Satu Plugin WordPress Bobolkan 18 Website

Tipe

Kisah Nyata

Dampak

18 website

Malware

~37 MB

Bayangkan ini: Anda punya satu akun hosting berisi 18 website — portal pendidikan, LMS, toko online, profil yayasan. Semua berjalan baik. Sampai suatu pagi, salah satu klien Anda WhatsApp: "Website saya nampilin judi slot."

Anda cek. Benar. Halaman Moodle-nya hilang, diganti spam judi "Temanjp 2026" dengan rating palsu 5/5 dari 189.341 review. Produk fiktif. Backlink ke situs judi. Schema.org palsu.

Anda bersihkan file itu, restore index.php, cek lagi. Moodle kembali normal. Lega?

Jangan lega dulu.

Satu Jam Kemudian: Semakin Parah

Setelah Moodle bersih, kami lakukan full scan ke seluruh akun hosting. Hasilnya mencengangkan:

24 file webshell — tersebar di SETIAP direktori website
Masing-masing 1,3 MB — total ~37 MB malware
22 file marker — tanda lokasi sudah dikunjungi hacker
1 script directory lister — alat navigasi hacker

    Bukan satu website yang diserang — SELURUH akun hosting terinfeksi.
    Hacker hanya butuh SATU celah untuk masuk ke SEMUA website.
  

Akar Masalah: Satu Plugin

Investigasi menemukan bahwa satu plugin WordPress pihak ketiga yang vulnerable menjadi pintu masuk. Plugin itu ada di salah satu dari 9 website WordPress dalam hosting yang sama.

Dari plugin itu, hacker:

Upload directory lister — script untuk navigasi seluruh folder hosting
Deploy webshell otomatis — bot memindai dan menginfeksi 24 direktori dalam hitungan detik
Tinggalkan marker — file kosong sebagai "daftar lokasi sudah dikunjungi"
Deface Moodle — untuk menarik perhatian, sisanya berjalan diam-diam

🌪️ Shared Hosting — Satu Bocor, Semua Kena

Shared hosting adalah apartemen — pintu kamar Anda tidak kedap suara. Kalau tetangga Anda dibobol maling, maling itu bisa lewat balkon Anda juga.

Ini risiko utama shared hosting yang sering diabaikan pemilik bisnis. Mereka pikir "website saya aman karena tidak penting" — tapi website tetangga Anda mungkin yang jadi target.

Berapa Biaya Kerusakan?

Nihil. Karena ditangani dalam 30 menit pertama, kerusakan hanya pada file publik — tidak ada database bocor, tidak ada data pengguna hilang, tidak ada website mati total.

Tapi yang menyelamatkan bukan keberuntungan — itu kecepatan respons.

15:37 — Laporan masuk via WhatsApp
16:05 — Moodle kembali normal
Keesokan harinya — 24 webshell dibersihkan total

3 Pelajaran untuk Pemilik Bisnis

Satu plugin vulnerable bisa menghancurkan SEMUA website Anda. — Update plugin secara rutin. Hapus yang tidak dipakai. Jangan gunakan plugin dari sumber tidak jelas.
Shared hosting tanpa isolasi itu seperti apartemen tanpa kunci kamar. — Pertimbangkan VPS atau cloud hosting yang memberikan isolasi antar website. Investasi sedikit lebih mahal, tapi sepadan.
Kecepatan respons adalah segalanya. — Dalam 30 menit pertama, serangan ini bisa disterilkan. Semakin cepat Anda sadar website kena hack, semakin kecil kerusakannya.

Punya website yang pernah kena hack? Atau khawatir dengan keamanan website Anda?

Kami bantu audit keamanan dan recovery — dari satu website hingga satu akun hosting penuh.

Baca case study lengkapnya →

🛠️ Cara Membersihkan Webshell — panduan teknis
🏢 Kenapa Shared Hosting Bahaya — edukasi infrastruktur