Keamanan Website Pemerintah: Ancaman Umum, Pencegahan, dan Pemulihan

Keamanan website pemerintah bertumpu pada empat hal: akun admin yang kuat dengan verifikasi dua langkah, sistem dan plugin yang selalu diperbarui, backup rutin yang tersimpan terpisah, serta pemantauan agar serangan cepat diketahui. Sebagian besar kasus deface dan sisipan konten judi online berawal dari celah sederhana yang bisa dicegah.

Panduan ini ditujukan bagi pejabat dan pengelola website instansi yang ingin memahami ancaman umum, langkah pencegahan, dan cara pemulihan tanpa harus menjadi ahli teknis.

Mengapa website instansi menjadi sasaran

Domain .go.id dan .ac.id punya reputasi tinggi di mata mesin pencari karena dianggap tepercaya. Reputasi inilah yang dimanfaatkan penyerang. Satu halaman sisipan di domain instansi bisa muncul di hasil pencarian lebih cepat daripada situs baru milik mereka sendiri.

Selain itu, banyak website instansi dibangun beberapa tahun lalu, lalu jarang diperbarui setelah kontrak pengembangan selesai. Akun admin lama tetap aktif, dan tidak ada yang memantau secara rutin.

Ancaman yang paling sering terjadi

1. Deface

Deface adalah penggantian tampilan halaman oleh penyerang, biasanya dengan pesan atau gambar tertentu. Dampaknya langsung terlihat publik dan merusak citra instansi.

2. Sisipan konten judi online

Beberapa tahun terakhir, banyak situs .go.id dan .ac.id disisipi halaman atau tautan promosi judi online. Berbeda dengan deface, serangan ini sering tidak terlihat dari beranda. Penyerang membuat ratusan halaman tersembunyi, atau menampilkan konten berbeda khusus untuk mesin pencari. Pengelola baru sadar saat hasil pencarian nama instansi menampilkan kata-kata promosi judi.

3. Akun admin lemah

Kata sandi sederhana, satu akun dipakai bersama banyak orang, dan akun pegawai yang sudah pindah tugas tetapi tidak dinonaktifkan. Ini pintu masuk yang paling mudah.

4. CMS, tema, dan plugin usang

Celah keamanan pada versi lama sering sudah diumumkan secara terbuka, sehingga penyerang tinggal memindai website yang belum diperbarui. Plugin bajakan atau dari sumber tidak jelas juga sering sudah berisi kode berbahaya.

5. Formulir dan unggahan berkas tanpa pengamanan

Fitur unggah dokumen atau formulir pengaduan yang tidak memeriksa jenis berkas bisa dipakai untuk menanam skrip berbahaya (web shell) di server.

6. Kebocoran data dan berkas tersimpan terbuka

Berkas backup, dokumen internal, atau data pemohon layanan kadang tersimpan di folder yang bisa diakses publik. Bila ditemukan mesin pencari, data pribadi warga ikut terekspos. Selain merusak kepercayaan, kebocoran data pribadi juga membawa konsekuensi hukum, seperti dibahas di artikel UU PDP untuk sistem informasi.

Langkah pencegahan

Berikut daftar periksa yang bisa dipakai pengelola website instansi.

Hak akses berjenjang

Tidak semua staf perlu akses penuh. Penulis berita cukup bisa menulis dan menyimpan draf, editor menerbitkan, dan hanya satu atau dua administrator yang bisa mengubah pengaturan dan memasang plugin.

Batasi akses ke panel admin

Alamat login admin sebaiknya tidak memakai alamat bawaan yang mudah ditebak, dibatasi jumlah percobaan login, dan bila memungkinkan hanya bisa diakses dari jaringan kantor atau VPN.

Gunakan sumber resmi untuk tema dan plugin

Pasang tema dan plugin hanya dari repositori resmi atau pengembang tepercaya. Plugin berbayar yang dibagikan gratis di forum sering sudah disisipi kode tersembunyi. Semakin sedikit plugin yang dipasang, semakin kecil pula celah yang harus dijaga.

Pisahkan lingkungan uji dan produksi

Perubahan dan pembaruan sebaiknya dicoba dulu di server uji sebelum diterapkan ke website utama. Server uji juga harus dilindungi kata sandi, karena salinan lama yang terlupakan sering menjadi pintu masuk penyerang.

Pastikan ada yang bertanggung jawab

Masalah paling umum bukan teknologi, melainkan tidak jelasnya siapa yang merawat website setelah proyek selesai. Tetapkan penanggung jawab internal dan, bila perlu, kontrak pemeliharaan dengan vendor. Rincian biayanya dibahas di artikel biaya maintenance aplikasi.

Pencegahan tidak harus mahal. Sebagian besar langkah di atas lebih membutuhkan disiplin dan kejelasan peran daripada anggaran besar. Yang paling mahal justru biaya pemulihan setelah diretas: waktu staf, jasa pembersihan, dan nama baik instansi yang tercoreng di hasil pencarian.

Cara mendeteksi sisipan konten judi online

Karena sering tersembunyi, sisipan ini perlu dicari secara aktif.

• Ketik site:namadomain.go.id judi atau kata kunci serupa di Google. Bila muncul halaman yang tidak pernah Anda buat, website sudah terinfeksi.
• Buka laporan Masalah keamanan dan Halaman di Google Search Console. Lonjakan jumlah halaman terindeks yang tidak wajar adalah tanda bahaya.
• Periksa berkas yang baru berubah di server dan akun admin yang tidak dikenal.
• Perhatikan laporan warga atau mahasiswa yang menemukan konten aneh.
• Buka website dari ponsel dan dari hasil pencarian Google, bukan hanya dengan mengetik alamat langsung. Beberapa sisipan hanya muncul bagi pengunjung yang datang dari mesin pencari.

Langkah pemulihan bila sudah diretas

1. Jangan panik dan jangan langsung menghapus semuanya. Catat waktu temuan dan ambil tangkapan layar sebagai bukti.
2. Batasi kerusakan. Bila perlu, tampilkan halaman pemeliharaan sementara.
3. Ganti semua kata sandi: admin CMS, hosting, database, FTP, dan email terkait.
4. Cari dan tutup celahnya. Membersihkan halaman tanpa menutup pintu masuk hanya membuat serangan berulang.
5. Pulihkan dari backup bersih yang dibuat sebelum serangan, lalu perbarui seluruh sistem.
6. Bersihkan jejak di Google. Pastikan halaman sisipan sudah tidak ada, ajukan penghapusan URL di Search Console, dan minta peninjauan bila ada peringatan keamanan.
7. Laporkan ke tim tanggap insiden siber di lingkungan instansi Anda, dan koordinasikan dengan Badan Siber dan Sandi Negara (BSSN) sesuai prosedur yang berlaku.
8. Evaluasi. Catat penyebab dan perbaikan agar kejadian serupa tidak berulang.

Pemulihan yang hanya menghapus halaman judi tanpa mencari celahnya hampir selalu diikuti serangan ulang dalam waktu singkat.

Kapan website perlu dibangun ulang

Bila website memakai CMS yang sudah tidak didukung, kodenya tidak terdokumentasi, atau sudah berulang kali diretas, membangun ulang dengan fondasi yang lebih aman sering menjadi pilihan paling masuk akal. Panduan kapan harus redesign website membahas cara menimbangnya, termasuk menjaga SEO saat pindah.

Rajonet berpengalaman membangun website dan sistem untuk kementerian, dengan hak akses berjenjang, panel admin untuk humas, dan pendampingan setelah rilis. Untuk website company profile atau portal instansi, kisaran biayanya Rp7,5 juta sampai Rp35 juta, belum termasuk PPN 11%.

Langkah berikutnya

Bila website instansi Anda pernah disisipi konten asing atau sudah lama tidak diperbarui, diskusikan kondisinya dalam konsultasi gratis dengan tim Rajonet melalui halaman kontak.

• Pelajari layanan website instansi pemerintah.
• Baca panduan memilih vendor website instansi pemerintah.