Panik saat tahu situs tiba-tiba berubah jadi halaman judi, spam, atau iklan aneh? Tenang, kamu nggak sendiri. Banyak pemilik website pernah mengalami hal serupa ketika situs WordPress mereka diretas. Biasanya hal ini terjadi karena celah keamanan dari plugin lawas, password lemah, atau tema bajakan yang disusupi kode berbahaya.
Hal terpenting saat situs WordPress kena hack adalah tetap tenang dan bertindak cepat. Jangan asal hapus file atau ganti hosting tanpa tahu sumber masalahnya. Kadang hacker meninggalkan backdoor tersembunyi yang bisa muncul lagi walau file berbahaya sudah kamu hapus.
Artikel ini akan bantu kamu langkah demi langkah supaya tahu apa yang harus dilakukan saat situs WordPress diretas, bagaimana cara membersihkannya, dan tips mencegah kejadian serupa terulang di masa depan.
Situs WordPress Kena Hack: Apa yang Terjadi dan Mengapa Bisa Begitu
Saat situs WordPress kena hack, biasanya hacker memanfaatkan celah kecil yang kamu nggak sadari. Bisa dari plugin yang belum di-update, atau dari file upload yang terbuka untuk publik. Setelah masuk, mereka bisa menanamkan file berbahaya ke dalam folder inti seperti wp-includes atau wp-content.
Serangan semacam ini tidak selalu langsung terlihat. Kadang situs masih berjalan normal di depan, tapi di belakang sudah terinfeksi script spam, iklan judi, atau bahkan redirect ke situs asing. Google pun bisa memberi tanda “This site may be hacked” di hasil pencarian, yang tentunya bikin reputasi web turun drastis.
Selain itu, hacker sering menambahkan user admin palsu agar bisa login kapan saja. Ada juga yang menyembunyikan file backdoor dengan nama mirip file WordPress asli, jadi susah dikenali tanpa scan menyeluruh. Karena itu, membersihkan situs yang sudah diretas nggak cukup hanya hapus file aneh, tapi juga harus menutup semua celah agar tidak diserang ulang.
15 Langkah Darurat untuk Mengatasi Situs WordPress yang Diretas
Mengalami situs WordPress kena hack memang bikin frustasi, tapi situasi seperti ini bisa jadi pelajaran berharga. Dari kejadian tersebut, kamu bisa lebih sadar pentingnya menjaga keamanan situs dan tidak menunda update sistem.
Berikut 15 langkah yang dapat Anda lakukan terhadap situs wordpress yang terkena hack.
1. Tetap Tenang dan Jangan Panik
Hal paling penting adalah jangan terburu-buru. Banyak orang justru bikin situasi makin parah karena langsung hapus file tanpa backup. Hacker sering menaruh file tambahan yang terlihat seperti file asli, jadi kamu harus teliti sebelum menghapus apa pun.
Luangkan waktu untuk mencatat apa saja tanda-tanda aneh di situs kamu, seperti URL baru yang mencurigakan, file berisi kata “bandarqq” atau “casino”, atau perubahan tampilan halaman utama. Catatan ini akan berguna saat proses pemulihan nanti.
2. Ambil Situs Offline Sementara
Langkah ini penting biar pengunjung dan Google nggak melihat konten berbahaya di website kamu. Kamu bisa aktifkan mode maintenance atau batasi akses lewat file .htaccess.
Kalau nggak yakin caranya, kamu bisa juga ubah nama file index.php sementara jadi index_off.php, lalu buat halaman sederhana bertuliskan “Situs sedang dalam perbaikan”. Setelah pembersihan selesai, tinggal ubah nama file seperti semula.
3. Backup Semua File dan Database
Sebelum melakukan pembersihan apa pun, pastikan kamu sudah backup versi situs yang ada sekarang. Walaupun situs sudah terinfeksi, backup ini penting untuk forensik digital—buat melihat kapan file berbahaya mulai muncul.
Kamu bisa pakai plugin seperti UpdraftPlus, atau lakukan backup manual lewat cPanel atau FTP. Simpan salinannya di luar server, misalnya di Google Drive atau komputer pribadi.
4. Ganti Semua Password
Begitu tahu situs WordPress kamu diretas, ganti semua password tanpa menunda. Mulai dari akun admin WordPress, database, FTP/SFTP, hosting, sampai email admin.
Pastikan password baru menggunakan kombinasi huruf besar, kecil, angka, dan simbol. Kalau bisa, aktifkan fitur keamanan tambahan seperti two-factor authentication (2FA) agar login lebih aman.
5. Periksa Folder Inti WordPress
Folder wp-includes dan wp-admin seharusnya hanya berisi file bawaan WordPress. Kalau kamu menemukan folder seperti wp-includes/bandarqq/ atau file aneh seperti class-wp-fix.php, besar kemungkinan itu hasil injeksi hacker.
Hapus file mencurigakan tersebut, tapi kalau ragu, pindahkan dulu ke folder karantina. Lebih aman kalau nanti kamu bandingkan file aslinya dari instalasi WordPress baru.
6. Scan Situs dengan Plugin Keamanan
Gunakan plugin keamanan seperti Wordfence, iThemes Security, atau Sucuri. Plugin-plugin ini bisa memindai file berbahaya, mendeteksi perubahan aneh, dan bahkan memberi tahu kamu lokasi file yang disusupi malware.
Setelah proses scanning, simpan hasil laporannya. Biasanya di situ kamu bisa tahu file mana saja yang terinfeksi, IP asal serangan, dan plugin apa yang mungkin jadi celah.
7. Cek dan Bersihkan File .htaccess
File .htaccess sering dijadikan alat redirect ke situs judi atau spam. Buka file ini lewat File Manager atau FTP, lalu pastikan hanya berisi aturan standar WordPress.
Kalau kamu melihat baris aneh seperti Redirect 301 / https://bandarqq.com, hapus segera. Setelah itu, simpan file dan reload situs untuk memastikan redirect-nya sudah hilang.
8. Cek Daftar User Admin
Masuk ke Dashboard WordPress, lalu buka menu “Users”. Kalau kamu menemukan akun admin yang nggak kamu buat sendiri, hapus segera. Banyak hacker menambahkan user palsu untuk akses kembali nanti.
Setelah itu, periksa juga email admin utama dan pastikan emailnya masih kamu kontrol. Beberapa serangan bahkan mengganti alamat email di akun admin agar hacker bisa reset password sesuka hati.
9. Periksa Jadwal Cron dan Task Server
Hacker sering memasang cron job otomatis untuk menginstal ulang malware setiap beberapa jam. Cek jadwal cron WordPress dengan plugin atau lewat panel hosting.
Kalau ada perintah yang mengarah ke file asing di wp-includes atau wp-content/uploads, hapus segera. Catat juga lokasi file tersebut untuk kamu bersihkan nanti.
10. Update Semua Komponen WordPress
Setelah situs mulai bersih, pastikan semua plugin, tema, dan core WordPress diupdate ke versi terbaru. Versi lama sering mengandung celah keamanan yang sudah diketahui publik.
Kalau kamu pernah mengunduh plugin atau tema bajakan, lebih baik hapus dan ganti versi resmi dari sumber terpercaya. Plugin nulled adalah salah satu penyebab paling umum situs WordPress kena hack.
11. Ganti WordPress SALT
SALT adalah kunci keamanan di file wp-config.php yang digunakan untuk mengamankan sesi login. Ganti semua kunci SALT agar hacker yang masih login otomatis ter-logout.
Kamu bisa generate kunci baru di situs resmi WordPress, lalu salin ke file wp-config.php. Simpan file, dan login ulang untuk memastikan semuanya bekerja.
12. Cek Log Aktivitas dan Akses Server
Buka file log dari hosting, biasanya bernama access.log dan error.log. Di situ kamu bisa melihat aktivitas mencurigakan, seperti upload file .php lewat folder uploads atau akses POST dari IP luar negeri.
Log ini sangat berguna buat melacak waktu dan sumber serangan. Kalau kamu menemukan pola tertentu, misalnya serangan dari IP yang sama, kamu bisa blokir lewat .htaccess atau plugin keamanan.
13. Pulihkan Situs dari Backup Bersih
Kalau kamu punya backup sebelum situs WordPress kena hack, restore versi tersebut. Tapi pastikan dulu backup itu benar-benar bersih. Jangan sampai kamu malah mengembalikan file yang sudah terinfeksi.
Setelah restore, cek semua folder dan lakukan scanning ulang sebelum situs diaktifkan kembali.
14. Pasang Perlindungan Keamanan Permanen
Setelah situs aman, pasang plugin keamanan permanen seperti Wordfence atau Sucuri Firewall. Plugin ini bisa memantau serangan secara real-time dan memblokir IP mencurigakan.
Selain itu, aktifkan fitur login limiter dan 2FA supaya hacker sulit menebak password admin kamu. Keamanan yang berlapis jauh lebih efektif dibanding sekadar ganti password.
15. Pantau di Google Search Console
Langkah terakhir adalah memastikan situs kamu kembali aman di mata Google. Buka Google Search Console, lalu periksa apakah ada peringatan keamanan atau URL spam yang masih terindeks.
Kamu bisa minta penghapusan URL berbahaya dan ajukan request review setelah situs bersih. Biasanya butuh waktu beberapa hari sampai status “This site may be hacked” hilang dari hasil pencarian.
Baca juga mengenai: Keamanan Siber Industri 4.0 Berdasarkan Pedoman BSSN
Penutup
Terkadang, website yang terkena hack tidak menunjukkan gejala apapun. Ini karena para peretas tidak melakukan deface alias mengganti halaman depan website dengan (misalnya) gambar bebek berenang atau monyet yang sedang tertawa. Banyak cara untuk mengetahui apakah situs Anda sudah terkompromikan oleh peretas atau belum.
Kejadian situs WordPress kena hack memang bikin kepala pusing, tapi bukan berarti kamu harus menyerah. Setiap langkah di atas dirancang supaya kamu bisa pulihkan situs tanpa harus kehilangan data penting atau ranking di Google.
Kalau kamu butuh bantuan profesional untuk audit keamanan atau pemulihan situs WordPress yang diretas, kamu bisa menghubungi penyedia jasa pembuatan website yang berpengalaman belasan tahun mengguakan wordpress. Tim mereka berpengalaman menangani masalah keamanan WordPress, SEO, dan pemulihan website yang terkena malware.
