Langkah menangani website yang diretas

Mulai dari keselamatan pengunjung dan pembatasan akses

Jika website menampilkan halaman asing, mengarahkan pengunjung ke penipuan, atau menjalankan aktivitas tanpa izin, hubungi penanggung jawab IT dan tetapkan koordinator insiden. Jangan memasukkan kredensial baru melalui halaman yang dicurigai.

Petugas berwenang perlu membatasi bagian yang berbahaya, misalnya menonaktifkan fungsi unggah atau sementara memisahkan aplikasi dari akses publik. Bila perlu, gunakan halaman pemberitahuan dari lingkungan yang masih dipercaya. Halaman pemeliharaan saja belum menghentikan akses penyerang ke server, basis data, atau akun pengelola.

Panduan ini membantu mengatur penanganan. Perubahan teknis harus dilakukan petugas yang memahami sistem dan dampaknya pada layanan.

Pastikan apa yang berubah

Bandingkan kejadian dengan rilis atau perubahan yang disetujui. Gangguan tampilan saja belum menjelaskan penyebabnya. Contoh pemeriksaan berikut disusun untuk tim pengelola website:

Gejala	Pemeriksaan awal
Halaman depan diganti	Riwayat perubahan konten, akun CMS, berkas aplikasi, dan proses rilis.
Pengunjung dialihkan ke alamat asing	Konfigurasi domain/DNS, aturan pengalihan, skrip halaman, dan cache.
Akun pengelola baru muncul	Pemberi akses, waktu pembuatan, sesi aktif, dan tindakan akun tersebut.
Server kembali berubah setelah dipulihkan	Jalur masuk yang belum ditutup, pekerjaan terjadwal, akses layanan, dan sistem lain yang terhubung.

Catat mana yang sudah ditemukan dan mana yang belum diperiksa. Jangan menganggap kejadian hanya mengenai satu halaman karena itulah yang terlihat publik.

Jaga bukti sambil menghentikan kerusakan

Simpan waktu dan zona waktu, URL yang terdampak, referensi rilis, log yang tersedia, serta salinan bukti yang diperlukan di tempat terbatas. Catat petugas pengambil dan perubahan yang dilakukan. Gunakan catatan insiden agar kronologinya tidak tersebar di percakapan berbeda.

Hindari langsung memasang ulang seluruh sistem sebelum mempertimbangkan bukti yang akan hilang. Namun, jangan membiarkan serangan berlangsung demi mengumpulkan dokumentasi sempurna. Koordinator menentukan tindakan pembatasan dan kebutuhan bukti bersama petugas teknis.

Periksa akses dan tutup jalur masuk

Periksa sistem yang dapat mengubah website: akun hosting, CMS, repositori, jalur rilis, domain, penyimpanan, dan basis data. Sesuaikan daftar dengan arsitektur yang sebenarnya. Bila akses admin dicurigai, ikuti penanganan akun admin. Bila kredensial aplikasi terbuka, ikuti penanganan API key bocor.

Perbaiki penyebab yang ditemukan, termasuk kerentanan dan akses tanpa izin. Mengganti halaman depan atau menghapus satu berkas asing belum memastikan seluruh akses penyerang sudah hilang. Jika tim tidak dapat menentukan cakupan atau sumber perubahan berulang, minta bantuan penanganan insiden dengan akses dan tanggung jawab yang jelas.

Buka kembali setelah pemulihan diperiksa

Periksa integritas cadangan atau paket rilis sebelum digunakan. Uji hasil pemulihan di lingkungan yang terpisah bila memungkinkan. Pastikan perbaikan penyebab sudah diterapkan, akses telah ditinjau, fungsi penting berjalan, dan log dapat dipantau.

Contoh fiktif: toko memulihkan halaman yang disisipi tautan asing, tetapi akun CMS tambahan masih aktif. Koordinator menunda pembukaan, meminta pemeriksaan akun dan sumber perubahan, lalu mencatat hasil uji sebelum memberi persetujuan. Website yang terlihat normal belum cukup menjadi dasar penutupan.

Gunakan lembar pemeriksaan pemulihan untuk mencatat keputusan membuka layanan dan pekerjaan yang masih tersisa. Jika data pribadi mungkin terdampak, segera jalankan penilaian insiden data pribadi secara paralel; jangan menunggu website selesai diperbaiki.