INIKANAKU.my.id – Hampir 2.000 situs WordPress di berbagai negara diduga telah diretas dan dimanfaatkan sebagai bagian dari infrastruktur kejahatan siber global. Situs-situs yang sebelumnya digunakan untuk aktivitas legal tersebut kemudian disalahgunakan untuk menyebarkan malware, mencuri data hingga mendukung serangan ransomware.
Temuan tersebut diungkap perusahaan keamanan siber Check Point Research dalam analisis terhadap operasi yang mereka sebut StopAndProtect. Operasi ini tidak hanya mengandalkan satu jenis malware, tetapi menggunakan sejumlah perangkat lunak berbahaya yang bekerja secara bersamaan.
Situs WordPress Dijadikan Infrastruktur Penyerang
Dalam operasi tersebut, situs WordPress yang telah berhasil dikuasai pelaku digunakan untuk berbagai fungsi. Di antaranya sebagai tempat menyimpan malware, menjalankan fungsi command-and-control (C2) untuk mengirim instruksi kepada komputer korban, serta menyimpan data yang berhasil dicuri.
Check Point Research memperkirakan hampir 2.000 situs WordPress telah dikompromikan. Sebagian besar situs yang terdampak diketahui menggunakan versi WordPress yang sudah lama atau plugin yang memiliki celah keamanan.
Skala operasi tersebut juga terlihat dari jumlah perangkat yang terpapar. Hingga 24 Juli 2026, peneliti menemukan lebih dari 6.000 alamat IP unik yang telah terkompromikan. Amerika Serikat tercatat memiliki jumlah terbesar dengan 1.852 alamat IP, disusul Rusia dan India yang masing-masing sekitar 630 alamat IP.
Menggunakan Modus CAPTCHA Palsu
Salah satu teknik yang digunakan dalam kampanye StopAndProtect adalah rekayasa sosial dengan memanfaatkan CAPTCHA palsu.
Situs WordPress yang telah diretas dapat menampilkan halaman verifikasi palsu kepada pengunjung. Korban kemudian diarahkan untuk melakukan tindakan tertentu di komputer mereka yang sebenarnya dapat memicu eksekusi perintah berbahaya.
Teknik tersebut dikenal sebagai ClickFix, yaitu metode rekayasa sosial yang memanfaatkan instruksi seolah-olah berasal dari situs resmi untuk membuat korban menjalankan perintah berbahaya secara manual.
Menurut Check Point Research, perintah tersebut dapat memicu PowerShell dan kemudian mengunduh komponen malware tambahan ke perangkat korban.
Bukan Sekadar Ransomware
StopAndProtect memiliki rangkaian perangkat lunak berbahaya dengan fungsi yang beragam.
Komponen yang ditemukan antara lain ransomware untuk mengenkripsi file, worm yang dapat menyebar melalui jaringan atau perangkat USB, pemblokir layar, penyebar berbasis VBS, perangkat komunikasi antara korban dan pelaku, serta pencuri kredensial dan data.
Namun, menariknya, ransomware tidak selalu menjadi tujuan akhir serangan.
Dalam banyak kasus, pelaku justru secara diam-diam mengumpulkan daftar file dan kemudian mencuri file tertentu dari komputer korban. Data yang dicuri dapat mencakup dokumen, tangkapan layar dan berbagai informasi aktivitas korban.
Lebih dari 700 Arsip Data Dicuri
Investigasi terhadap situs-situs yang telah diretas juga memberikan gambaran mengenai aktivitas kelompok tersebut.
Check Point menemukan lebih dari 700 arsip yang berisi data hasil pencurian dari sekitar pertengahan Mei hingga akhir Juli 2026.
Ironisnya, kesalahan operasional pelaku justru membantu peneliti mengungkap jaringan tersebut. Sejumlah file internal, log infeksi, tangkapan layar komputer korban dan perangkat yang digunakan untuk mengelola situs WordPress yang telah diretas ikut terekspos.
Peneliti bahkan menemukan perangkat otomasi yang digunakan untuk mengelola banyak situs WordPress yang telah dikompromikan secara massal.
WordPress yang Tidak Terawat Jadi Sasaran
Kasus StopAndProtect kembali menunjukkan pentingnya menjaga sistem WordPress tetap diperbarui.
Situs dengan versi WordPress, plugin atau tema yang sudah usang dapat menjadi sasaran empuk ketika terdapat kerentanan keamanan yang dapat dieksploitasi.
Bahkan pada Juni 2026, Shadowserver Foundation melaporkan adanya operasi penindakan terhadap infrastruktur SocGholish yang sebelumnya memanfaatkan situs WordPress yang telah dikompromikan. Dalam operasi tersebut, hampir 15.000 situs WordPress yang terinfeksi SocGholish telah diremediasi.
Karena itu, ancaman terhadap WordPress bukan hanya persoalan kehilangan akses ke situs. Situs yang berhasil diretas dapat dijadikan bagian dari jaringan serangan yang lebih besar tanpa sepengetahuan pemiliknya.
Pengguna Diminta Waspada
Check Point Research mengingatkan pengguna agar berhati-hati ketika menemukan CAPTCHA atau halaman verifikasi yang meminta mereka melakukan tindakan tidak biasa, terutama menjalankan perintah melalui PowerShell atau menyalin dan menempelkan perintah ke komputer.
Pengguna disarankan segera meninggalkan halaman apabila menemukan instruksi semacam itu.
Sementara bagi pemilik situs WordPress, pembaruan sistem, plugin dan tema secara berkala menjadi langkah penting untuk mengurangi risiko. Penggunaan kata sandi yang kuat, autentikasi multifaktor serta pemeriksaan akun administrator dan file yang tidak dikenal juga dapat membantu mendeteksi maupun mencegah kompromi.
Kasus StopAndProtect menjadi pengingat bahwa sebuah situs web yang tampak normal bagi pengunjung bisa saja telah disusupi dan diam-diam digunakan sebagai bagian dari operasi kejahatan siber berskala global.
Sumber: Check Point Research, The Hacker News, Shadowserver Foundation.
