Hacking Campaign dan SEO Cloaking Judi Online Indonesia

Judi Online atau Judol di Indonesia merupakan industri ilegal bernilai miliaran dolar. Data PPATK menunjukkan bahwa perputaran dana Judi Online di Indonesia mencapai Rp286,84 triliun, setara dengan sekitar US$16 miliar, sepanjang 2025.

Di antara sekitar 280 juta penduduk Indonesia, sekitar 1 dari 23 orang menyetorkan uang ke platform Judi Online. Mekanisme permainan yang adiktif dan sistem yang dirancang untuk menguntungkan operator mengubah iming-iming hasil cepat menjadi kerugian berulang. Tekanan finansial yang ditimbulkan turut memicu tindak kejahatan dan masalah sosial yang lebih luas.

Operator di Indonesia dan negara lain, termasuk Thailand, Kamboja, dan Tiongkok, bersaing memperebutkan pengguna Indonesia. Sejak Oktober 2024, ketika pemerintahan Indonesia saat ini mulai menjabat, hingga Juli 2026, Kementerian Komunikasi dan Digital telah menindak sekitar 3,7 juta situs dan konten Judi Online, sementara aparat melakukan berbagai penangkapan dan operasi penindakan.

Penindakan dan persaingan mendorong operator menggunakan Black Hat SEO dan SEO Cloaking untuk iklan dan operasi yang lebih berkelanjutan. Mereka meretas situs web yang rentan, menyisipkan halaman Judi Online yang menargetkan kueri tertentu, menampilkan konten yang dioptimalkan untuk crawler, lalu mengalihkan pengunjung ke domain yang mereka kendalikan.

Cybercrime-as-a-Service dan Pemasaran Judi Online

Researcher kami terlibat dalam incident response dan analisis teknis terhadap sejumlah institusi terkemuka di Indonesia yang situs webnya diretas untuk mempromosikan Judi Online. Meskipun brand yang dipromosikan berbeda, para penyerang menggunakan tactics, techniques, and procedures (TTPs) yang serupa. Pola ini menunjukkan penggunaan Cybercrime-as-a-Service untuk pemasaran ilegal di internet.

Situs web pemerintah dan institusi publik Indonesia telah sering menjadi sasaran peretasan selama dua dekade. Sebelumnya, penyerang menggunakan akses tersebut terutama untuk web defacement dan sesekali untuk tujuan yang lebih serius seperti pencurian data. Dalam beberapa tahun terakhir, permintaan promosi Judi Online menciptakan lebih banyak peluang untuk memonetisasi akses tersebut dengan mengubah situs web yang diretas menjadi infrastruktur pemasaran.

Dalam campaign ini, penyerang menggunakan domain tepercaya yang telah mereka retas untuk mempromosikan konten Judi Online melalui Search Engine Optimization (SEO). SEO membentuk cara konten ditemukan dan ditempatkan dalam hasil pencarian. Manipulasi tanpa izin ini merupakan bentuk Black Hat SEO.

Belum lama ini, pada Juli 2026, polisi Indonesia menangkap seorang peretas yang diduga menggunakan Black Hat SEO pada situs web Indonesia untuk mempromosikan Judi Online dan memperoleh ratusan juta rupiah. Kelompok serupa juga pernah ditangkap sebelumnya, beberapa di antaranya memperoleh miliaran rupiah.

Metode dalam setiap hacking campaign dapat berbeda, tetapi temuan pada situs web dan server yang kami analisis memberikan wawasan tentang cara penyerang menggunakan domain tepercaya untuk meningkatkan trafik menuju platform Judi Online ilegal.

SEO Cloaking

SEO Cloaking merupakan teknik Black Hat SEO yang menyajikan konten berbeda kepada crawler dan pengunjung lain. Ketika request cocok dengan Googlebot atau crawler lain, situs web yang diretas mengirimkan HTML yang dibangun menggunakan keyword pemasaran tertentu.

Dalam campaign ini, halaman sisipan menargetkan query seperti slot, gacor, dan nama brand Judi Online tertentu untuk diindeks oleh crawler. Brand tersebut dapat muncul dalam hasil pencarian melalui domain tepercaya tanpa mengekspos iklan kepada setiap pengunjung.

Penggunaan situs web yang diretas untuk menyisipkan pemasaran ilegal telah didokumentasikan sejak masa awal mesin pencari. Teknik SEO Cloaking sendiri semakin menonjol dalam lima tahun terakhir. Pada 2022, Wiz mendokumentasikan cloaking dan redirection terkait pada berbagai situs web di Asia Timur, termasuk campaign yang mempromosikan perjudian.

Metode campaign yang berhasil di negara lain menyebar ke Asia Tenggara. Selama empat tahun terakhir, SEO Cloaking untuk Judi Online semakin menarik perhatian dalam forum Black Hat SEO dan underground hacking, termasuk diskusi yang membahas pasar Indonesia.

Domain tepercaya seperti .go.id dapat memperoleh peringkat tinggi bagi pengguna Indonesia dan terus menghasilkan impression hingga webmaster menghapus halaman sisipan. Peretas dapat mengenakan biaya per situs, trafik, atau durasi penempatan. Mereka juga dapat menjual penempatan bulanan pada kumpulan domain yang diretas.

Dibandingkan dengan web defacement atau page dan keyword injection yang terlihat, SEO Cloaking lebih sulit dideteksi. Teknik ini dapat bertahan lebih lama dan menghasilkan profit lebih besar bagi peretas maupun operator Judi Online.

AMP Abuse

SEO Cloaking hanya menyajikan HTML yang dimanipulasi kepada crawler, tetapi pengiklan membutuhkan visibilitas di luar hasil pencarian. Penyerang menggunakan AMP untuk menyajikan konten Judi Online kepada pengguna yang mengeklik hasil tersebut.

AMP, yang awalnya merupakan singkatan dari Accelerated Mobile Pages, memungkinkan pemilik situs menyediakan versi HTML terpisah yang dapat disimpan dalam cache oleh CDN atau mesin pencari seperti Google dan ditampilkan menggantikan halaman asli. Jika dikonfigurasi, klik pada hasil pencarian dapat membuka versi AMP dari cache. Meskipun nama aslinya memuat kata Mobile, cache AMP juga dapat disajikan kepada pengguna desktop.

Saat menyisipkan kode ke halaman situs web, penyerang dapat menambahkan atau mengganti versi AMP dengan halaman yang di-host pada URL eksternal di bawah kendali mereka. Setelah proses reindexing, mesin pencari menyimpan halaman AMP dalam cache, lalu hasil pencarian membuka cache tersebut yang memuat iklan Judi Online.

Mekanisme ini tetap dapat mempertahankan hasil pencarian dan konten yang sah untuk query yang tidak terkait dengan Judi Online serta untuk akses langsung. HTML normal tetap ditampilkan ketika situs diperiksa melalui browser sehingga dapat mengecoh administrator dan security analyst.

Kami menemukan banyak kasus ketika penyerang mengatur AMP hanya untuk tampilan mobile. Pengguna desktop yang mengeklik hasil pencarian yang sama tetap menerima halaman normal tanpa cache AMP. Kondisi ini semakin mengurangi kecurigaan ketika administrator atau analyst hanya memeriksa hasil pencarian tersebut melalui tampilan desktop.

Initial Access

Banyak situs web institusi di Indonesia ditulis menggunakan PHP dan sering tidak diamankan dengan baik. PHP juga memberi penyerang fleksibilitas lebih besar ketika file atau direktori aplikasi dapat ditulis karena mereka dapat menyisipkan kode hanya dengan menambah atau mengubah file.

Initial access mengikuti pola yang umum ditemukan dalam web hacking campaign lainnya. Banyak korban merupakan low-hanging fruit dengan kerentanan terbuka yang dapat dieksploitasi dengan mudah, termasuk melalui mass automated scanning.

• Dalam kasus yang kami tangani, situs web terdampak mencakup instalasi WordPress dengan riwayat plugin rentan dan aplikasi yang dikembangkan secara internal dengan fungsi file upload tidak aman yang memungkinkan remote code execution.
• Beberapa situs web dijangkau melalui lateral movement dari situs web atau server rentan lain.
• Dalam satu kasus pada situs web di VPS lokal, bukti menunjukkan potensi akses berbahaya melalui QEMU Guest Agent. Temuan ini menunjukkan bahwa VM host milik penyedia hosting yang melayani korban tersebut mungkin turut diretas.
• Di luar engagement kami, kami juga mengamati banyak situs web korban yang menggunakan platform umum seperti WordPress dan Open Journal Systems (OJS), yang mungkin memiliki kerentanan yang dapat dieksploitasi saat intrusi terjadi.
• Masih di luar engagement kami, kami mengamati kredensial portal administrasi institusi terekspos dalam log infostealer yang tersedia di dark web. Penyerang dapat menggunakan kembali kredensial tersebut untuk initial access.

Kerentanan mungkin telah dieksploitasi dan initial access diperoleh jauh sebelum campaign teramati. Log historis yang relevan dapat memberikan bukti mengenai jalur masuk. Tanpa log tersebut, kondisi situs web atau server saat ini mungkin tidak lagi mencerminkan keadaan ketika penyerang memperoleh akses.

Di antara penyedia Cybercrime-as-a-Service yang menawarkan Black Hat SEO, kami juga mengamati akses web shell atau command-and-control (C2) dari peretasan sebelumnya diperjualbelikan atau digunakan kembali untuk memberikan akses secara instan.

Terlepas dari jalur masuknya, penyerang memerlukan kemampuan command execution atau arbitrary file write untuk menyisipkan kode.

Persistence

Gambaran Persistence

Penyerang membangun persistence untuk mempertahankan akses dan mengubah situs web yang diretas dari waktu ke waktu. Akses yang bertahan menjaga iklan tetap tersedia dan memungkinkan penyerang menggantinya ketika diperlukan.

Tingkat dan durasi persistence berbeda-beda. Dalam satu kasus yang kami tangani, akses bertahan setidaknya sembilan bulan, dengan brand Judi Online yang berbeda disisipkan pada waktu yang berbeda.

Metode persistence bergantung pada aplikasi dan tingkat akses yang dimiliki penyerang.

• Pada situs WordPress, penyerang menempatkan file berbahaya yang memuat wp-load.php dan mengautentikasi sesi sebagai administrator yang sudah ada. Metode ini memberikan akses ke panel administrasi tanpa membuat atau mengubah akun pengguna.
• Penyerang menambah atau mengubah file dalam berbagai direktori WordPress, termasuk /mu-plugins, /wp-content/themes, /wp-content/plugins, dan /wp-includes.
• PHP web shell terobfuscation yang telah dikustomisasi dan menyamar sebagai file sah ditemukan pada situs WordPress maupun non-WordPress. Beberapa memuat komentar berbahasa Indonesia dan atribusi kepada threat actor Indonesia.
• Kode persistence berbahaya dirancang untuk menghindari deteksi web shell scanner seperti Wordfence, ImunifyAV, dan Maldet. Kode tersebut menghindari pola yang mudah dikenali seperti eval, menggunakan fungsi umum pada WordPress core, memuat payload secara bertahap, dan menyembunyikan payload di dalam file gambar atau file PHP itu sendiri.
• Kami juga menemukan PHP uploader sederhana yang ditinggalkan penyerang dan mungkin digunakan untuk mengunggah file PHP berbahaya tambahan sesuai kebutuhan.
• Ketika PHP menggunakan disable_functions untuk membatasi command execution, penyerang mencoba melewatinya dengan exploit publik yang menargetkan rilis PHP lama.
• Metode pada tingkat host mencakup sudo wrapper palsu untuk mencuri kredensial, menimpa konfigurasi SSH, menambahkan SSH private key, dan Remote Access Trojan (RAT) yang dijalankan melalui .bashrc, Cron, atau systemd. Ketika akses root tersedia, RAT juga dapat berjalan dengan hak akses root.

Penyerang sering menyesuaikan persistence dengan mekanisme yang memungkinkan pada setiap server. Mekanisme yang tidak mencolok dan defense evasion membantu persistence bertahan dari pemeriksaan dasar administrator.

Remote Access Trojan

Pada seluruh korban yang kami analisis, penyerang memasang RAT yang sama berbasis GSocket. Tool populer ini umum digunakan oleh peretas untuk persistence.

GSocket menghubungkan korban dengan server command-and-control (C2) milik penyerang melalui Global Socket Relay Network menggunakan shared secret key. Komunikasi terenkripsi tersebut memungkinkan penyerang mengirim shell command ke server korban.

Untuk beberapa alasan, penyerang selalu menyimpan binary RAT dan secret key di /home/[user]/.config/htop/ dengan base name defunct yang sama. Binary tersebut bernama defunct, sedangkan key disimpan sebagai defunct.dat. Path dan nama yang sama juga muncul dalam banyak hacking campaign lain, yang mengindikasikan pemakaian hacking kit bersama.

Untuk mempertahankan RAT, penyerang mengatur beberapa jalur eksekusi.

• Penyerang mengubah .bashrc milik pengguna lokal untuk menjalankan RAT setiap kali pengguna membuka sesi shell, seperti melalui SSH.
• Cron juga dikonfigurasi untuk menjalankan RAT pada interval tertentu.
• Systemd digunakan untuk menjalankan RAT saat boot dan memulainya kembali ketika dihentikan.

Dalam konfigurasi .bashrc dan Cron, penyerang menyamarkan perintah dengan Base64 dan menggunakan exec -a untuk menyamarkan nama proses. Nama yang diamati menyerupai kernel thread atau system service Linux, termasuk [kaluad], [kswapd0], [kworker], [kstrp], [watchdogd], dan [slub_flushwq].

Administrator perlu memverifikasi proses mencurigakan melalui procfs dan tidak hanya mempercayai nama yang ditampilkan. Untuk setiap process ID (PID), /proc/<PID>/exe mengarah ke executable yang dijalankan dan /proc/<PID>/cmdline memuat command-line arguments. Direktori PID numerik dalam /proc dapat diiterasi untuk memeriksa seluruh proses yang sedang berjalan.

Record SYSCALL dan EXECVE dalam Auditd juga dapat membantu investigasi jika audit eksekusi proses telah diaktifkan dan log yang relevan masih tersedia.

RAT membuat koneksi keluar ke infrastruktur milik penyerang melalui TCP port 443. Penggunaan port standar HTTPS membuat koneksi tersebut menyerupai traffic web terenkripsi normal, meskipun protokolnya bukan HTTPS dan membawa komunikasi C2 berbahaya.

Korban dan campaign lain dapat menggunakan malware, lokasi file, atau metode persistence yang berbeda. Temuan ini menjelaskan teknik berulang dan dapat digunakan kembali yang diamati dalam kasus yang kami analisis.

Privilege Escalation

Local Root Privilege Escalation

Kami mengamati persistence yang berjalan sebagai root meskipun initial access biasanya tidak langsung memberikan akses root kepada penyerang. Karena itu, penyerang melakukan privilege escalation.

Dalam satu kasus, bukti menunjukkan bahwa penyerang mencuri password pengguna lokal dengan akses sudo dan menggunakannya untuk menjadi root. Dalam kasus lain, log yang tidak lengkap membuat kami tidak dapat menentukan metode privilege escalation secara pasti, meskipun kami menemukan beberapa potensi jalur privilege escalation dalam system script.

Sejumlah CVE privilege escalation pada Linux juga dipublikasikan selama periode persistence tersebut, dan penyerang mungkin menggunakan salah satunya.

Dalam kasus pencurian password, penyerang mengintersepsi sudo menggunakan Bash wrapper berbahaya di /home/[user]/.local/bin/sudo. File .bashrc milik pengguna menempatkan $HOME/.local/bin sebelum direktori sistem dalam PATH, sehingga shell menjalankan wrapper ketika pengguna menjalankan sudo.

Wrapper tersebut meniru password prompt yang sah. Ketika pengguna lokal menjalankan sudo, wrapper mengirim username, password, dan informasi host ke tujuan Telegram yang dikendalikan penyerang sebelum menjalankan sudo yang sebenarnya.

Setelah memperoleh akses root, penyerang memasang GSocket RAT yang sama di /usr/bin/defunct. Unit systemd bernama defunct.service menjalankan RAT ketika sistem menyala dan memulainya kembali ketika proses berhenti.

Potensi Peretasan Virtualization Host

Dalam satu kasus, kami menemukan bukti bahwa penyerang mengeksekusi perintah melalui QEMU Guest Agent pada server yang dihosting oleh penyedia VPS lokal. Temuan ini mengindikasikan kemungkinan peretasan terhadap virtualization host atau management plane milik perusahaan hosting yang melayani korban tersebut.

Kami tidak dapat menentukan apakah penyerang memperoleh akses melalui kerentanan VM escape yang telah diketahui pada deployment QEMU lama atau lateral movement dalam lingkungan hosting. Kami tidak memiliki akses maupun otorisasi untuk menginvestigasi server milik penyedia. Kami telah memberitahukan temuan tersebut kepada penyedia hosting.

Peretasan infrastruktur web hosting lebih jarang terjadi dibandingkan peretasan situs web atau VM individual, tetapi peretasan pada tingkat hosting bukan hal baru. Secara historis, threat actor telah memperoleh akses ke penyedia hosting di Indonesia melalui kerentanan VM escape yang telah diketahui, peretasan hosting management panel, dan social engineering terhadap administrator hosting.

Lateral Movement

Model bisnis penyedia Cybercrime-as-a-Service yang berfokus pada penyalahgunaan situs web bergantung pada akses ke sebanyak mungkin situs web. Selain mengeksploitasi kerentanan secara langsung, penyerang dapat menggunakan akses terhadap satu korban untuk menjangkau situs web dan server lain.

Dalam kasus yang kami analisis, kami menemukan bukti beberapa kemungkinan jalur lateral movement. Jalur tersebut mencakup akses SSH dari server terdampak ke mesin lain menggunakan private key yang tersimpan, akses ke situs web lain yang ditempatkan di server yang sama, dan API key pengelolaan cloud atau server yang telah diretas.

Aktivitas QEMU Guest Agent yang dijelaskan pada bagian sebelumnya mungkin menunjukkan jalur lain melalui infrastruktur virtualisasi pada sisi penyedia.

Log yang tidak lengkap sering menghambat rekonstruksi menyeluruh terhadap jalur lateral movement. Analisis terhadap server terdampak dari perspektif offensive security tetap dapat mengidentifikasi jalur yang mungkin digunakan, tetapi tanpa bukti pendukung, jalur tersebut tetap merupakan hipotesis.

Evidence Tampering

Kami menemukan kemungkinan upaya untuk memanipulasi bukti, tetapi perilaku tersebut tidak konsisten dan tidak muncul dalam setiap kasus.

Aktivitas yang diamati mencakup penghapusan entri dari web server access log, log SSH atau autentikasi, file Bash history, dan log Auditd. Korelasi dengan log lain juga menunjukkan bahwa beberapa file berbahaya telah dihapus.

Kami juga menemukan bahwa penyerang sering beroperasi di luar jam kerja Indonesia, termasuk pada larut malam, akhir pekan, dan hari libur. Waktu tersebut memberi mereka kesempatan untuk memanipulasi bukti lokal sebelum administrator menyadari aktivitasnya. Log yang dikirim secara mendekati real time ke sistem terpisah dan tersinkronisasi dapat mempertahankan catatan yang kemudian dihapus dari server terdampak.

Dalam berbagai kasus, kami juga mengamati penyerang mengubah mtime untuk menyamarkan file berbahaya. Timestamp ini mencatat waktu modifikasi konten terakhir. Penyerang memundurkan timestamp file berbahaya agar sama dengan file lain dalam direktori tersebut.

File berbahaya yang ditambahkan ke direktori theme WordPress memiliki waktu modifikasi yang sama dengan file theme yang sah. RAT dalam /usr/bin menggunakan timestamp dari beberapa tahun sebelumnya sehingga terlihat sebagai bagian dari instalasi lama.

Karena ls menampilkan mtime secara default, investigator perlu menggunakan stat untuk membandingkannya dengan ctime dan btime. Dalam output stat, ctime mencatat perubahan inode atau status terakhir, sedangkan btime mencatat waktu awal pembuatan file.

Action on Objectives

SEO Code Injection

Penyerang menyisipkan kode SEO agar situs yang diretas muncul dalam hasil pencarian untuk query Judi Online dan mengarahkan pengguna ke iklan yang dikendalikan operator. Dalam sebagian besar kasus, mereka berfokus pada Google.

Mereka umumnya menghindari perubahan pada file index utama. Pada situs WordPress, penyerang menggunakan Must Use Plugin dalam /mu-plugins, theme aktif, plugin, atau file WordPress core. Pada situs PHP lain, mereka mengubah shared include, komponen aplikasi, atau file framework yang dimuat pada setiap request. Sebagian injection tersebar dalam beberapa file sehingga lebih sulit dihapus secara menyeluruh.

Kode PHP yang disisipkan memeriksa User-Agent pengunjung untuk Googlebot dan crawler lain. Pada beberapa sampel, filter crawler secara umum diikuti filter khusus untuk Google sehingga hanya Googlebot yang menerima konten khusus. Request yang cocok menerima HTML berbeda yang memuat konfigurasi AMP. Pengunjung lain menerima situs web yang sah.

Kami tidak menemukan bukti bahwa kode memvalidasi source IP terhadap rentang Googlebot atau melakukan pemeriksaan jaringan serupa. Request dari jaringan mana pun dapat menerima konten injection selama User-Agent cocok dengan filter.

Penyerang mungkin tidak menganggap validasi IP diperlukan atau menghindarinya karena alamat Googlebot dapat berubah. Varian mendatang dapat menambahkan validasi ini untuk membatasi pengiriman payload dan mempersulit dynamic analysis.

Mekanisme tersebut menyembunyikan konten iklan sekaligus mengarahkan pengguna pencarian yang relevan kepadanya.

• Pengguna yang mencari istilah seperti slot, gacor, atau brand Judi Online tertentu di Google dapat menemukan situs yang diretas berdasarkan konten yang diberikan kepada crawler.
• Pencarian istilah umum atau konten sah yang terkait dengan korban masih dapat menampilkan situs web asli.
• Ketika hasil yang diretas dari pencarian Judi Online dibuka, pengguna dapat diarahkan ke cache AMP yang memuat iklan Judi Online, bukan halaman asli.
• Penyerang dapat menerapkan alur AMP hanya kepada pengguna mobile atau mencakup pengguna mobile dan desktop.
• Akses langsung dan kunjungan melalui hasil pencarian yang sah tetap dapat menampilkan halaman asli tanpa konten injection.

Iklan Judi Online

AMP menjadi bagian utama dalam alur SEO Cloaking yang kami amati karena menyajikan iklan Judi Online kepada pengguna mesin pencari sementara situs asli tetap terlihat normal bagi administrator dan pengunjung yang sah.

Campaign ini mengiklankan platform Judi Online yang domainnya mungkin tidak terindeks Google. Penyerang mengandalkan AMP sebagai landing page dan dapat mengganti konten serta tujuannya ketika domain Judi Online diblokir atau layanan beralih ke brand atau operator lain.

Konten SEO yang dibuat mengikuti pola yang konsisten. Judul dan ringkasan menyebutkan brand Judi Online yang diiklankan dan memuat berbagai keyword Judi Online dalam bahasa Indonesia.

Halaman AMP sering menggunakan konten bernuansa meriah dan gambar promosi menarik yang jelas dibuat dengan AI, disertai tautan yang menonjol menuju domain utama platform Judi Online milik operator.

Kami menemukan banyak halaman AMP ditempatkan pada Cloudflare Pages, mungkin karena layanan tersebut menawarkan deployment gratis dan fleksibel melalui subdomain gratis pages.dev atau custom domain.

Kami juga menemukan kasus ketika halaman AMP ditempatkan pada domain lain yang telah diretas. Sebagian halaman AMP tersebut juga terindeks oleh search engine.

Google Search Console Takeover

Google Search Console menunjukkan tampilan dan performa situs web dalam Google Search. Penyerang dapat menggunakan akses tanpa izin untuk melihat query yang terindeks, impression, dan click, meminta pengindeksan, serta memastikan SEO Cloaking dan halaman AMP bekerja sesuai tujuan.

Penyerang dapat memverifikasi akunnya sebagai pemilik situs dengan menempatkan file verifikasi unik pada situs yang diretas atau menyisipkan Google site-verification meta tag ke dalam HTML.

Metrik performa pencarian juga memiliki nilai komersial. Penyedia Cybercrime-as-a-Service dapat melaporkan traffic dan performa keyword kepada klien sebagai dasar penetapan biaya dan negosiasi pembayaran yang lebih tinggi.

Tindakan Disruptif

Dalam sebagian kecil kasus, penyerang melakukan web defacement penuh atau menghapus file situs web. Motifnya tidak jelas. Kemungkinan penyebabnya mencakup perselisihan dalam operasi, konflik komersial, atau frustrasi ketika campaign tidak mencapai performa SEO yang diharapkan.

Dalam kasus lain, penyerang mengganti situs web yang tampak tidak lagi dikelola dengan iklan Judi Online satu halaman penuh. Kondisi tersebut mungkin membuat situs sesuai untuk konten yang ditujukan agar tetap tersedia dalam waktu lama.

Tindakan ini membuat peretasan lebih mudah terdeteksi dan berbeda dari penyamaran dalam SEO Cloaking. Kami hanya mengamatinya pada sebagian kecil campaign.

Situs Web yang Diretas sebagai Mesin Iklan

Data pencarian dari situs web milik satu korban mencatat 4,5 juta impression dan 150.000 click dari query Judi Online selama sekitar tiga bulan peretasan pada 2026.

Data tersebut memuat sepuluh query Judi Online umum yang paling sering muncul.

1. slot gacor
2. gacor
3. situs gacor
4. link gacor
5. link slot
6. situs slot
7. link slot gacor
8. slot gacor maxwin member baru
9. slotgacor
10. slot gacor hari ini

Popularitas berbagai istilah pencarian umum tersebut di Google untuk wilayah Indonesia meningkat tajam pada 2025 sebelum menurun pada 2026. Penurunan ini mungkin berkaitan dengan intervensi Google dan otoritas Indonesia untuk menghapus hasil pencarian.

Pembatasan tersebut mendorong operator Black Hat SEO untuk memprioritaskan nama brand khas yang tidak mengandalkan istilah generik. Operator telah menggunakan pendekatan ini setidaknya sejak 2020, dengan penggunaan yang semakin intensif dalam beberapa tahun terakhir untuk membangun awareness terhadap nama brand dan mendorong pengguna untuk mencarinya.

Pengiklan mengandalkan nama brand yang khas seperti TOTO***, SLOT***, dan ***BET. Mereka menyebarkan nama tersebut melalui YouTube, Instagram, Facebook, dan TikTok menggunakan ratusan hingga ribuan akun spam, akun iklan khusus, dan influencer berbayar.

Dalam beberapa kasus, mereka menulis nama brand pada posting spam menggunakan karakter Unicode dengan gaya yang mencolok, seperti 𝑺𝓛𝕺𝙏***, untuk mempertahankan tampilan brand sambil menghindari pencocokan keyword sederhana dan kemungkinan filter spam. Mereka juga menarik views dengan mengirimkan hadiah mahal dalam livestream TikTok populer.

Setelah pengguna mengenali suatu brand, mereka mencarinya di Google dan menemukan sejumlah situs yang telah diretas dan diposisikan untuk keyword yang sama. Situs tersebut mengarahkan traffic pencarian kepada operator. Ketika otoritas memblokir domain utama Judi Online, operator dapat mengalihkan pencarian brand yang telah terbentuk ke domain pengganti dan mempertahankan visibilitasnya dalam hasil pencarian.

Dampak Teknis dan Sosial

Hacking campaign ini memiliki dampak dari tiga perspektif.

Pertama, campaign ini merusak reputasi organisasi terdampak dan mengurangi kepercayaan publik. Ketika domain resmi muncul dalam hasil pencarian terkait Judi Online, organisasi dapat terlihat lalai atau terhubung dengan promosi ilegal.

Dampaknya dapat berlanjut setelah pemulihan teknis karena persepsi publik telah terbentuk akibat insiden tersebut. Banyak institusi terkemuka telah menjadi korban dalam beberapa tahun terakhir, dan banyak situs web mereka masih muncul dalam hasil pencarian terkait Judi Online saat artikel ini ditulis.

Kedua, Judi Online menimbulkan dampak sosial yang lebih luas, dengan infrastruktur yang diretas menjadi katalis sekaligus bagian dari ekosistem pendukungnya. Di Indonesia, Judi Online telah merusak kehidupan dan keluarga sekaligus berkontribusi terhadap kejahatan terkait. Tekanan finansial akibat Judi Online telah dikaitkan dengan perampokan dan stres berat.

Ketiga, situs web dan server yang diretas menimbulkan second-order technical risk karena dapat digunakan kembali untuk campaign dengan tujuan berbeda.

Meskipun sebagian situs terdampak hanya memuat artikel dan memiliki fungsi terbatas, sebagian lain merupakan sistem informasi pemerintah yang menyimpan data sensitif dan bernilai. Lateral movement dari satu situs web juga dapat menjangkau sistem lain, termasuk internal enterprise network, dan memungkinkan data exfiltration dalam skala besar, ransomware, intelligence operations, atau kejahatan digital lain.

Deteksi dan Peluang Pemulihan

Pemilik situs web perlu mendaftarkan domainnya di Google Search Console, mengonfirmasi kepemilikan, serta memeriksa daftar pengguna dan pemilik dalam Settings. Langkah ini menyediakan baseline untuk memantau integritas SEO. Sebagian SEO injection mungkin tidak menargetkan Google, tetapi Google Search Console tetap perlu menjadi alat utama untuk memeriksa integritas pencarian situs web.

Query Judi Online yang tidak dikenal dalam Insights atau Search results performance dapat mengindikasikan peretasan meskipun situs web terlihat normal. Fitur Test Live URL dalam Google Search Console dapat digunakan untuk mengemulasikan proses crawling dan indexing oleh Googlebot saat pemeriksaan, serta dapat menampilkan HTML yang disisipkan.

Pemeriksaan terhadap file situs web, log, system file, runtime behavior, dan aktivitas jaringan dapat menemukan indicator of compromise dan menentukan tindakan pemulihan yang diperlukan. Penyerang terkadang juga meninggalkan jejak yang memberikan petunjuk tentang keberadaan mereka di internet atau bahkan identitas aslinya.

Fresh installation dapat memulihkan situs web dari backup, tetapi prosesnya perlu dilakukan dengan hati-hati karena backup tersebut mungkin memuat persistence mechanism atau entry point rentan yang dapat dieksploitasi kembali.

Pengurangan risiko jangka panjang memerlukan praktik engineering dan keamanan yang baik. Praktik tersebut mencakup web development dan maintenance yang dikelola dengan baik, DevOps pipeline yang terkontrol, konfigurasi yang aman, containerization, security monitoring dan protection, serta continuous vulnerability validation.

Analisis dan Pemulihan dengan AI

Model AI dan agentic workflow saat ini dapat membantu administrator dengan keahlian keamanan terbatas untuk menemukan perubahan berbahaya dan melakukan pemulihan. AI juga dapat memeriksa file situs web dan system state sebelum digunakan dalam fresh installation atau migrasi setelah insiden. Penggunaannya perlu dikendalikan dengan hati-hati untuk menghindari perubahan yang tidak disengaja.

AI agent yang berkomunikasi langsung dengan model server melalui local session tidak boleh dijalankan pada server yang telah diretas.

Agent perlu dijalankan pada komputer terpisah dan bekerja menggunakan salinan file situs web, sebaiknya disertai server image secara penuh. Jika agent harus menjalankan perintah pada server yang telah diretas, koneksi perlu melalui perantara terbatas seperti SSH MCP, dengan setiap tindakan direncanakan dan diperiksa sebelum dieksekusi.

Hasil analisis bergantung pada model, reasoning intensity, prompt, dan konteks yang tersedia. Konteks yang dapat diberikan mencakup file situs web yang diketahui bersih untuk perbandingan integritas serta log yang relevan untuk menelusuri aktivitas mencurigakan. Pada saat penulisan, GPT-5.6-sol dan Opus 5 termasuk model yang paling mumpuni untuk use case ini.

Perlindungan Integritas SEO

Organisasi yang bergantung pada visibilitas pencarian dan reputasi domain dapat menambahkan kontrol khusus untuk integritas SEO.

Pertama, otomatisasi monitoring melalui Search Console API dan sumber data hasil pencarian seperti SerpApi. Query yang menggabungkan site:[domain] dengan istilah tertentu dapat menemukan halaman atau keyword tidak dikenal yang terkait dengan domain. Temuan tersebut dapat memicu alert untuk investigasi dan tindakan korektif.

Kedua, kembangkan dan deploy SEO integrity proxy pada network edge. Proxy dapat mengenali search crawler, memeriksa respons dari origin, serta menandai perbedaan atau istilah terkait Judi Online yang tidak semestinya. Setidaknya gunakan User-Agent sebagai sumber verifikasi, tetapi pemeriksaan yang menyeluruh mungkin juga memerlukan validasi source IP crawler.

Dalam kasus tertentu, proxy dapat mengontrol HTML yang dikembalikan kepada crawler, termasuk dengan menyajikan versi statis. Kontrol terhadap konten yang diindeks dan integritas SEO menjadi terpusat pada proxy, terlepas dari HTML yang dikembalikan oleh origin. HTML yang dikontrol tetap perlu konsisten dengan konten yang tersedia bagi pengunjung biasa agar tidak ditandai atau dikenai penalti oleh mesin pencari.

Perlindungan integritas SEO memerlukan upaya engineering dan tidak semua organisasi akan memilih untuk menerapkannya. Namun, berdasarkan pengalaman kami bersama mitra institusi, kontrol ini dapat sangat efektif dan bermanfaat.

Langkah bagi Pemerintah dan Otoritas Indonesia

Pemerintah Indonesia membentuk Desk Pemberantasan Judi Online lintas lembaga pada November 2024 untuk mengganggu promosi, aliran dana, dan operasi utama Judi Online.

Pemerintah melaporkan bahwa satuan tugas sebelumnya menurunkan akses ke Judi Online sebesar 50 persen selama bulan pertamanya pada 2024. PPATK kemudian melaporkan penurunan deposit sekitar 30 persen pada 2025, dari Rp51,3 triliun menjadi Rp36,01 triliun. Respons pemerintah juga mencakup pemblokiran rekening bank dan dompet digital yang terkait dengan Judi Online.

Walaupun pemberantasan Judi Online masih perlu didorong lebih lanjut dan klaim sebelumnya perlu diverifikasi, situs web institusi yang diretas juga menimbulkan risiko di luar promosi Judi Online. Tindakan pemerintah juga perlu mencakup perlindungan, deteksi, incident response, dan pemulihan sistem yang terdampak.

Sistem informasi pemerintah di Indonesia tersebar pada kementerian, provinsi, kabupaten, kota, dan badan publik. Setiap institusi dapat menggunakan teknologi dan pola maintenance yang berbeda. Banyak sistem dibangun sebagai proyek dengan maintenance aplikasi dan infrastruktur yang terbatas setelah implementasi.

Fragmentasi tersebut menyulitkan respons yang terkoordinasi. Korban juga mencakup institusi pendidikan dan swasta di luar pemerintahan.

Pemerintah telah berupaya menghapus konten ilegal dan memulihkan aset yang diretas. Langkah lanjutan dapat mencakup hal berikut.

• Optimalkan penggunaan AI pada seluruh workflow pemberantasan Judi Online.
• Otomatisasi pencarian keyword dan penyisiran domain resmi untuk menemukan hacking campaign dan promosi Judi Online.
• Korelasikan domain yang diretas, brand Judi Online, halaman AMP, domain operator, rekening bank, nomor telepon, dan identitas dompet digital untuk penegakan hukum.
• Ganggu visibilitas brand secara berkelanjutan pada mesin pencari dan media sosial.
• Kejar target nol SEO Cloaking dan iklan Judi Online pada domain .go.id melalui kontrol people, process, dan technology yang terkoordinasi.
• Publikasikan metrik performa secara transparan dan bentuk pengawasan independen terhadap enumerasi otomatis serta tindakan penegakan.
• Perbaiki tata kelola situs web dan sistem informasi pemerintah melalui strategi engineering dan keamanan yang mempertimbangkan environment terdesentralisasi dan legacy.

Operasi cybercrime berkembang dengan AI. Pemerintah dan defender memerlukan otomatisasi yang sebanding untuk memperluas deteksi dan penegakan secara efisien.

Prospek

Insiden dalam studi kasus ini merupakan sampel dari campaign yang lebih luas. Berbagai threat actor dapat mengadopsi taktik, teknik, dan prosedur yang sama, terutama SEO Cloaking dan penggunaan situs web yang diretas sebagai infrastruktur iklan.

Pemerintah Indonesia perlu terlebih dahulu meningkatkan keamanan sistem informasinya sendiri dan meninjau kembali strategi nasional. Respons juga perlu mencakup ekosistem digital yang lebih luas dan terus mempersulit operator Judi Online dalam menarik pengguna dan menerima deposit.

Selama promosi Judi Online masih terlihat dalam hasil pencarian melalui situs web pemerintah yang diretas, pengendalian berkelanjutan masih memerlukan upaya lanjutan yang ekstensif.