Apa Itu Webshell? Ancaman Tersembunyi yang Bisa Merusak SEO Website

Microsoft pernah mencatat rata-rata sekitar 140.000 deteksi pertemuan ancaman webshell pada server setiap bulan selama Agustus 2020 hingga Januari 2021. Angka tersebut hampir dua kali lipat dari rata-rata bulanan pada periode pembanding sebelumnya. Ini merupakan data historis deteksi ancaman, bukan jumlah website unik yang diretas atau statistik terbaru. Namun, laporan tersebut menunjukkan bahwa webshell bukan ancaman yang bisa dianggap sepele.

Hal yang membuatnya mengkhawatirkan adalah website tidak selalu terlihat rusak setelah disusupi. Halaman utama mungkin masih terbuka dengan normal. Formulir kontak tetap berfungsi. Pemilik bisnis pun belum tentu melihat perubahan yang langsung mencurigakan.

Sementara itu, pengunjung tertentu justru bisa diarahkan ke situs lain. Google menjelaskan bahwa pengalihan akibat peretasan dapat bergantung pada perangkat, sumber kunjungan, atau identitas perangkat lunak yang mengakses halaman. Artinya, masalah bisa muncul ketika seseorang mengeklik hasil pencarian, tetapi tidak terlihat saat pemilik membuka alamat website secara langsung.

Dari sudut pandang SEO, kondisi tersebut perlu diperhatikan karena keamanan dan pengalaman pengguna saling berkaitan. Strategi konten yang baik tidak banyak membantu apabila calon pelanggan justru bertemu halaman spam atau pengalihan berbahaya.

Lantas, apa itu webshell, bagaimana cara mengenalinya, dan apa yang perlu dilakukan agar penanganannya tidak berhenti pada gejala?

Apa Itu Webshell?

Webshell adalah script yang ditempatkan pada server web dan dapat digunakan penyerang untuk memperoleh akses jarak jauh atau menjalankan fungsi tertentu tanpa izin. Kemampuannya bergantung pada isi script, konfigurasi server, dan hak akses yang tersedia. Microsoft menjelaskan bahwa webshell umumnya dibuat menggunakan bahasa pengembangan web, seperti PHP, ASP, atau JSP.

Bayangkan website sebagai sebuah bangunan. Halaman yang dilihat pengunjung merupakan bagian depan. Di belakangnya terdapat ruang penyimpanan, sistem pengelolaan, dan berbagai komponen operasional.

Webshell berbahaya dapat diibaratkan sebagai akses tersembunyi yang dibuat tanpa persetujuan pemilik. Selama akses tersebut masih aktif, penyerang dapat mencoba kembali masuk dan menjalankan aktivitas sesuai kemampuan yang dimilikinya.

Meski demikian, jangan langsung menganggap setiap file script sebagai webshell. Website memang membutuhkan banyak file untuk menjalankan fungsi normal. Penilaian harus mempertimbangkan isi file, asalnya, lokasi penyimpanan, serta aktivitas yang terkait dengannya. Microsoft menekankan pentingnya konteks dalam mendeteksi ancaman ini.

Memahami apa itu webshell berarti juga memahami batasannya: tidak semua webshell memberikan kendali penuh atas server, dan tidak semua script administrasi merupakan program berbahaya.

Webshell, Malware, dan Spam SEO Bukan Istilah yang Sama

Istilah keamanan sering digunakan secara bergantian sehingga membuat pembaca bingung. Padahal, masing-masing memiliki arti dan peran yang berbeda.

Dalam sebuah insiden, webshell berbahaya dapat menjadi bagian dari malware sekaligus berfungsi sebagai backdoor. Setelah memperoleh akses, penyerang mungkin menggunakannya untuk menyisipkan spam SEO. Namun, spam SEO bukan nama lain dari webshell.

Perbedaan ini penting saat melakukan pemeriksaan. Menemukan halaman judi di website perusahaan, misalnya, merupakan alasan kuat untuk menyelidiki kemungkinan kompromi. Akan tetapi, temuan tersebut belum membuktikan bahwa jalur serangannya pasti menggunakan webshell.

Diagnosis yang tepat membutuhkan bukti, bukan hanya kesamaan gejala.

Bagaimana Webshell Bisa Masuk ke Website?

Webshell tidak muncul dengan sendirinya. Penyerang memerlukan celah atau akses yang memungkinkan script ditempatkan pada server.

Salah satu jalurnya adalah kerentanan pada aplikasi web atau server yang dapat diakses dari internet. Microsoft menjelaskan bahwa penyerang memanfaatkan kelemahan keamanan, termasuk kerentanan yang sebenarnya sudah memiliki perbaikan tetapi belum ditutup pada sistem sasaran.

Pada website berbasis CMS, pemeriksaan juga perlu mencakup plugin, tema, dan komponen lain. Pembaruan bukan sekadar penambahan fitur. Sebagian pembaruan membawa perbaikan keamanan yang diperlukan untuk menutup celah tertentu.

Jalur berikutnya adalah fitur unggah yang tidak aman. Website mungkin menyediakan fasilitas untuk mengirim gambar, dokumen, atau berkas lain. Apabila pembatasan file dan konfigurasi server tidak tepat, fasilitas tersebut dapat disalahgunakan untuk menempatkan file berbahaya.

Selain celah aplikasi, akun pengelola yang sudah diambil alih juga dapat menjadi sumber masalah. Kredensial hosting, administrator CMS, atau FTP/SFTP yang bocor dapat memberikan kesempatan kepada penyerang untuk mengubah file website.

Karena itu, pemeriksaan tidak boleh hanya berfokus pada satu plugin. Sumber kompromi dapat berada pada aplikasi, konfigurasi, akun, atau perangkat yang digunakan pengelola.

Cara Kerja Webshell Setelah Berhasil Dipasang

Setelah penyerang memperoleh akses awal, script dapat ditempatkan pada lokasi tertentu di server. Script tersebut kemudian digunakan untuk berinteraksi dengan sistem dan melakukan aktivitas sesuai hak akses yang tersedia.

Microsoft menjelaskan bahwa webshell dapat dimanfaatkan untuk menjalankan perintah, mencuri data, memasang program tambahan, serta mempertahankan akses ke lingkungan yang telah disusupi.

Alurnya dapat dipahami secara sederhana:

1. Penyerang menemukan celah atau memperoleh akses.
2. Script berbahaya ditempatkan pada server.
3. Script digunakan untuk melakukan aktivitas tanpa izin.
4. Website atau sistem terkait dapat dimodifikasi.
5. Akses tersembunyi tetap berisiko digunakan kembali jika belum dihilangkan.

Inilah alasan mengapa mengganti password saja belum tentu menyelesaikan insiden. Jika script dan mekanisme akses lain masih tersedia, penyerang mungkin tetap memiliki cara untuk berinteraksi dengan sistem. Microsoft menyebut pencarian serta penghilangan mekanisme persistensi sebagai bagian penting dari pemulihan kompromi.

Setelah memahami apa itu webshell dan cara kerjanya, satu prinsip menjadi jelas: menghapus akibat serangan tidak sama dengan menutup sumber serangan.

Mengapa Webshell Bisa Merusak SEO Website?

Webshell merupakan persoalan keamanan. Dampaknya terhadap SEO muncul ketika akses tidak sah digunakan untuk mengubah konten, membuat halaman, mengalihkan pengunjung, atau mengganggu fungsi website.

Google menyebut beberapa bentuk konten hasil peretasan, termasuk penyisipan kode, halaman baru, konten tersembunyi, dan pengalihan. Aktivitas tersebut dapat membahayakan pengguna serta mengganggu performa website dalam hasil pencarian.

Sebagai contoh, website perusahaan yang menjual peralatan kantor tiba-tiba memiliki halaman promosi perjudian. Halaman tersebut tidak dibuat oleh tim bisnis, tetapi menggunakan domain yang sama.

Dalam kondisi seperti ini, masalahnya bukan sekadar topik yang tidak relevan. Domain perusahaan telah digunakan untuk menyebarkan konten tanpa izin.

Penyerang juga dapat menambahkan tautan atau teks yang sulit terlihat oleh pengunjung biasa. Google menjelaskan bahwa peretasan dapat melibatkan perubahan tersembunyi atau penggunaan cloaking untuk menyamarkan aktivitas tersebut.

Selain isi halaman, elemen SEO dapat ikut berubah. Pemeriksaan perlu mencakup judul halaman, meta description, canonical, sitemap, dan robots.txt apabila terdapat indikasi perubahan tanpa izin.

Dampaknya tidak seragam. Google menyatakan bahwa website yang melanggar kebijakan spam dapat mengalami penurunan peringkat atau tidak ditampilkan dalam hasil pencarian. Namun, pernyataan tersebut tidak berarti setiap infeksi webshell otomatis menyebabkan seluruh domain hilang dari Google.

Dampaknya Tidak Berhenti pada Ranking

Bagi bisnis, posisi pencarian hanyalah salah satu bagian dari masalah.

Ketika calon pelanggan mengeklik halaman layanan tetapi diarahkan ke situs asing, proses mendapatkan prospek ikut terputus. Pengunjung yang seharusnya membaca informasi produk atau menghubungi perusahaan justru bertemu pengalaman yang tidak diharapkan. Pengalihan seperti ini termasuk bentuk penyalahgunaan yang dijelaskan Google dalam kebijakan konten hasil peretasan.

Risiko berikutnya menyangkut kepercayaan. Website yang menyebarkan malware atau mengarahkan pengguna ke halaman berbahaya dapat memunculkan peringatan dari browser atau layanan keamanan. Kondisi tersebut berpotensi menghambat kunjungan dan merusak persepsi terhadap bisnis.

Dari perspektif SEO Specialist, evaluasi tidak cukup berhenti pada pertanyaan, “Apakah trafik turun?”

Pertanyaan yang lebih lengkap adalah:

• Apakah pengunjung masih mencapai halaman yang benar?
• Apakah informasi layanan tetap akurat?
• Apakah formulir dan jalur transaksi berfungsi?
• Apakah konten yang terlihat di mesin pencari sesuai dengan bisnis?
• Apakah sumber kompromi telah ditangani?

Dengan melihat perjalanan pengguna secara utuh, prioritas pemulihan menjadi lebih jelas.

Tanda Website yang Perlu Diperiksa Lebih Lanjut

Tanda infeksi merupakan petunjuk awal, bukan diagnosis akhir. Beberapa gejala juga dapat muncul akibat kesalahan konfigurasi atau masalah aplikasi yang tidak berkaitan dengan serangan.

Gejala-gejala tersebut dibahas dalam artikel referensi sebagai alasan untuk melakukan pemeriksaan lebih lanjut, bukan dasar untuk langsung menyimpulkan adanya webshell.

Sebagai contoh, file yang namanya asing mungkin dibuat oleh sistem cache. Lonjakan CPU mungkin berasal dari kunjungan sah. Redirect juga bisa disebabkan konfigurasi yang keliru.

Karena itu, saat mencari informasi tentang apa itu webshell, jangan berhenti pada daftar gejalanya. Hubungkan temuan dengan log, perubahan file, dan aktivitas akun.

Jangan menjalankan file mencurigakan untuk mencoba mengetahui fungsinya. Mintalah tenaga teknis melakukan analisis dengan prosedur yang aman.

Ilustrasi Serangan pada Website Bisnis

Sebagai ilustrasi, sebuah perusahaan jasa memiliki website yang masih dapat dibuka dengan normal. Tim pemasaran kemudian menerima laporan bahwa pengguna ponsel diarahkan ke halaman promosi yang tidak berkaitan dengan perusahaan.

Pada saat yang sama, muncul URL asing yang tidak pernah dibuat oleh tim konten. Pemeriksaan teknis kemudian menemukan akses tidak sah dan script berbahaya.

Dalam contoh tersebut, tugas pertama bukan memperbarui artikel atau menambah backlink. Prioritasnya adalah membatasi dampak insiden, menyelidiki akses penyerang, dan menutup sumber kompromi.

Setelah penanganan keamanan selesai, barulah tim SEO mengevaluasi halaman sah, URL spam, pengalihan, serta perubahan struktur website. Urutan ini penting karena mengembalikan elemen SEO tanpa menutup akses penyerang dapat membuat perubahan berbahaya muncul kembali.

Ilustrasi ini bukan studi kasus klien. Tujuannya adalah memperjelas hubungan antara keamanan, pengalaman pengguna, dan pemulihan pencarian.

Langkah Awal Saat Mencurigai Infeksi

Hubungi penyedia hosting atau tenaga profesional yang menangani insiden keamanan website. Sampaikan gejala yang ditemukan, URL terdampak, perkiraan waktu kejadian, dan perubahan yang terlihat. Apabila serangan masih berlangsung, pembatasan akses atau isolasi sistem perlu dikoordinasikan dengan tim teknis.

Berikutnya, jangan terburu-buru menghapus file secara acak. Log, waktu perubahan, dan file terkait dapat membantu penyelidikan. Penghapusan tanpa dokumentasi berisiko menghilangkan petunjuk sekaligus merusak fungsi website.

Pemeriksaan perlu mencari lebih dari satu file. Tim teknis juga harus menilai akun pengguna, komponen aplikasi, konfigurasi, serta kemungkinan akses tersembunyi lain. Microsoft menegaskan bahwa pemulihan yang bertahan memerlukan penghilangan mekanisme persistensi penyerang.

Jika backup digunakan, pastikan salinannya telah diperiksa. Backup yang dibuat setelah kompromi dapat membawa masalah yang sama. Celah masuk juga harus ditutup sebelum website kembali dioperasikan secara normal.

Kredensial yang diduga bocor perlu diamankan kembali melalui perangkat bersih, disertai pemeriksaan sesi atau token yang tidak lagi dipercaya. Langkah ini harus dikoordinasikan dengan keseluruhan penanganan insiden.

Evaluasi SEO Setelah Website Diamankan

Setelah penanganan keamanan selesai, buat inventarisasi halaman.

Pisahkan halaman bisnis yang harus dipertahankan, halaman sah yang perlu dipulihkan, dan URL hasil penyisipan. Jangan menyamakan seluruh URL yang bermasalah karena masing-masing membutuhkan keputusan sesuai kondisinya.

Lanjutkan dengan pemeriksaan berikut:

• Konten dan judul halaman penting.
• Meta description.
• Canonical.
• Robots.txt.
• Sitemap XML.
• Internal link.
• Redirect.
• Status HTTP.
• URL yang tercatat dalam laporan Search Console.

Pemeriksaan ini relevan karena kompromi dapat mengubah elemen teknis dan konten yang memengaruhi bagaimana mesin pencari mengakses serta memahami website.

Jika Search Console menampilkan pemberitahuan, ikuti jenis masalah yang benar-benar dilaporkan. Masalah keamanan dan tindakan manual tidak boleh diperlakukan sebagai istilah yang sama. Ajukan peninjauan sesuai petunjuk yang tersedia setelah persoalan terkait diselesaikan.

Pantau klik, impresi, halaman terdampak, dan perkembangan pengindeksan. Jangan menjanjikan pemulihan pada tanggal tertentu. Mesin pencari perlu mengakses ulang serta memproses perubahan, sementara kondisi setiap website berbeda.

Pencegahan yang Perlu Menjadi Kebiasaan

Memahami apa itu webshell akan lebih bermanfaat jika diikuti pengelolaan website yang konsisten.

Microsoft merekomendasikan penutupan kerentanan, pembaruan keamanan, pemeriksaan konfigurasi, audit log, serta pembatasan akses sebagai bagian dari penguatan server terhadap ancaman webshell.

Untuk pengelola bisnis, penerapannya dapat dibahas bersama tim teknis melalui langkah berikut:

1. Jadwalkan pembaruan aplikasi dan komponen.
2. Gunakan komponen dari sumber tepercaya.
3. Batasi hak akses sesuai kebutuhan kerja.
4. Aktifkan autentikasi multifaktor pada layanan yang mendukung.
5. Amankan fitur unggah dan validasi file.
6. Hindari eksekusi script pada direktori unggahan yang tidak memerlukannya.
7. Pantau perubahan file serta aktivitas akun.
8. Simpan backup yang terlindungi dan uji pemulihannya.

Pengamanan akun dan fitur unggah juga termasuk langkah pencegahan yang dijelaskan dalam artikel referensi.

Perlu diingat, memasang satu plugin keamanan bukan berarti seluruh risiko hilang. Pencegahan memerlukan kombinasi pengaturan, pembaruan, pemantauan, dan kesiapan merespons insiden.

Kapan Membutuhkan Tim Keamanan dan Jasa SEO?

Pembagian peran membantu pemilik bisnis memilih bantuan yang tepat.

Penyedia hosting dapat membantu sesuai kewenangannya atas lingkungan hosting dan log yang tersedia. Tim keamanan berfokus pada penyelidikan, ruang lingkup kompromi, pembersihan, serta penutupan jalur masuk. Developer membantu memperbaiki aplikasi dan mengembalikan fungsi website.

Sementara itu, tim SEO mengevaluasi dampak pada konten, URL, struktur, pengindeksan, dan performa organik setelah masalah keamanan ditangani. Cakupan pekerjaan harus disesuaikan dengan kompetensi dan layanan masing-masing pihak. SEO bukan pengganti penanganan insiden keamanan.

Setelah website diamankan, Anda dapat mendiskusikan kebutuhan evaluasi SEO bersama Jasaahliseo.com. Layanannya mencakup analisis website, technical SEO, riset kata kunci, optimasi on-page, serta pengembangan konten. Evaluasi dapat dimulai dari kondisi halaman penting dan fondasi teknis website, lalu diarahkan pada prioritas yang mendukung kebutuhan bisnis. Pembahasan ini berbeda dari investigasi forensik atau pembersihan malware dan tidak perlu disertai janji ranking instan.

Kesimpulan

Jawaban atas pertanyaan apa itu webshell tidak berhenti pada definisi script berbahaya. Ancaman ini penting dipahami karena dapat mempertahankan akses penyerang dan digunakan untuk melakukan aktivitas tanpa izin pada server. Dampak SEO muncul ketika akses tersebut disalahgunakan untuk mengubah konten, menyisipkan halaman, atau mengalihkan pengunjung.

Urutan penanganannya harus jelas: tangani kompromi, tutup jalur masuk, pulihkan fungsi website, lalu evaluasi kondisi SEO. Jangan menyimpulkan semua penurunan trafik sebagai serangan, tetapi jangan pula menganggap tampilan normal sebagai bukti bahwa website aman.

Website yang benar-benar pulih bukan hanya kembali bisa dibuka. Informasinya harus benar, akses penyerang perlu dihilangkan, dan pengunjung harus dapat mencapai halaman yang memang mereka cari.