Cara Mengatasi Serangan SEO Judi Online pada WordPress

This Cirebon – Serangan SEO judi online menjadi salah satu masalah yang cukup sering ditemukan pada website yang telah disusupi. Pelaku biasanya memanfaatkan celah keamanan untuk menambahkan halaman, file, atau konten spam yang kemudian digunakan untuk mendapatkan trafik dari mesin pencari.

Pada website berbasis WordPress, file berbahaya dapat ditempatkan di berbagai lokasi, termasuk direktori seperti wp-content, yang memang digunakan untuk menyimpan plugin, tema, serta berbagai file pendukung WordPress. Kasus seperti ini juga dibahas oleh Surabaya Hacker Link dalam pembahasan mengenai serangan blackhat SEO.

Masalahnya tidak hanya sebatas munculnya halaman judi di Google. Jika penyerang sudah memperoleh akses ke website atau server, akses tersebut berpotensi digunakan untuk memasukkan malware, membuat backdoor, memodifikasi halaman, atau melakukan aktivitas lain yang merugikan pemilik website.

Bagaimana SEO Judi Online Bisa Masuk ke WordPress?

Ada banyak kemungkinan penyebab website WordPress dapat disusupi. Beberapa yang paling perlu diperhatikan adalah plugin atau tema yang memiliki kerentanan, software yang tidak diperbarui, password administrator yang lemah, izin file yang terlalu longgar, serta penggunaan plugin atau tema dari sumber yang tidak terpercaya.

Dokumentasi resmi WordPress juga menyarankan pemilik website untuk menggunakan plugin dan tema dari sumber terpercaya serta selalu menggunakan versi WordPress terbaru untuk mendapatkan perbaikan keamanan.

Karena itu, membersihkan halaman spam saja belum cukup. Pemilik website perlu menemukan dan menutup jalur yang sebelumnya digunakan untuk masuk.

1. Perbarui WordPress, Plugin, dan Tema

Langkah pertama adalah memeriksa versi WordPress yang digunakan.

Masuk ke Dashboard → Updates, kemudian perbarui WordPress core, plugin, dan tema yang sudah memiliki versi terbaru.

Plugin atau tema yang sudah tidak digunakan sebaiknya dihapus, bukan sekadar dinonaktifkan. Semakin banyak komponen yang terpasang, semakin banyak pula bagian website yang perlu diawasi.

WordPress sendiri menekankan pentingnya selalu menggunakan versi terbaru karena pembaruan dapat berisi perbaikan terhadap masalah keamanan yang telah ditemukan.

Hindari juga penggunaan plugin atau tema nulled karena kode di dalamnya tidak dapat dipercaya dan dapat menjadi jalan masuk malware atau backdoor.

2. Amankan Akun Administrator WordPress

Serangan terhadap halaman login masih menjadi salah satu hal yang harus diantisipasi.

Gunakan password panjang dan unik yang tidak berhubungan dengan nama website, nama perusahaan, username, nomor telepon, atau kata-kata umum.

Dokumentasi keamanan WordPress merekomendasikan penggunaan password kuat dan menyebut autentikasi dua langkah sebagai perlindungan tambahan.

Jika memungkinkan, aktifkan Two-Factor Authentication (2FA) untuk akun administrator.

Batasi juga percobaan login berulang dan hapus akun administrator yang sudah tidak digunakan.

3. Periksa Plugin dan Tema yang Terpasang

Plugin dan tema merupakan bagian penting dari WordPress, tetapi keduanya juga harus selalu diawasi.

Sebelum memasang sebuah plugin, periksa apakah plugin tersebut masih aktif dikembangkan, mendapatkan pembaruan, kompatibel dengan versi WordPress yang digunakan, dan berasal dari sumber terpercaya.

Jika terdapat plugin lama yang sudah tidak pernah diperbarui oleh pengembangnya, pertimbangkan menggantinya dengan alternatif yang masih aktif dipelihara.

Prinsip yang sama berlaku untuk tema WordPress.

4. Batasi Kemampuan Mengedit File dari Dashboard

Secara default, administrator WordPress dapat mengedit file plugin dan tema melalui Dashboard. Jika akun administrator berhasil diambil alih, fitur tersebut dapat dimanfaatkan untuk memasukkan kode berbahaya.

WordPress menyediakan konfigurasi untuk menonaktifkan editor tersebut.

Tambahkan kode berikut pada wp-config.php:

define( 'DISALLOW_FILE_EDIT', true );

Setelah konfigurasi tersebut diterapkan, editor file plugin dan tema dari Dashboard WordPress akan dinonaktifkan.

5. Periksa Permission File dan Folder

Permission yang terlalu longgar dapat meningkatkan risiko modifikasi file yang tidak diinginkan.

Dokumentasi hardening WordPress menjelaskan bahwa file WordPress sebaiknya hanya dapat ditulis oleh akun yang memang membutuhkannya. Direktori seperti wp-admin, wp-includes, plugin, dan tema tidak seharusnya diberikan hak tulis secara sembarangan.

Konfigurasi permission harus disesuaikan dengan server dan hosting yang digunakan. Jangan mengubah permission secara acak karena pengaturan yang salah dapat menyebabkan website tidak berfungsi.

6. Gunakan Firewall dan Monitoring

Web Application Firewall atau WAF dapat membantu menyaring request mencurigakan sebelum mencapai aplikasi WordPress.

WordPress juga menyebut penggunaan firewall sebagai salah satu lapisan tambahan yang dapat diterapkan untuk membantu melindungi website.

Selain firewall, aktifkan pencatatan aktivitas atau logging agar perubahan yang tidak normal lebih mudah ditemukan.

Misalnya, administrator perlu waspada apabila tiba-tiba muncul file PHP baru, administrator baru yang tidak dikenal, plugin misterius, perubahan halaman tanpa izin, atau lonjakan request mencurigakan.

7. Periksa File Mencurigakan di wp-content

Direktori wp-content perlu mendapatkan perhatian khusus karena di dalamnya terdapat plugin, tema, upload, dan berbagai data tambahan dari website.

Pada kasus serangan SEO judi online, pelaku dapat mencoba menambahkan file atau halaman yang tidak berhubungan dengan website asli. Kasus penyalahgunaan direktori WordPress untuk menempatkan landing page spam juga disebut dalam pembahasan Surabaya Hacker Link.

Periksa direktori berikut:

wp-content/plugins/

wp-content/themes/

wp-content/uploads/

Jika menemukan file yang tidak dikenal, jangan langsung menghapusnya tanpa melakukan backup dan memastikan fungsi file tersebut. Untuk website produksi, pemeriksaan sebaiknya dilakukan oleh administrator atau orang yang memahami struktur instalasi WordPress.

8. Periksa Akun WordPress

Buka menu Users dan periksa seluruh pengguna yang memiliki hak Administrator.

Pastikan tidak ada akun asing atau akun lama yang seharusnya sudah tidak memiliki akses.

Jika menemukan akun mencurigakan, lakukan pemeriksaan lebih dahulu, kemudian hapus aksesnya apabila dipastikan bukan akun resmi.

Setelah insiden keamanan, sebaiknya ganti password seluruh akun penting, termasuk WordPress administrator, hosting, database, FTP/SFTP, SSH, dan akun layanan lain yang berkaitan dengan website.

9. Backup Website Secara Berkala

Backup menjadi bagian penting dari proses keamanan karena memungkinkan website dipulihkan ketika terjadi kerusakan atau kompromi.

Dokumentasi WordPress merekomendasikan strategi backup yang mencakup file WordPress dan database serta menyimpannya di lokasi yang terpercaya.

Jangan hanya menyimpan backup di server yang sama. Jika server mengalami masalah, backup tersebut juga berpotensi ikut terdampak.

Checklist Keamanan WordPress

Mengatasi serangan SEO judi online pada WordPress tidak cukup dengan menghapus halaman spam yang muncul di Google. Administrator harus mencari penyebab kompromi, membersihkan file berbahaya, menutup celah keamanan, mengganti kredensial yang berpotensi bocor, dan meningkatkan sistem monitoring.

Keamanan WordPress pada dasarnya merupakan proses mengurangi risiko melalui beberapa lapisan perlindungan, bukan mengandalkan satu plugin atau satu konfigurasi saja. Prinsip tersebut juga menjadi dasar panduan hardening resmi WordPress.

Dengan WordPress, plugin, dan tema yang selalu diperbarui, penggunaan password yang kuat, permission yang tepat, firewall, monitoring, serta backup berkala, risiko website kembali disusupi untuk aktivitas SEO spam dapat dikurangi secara signifikan.