htaccess dan konfigurasi server | Aturan rewrite atau redirect berdasarkan referer atau user agent | Bandingkan dengan salinan bersih |
| Database | Post, halaman, atau opsi asing; akun admin baru | Cek tabel post dan tabel user |
| Sitemap dan robots.txt | Sitemap tambahan berisi ribuan URL spam | Buka sitemap yang terdaftar di Search Console |
| Penjadwal | Cron job asing yang mengunduh ulang file jahat | crontab -l dan cron panel hosting |
Hasil grep akan mengandung positif palsu, karena plugin sah pun ada yang memakai base64. Fokus pada file di tempat yang tidak wajar, nama acak, tanggal perubahan yang mencurigakan, dan kode satu baris yang sangat panjang. Untuk gejala peretasan lain yang perlu kamu kenali, lihat tanda website diretas.
Urutan pembersihan yang tidak membuatmu bolak-balik
Simpan bukti lebih dulu: salinan file, ekspor database, dan log akses. Jejak ini berguna untuk mengetahui bagaimana pelaku masuk. Setelah itu, ganti semua kredensial yang mungkin terkait: akun admin CMS, panel hosting, FTP atau SFTP, database, dan email admin. Hapus akun admin yang tidak dikenal.
Kemudian tutup celahnya. Perbarui CMS, plugin, dan tema ke versi terbaru, dan buang plugin atau tema yang tidak dipakai, terutama yang bajakan. Kalau kamu memakai WordPress, panduan dasarnya ada di keamanan WordPress dasar.
Pembersihan paling aman adalah membangun ulang dari sumber bersih: unduh ulang file inti CMS dari situs resminya, pasang ulang plugin dan tema dari sumber resmi, lalu kembalikan hanya konten dan unggahan yang sudah diperiksa. Pulihkan dari backup hanya bila kamu yakin backup itu dibuat sebelum peretasan, dan tetap tutup celahnya setelah pemulihan. Di database, hapus post atau halaman spam, periksa opsi yang menyimpan skrip, dan pastikan tidak ada pengguna asing.
Untuk URL spam yang sudah tidak ada, biarkan server menjawab 404 atau 410. Jangan arahkan ribuan URL spam ke beranda, karena itu justru membingungkan mesin pencari.
Memulihkan nama domainmu di Google
Setelah yakin bersih, kembali ke Search Console. Hapus sitemap asing yang didaftarkan pelaku, kirim ulang sitemap yang benar, lalu bila ada catatan di laporan Masalah keamanan, ajukan permintaan peninjauan dengan penjelasan singkat apa yang sudah kamu bersihkan dan perbaiki.
Untuk URL spam yang masih tampil dan merugikan, alat Penghapusan di Search Console bisa menyembunyikannya dari hasil pencarian sambil menunggu Google merayapi ulang. Menurut dokumentasi Google, permintaan yang berhasil hanya berlaku sekitar enam bulan. Hilangnya halaman secara permanen tetap bergantung pada server yang menjawab 404 atau 410.
Pemulihan di hasil pencarian butuh waktu, karena Google perlu merayapi ulang halaman-halaman tersebut. Selama menunggu, pantau ulang dengan pencarian site: setiap beberapa hari. Kalau halaman judi baru muncul lagi, berarti masih ada backdoor atau celah yang terlewat.
Mencegah agar tidak terulang
Kasus yang berulang biasanya terjadi karena pintunya tidak benar-benar ditutup. Biasakan pembaruan rutin, hapus aplikasi dan subdomain yang tidak dipakai, aktifkan 2FA untuk admin, dan pasang pemantauan perubahan file. WAF juga membantu menahan eksploit yang polanya sudah dikenal. Gambaran pengamanan lengkapnya ada di panduan lengkap keamanan website untuk bisnis.
Ringkasnya, konten judi online di domainmu hampir selalu berarti ada akses tidak sah yang masih terbuka. Pastikan lewat Google dan Search Console, bersihkan sampai ke backdoor dan kredensial, lalu ajukan peninjauan. Setelah itu, pembaruan rutin dan pemantauan yang membuat masalah ini tidak kembali.
