Surabaya, IDN Times - Keamanan siber ratusan website milik sekolah, perguruan tinggi hingga instansi pemerintah masih rentan dibobol. Celah tersebut dimanfaatkan jaringan promosi judi online dengan menyusupkan konten perjudian ke dalam domain resmi lembaga pendidikan dan pemerintah.
Kerentanan itu terungkap setelah Direktorat Reserse Siber Polda Jawa Timur (Jatim) menangkap seorang peretas berinisial AHK, warga Kabupaten Demak, Jawa Tengah. Pelaku diduga meretas puluhan website sekolah dan perguruan tinggi, khususnya di Jatim, lalu menjual akses domain tersebut kepada jaringan promosi judi online dengan keuntungan mencapai Rp400 juta per tahun.
Direktur Reserse Siber Polda Jatim Kombes Pol Bimo Ariyanto mengatakan, pelaku sengaja mengincar website yang memiliki tingkat kunjungan tinggi, terutama milik sekolah, kampus, dan instansi pemerintah.
"Tersangka melakukan peretasan atau menguasai akun milik sekolah maupun universitas. Ada puluhan sekolah dan puluhan universitas, khususnya di Jawa Timur, yang sudah diretas dan dikuasai domainnya untuk kemudian dijual. Ketika website tersebut diklik, akan muncul subdomain yang berisi promosi perjudian," ujarnya, Kamis (30/7/2026).
Kasus ini terbongkar saat patroli siber Polda Jatim menemukan sejumlah website resmi lembaga pendidikan yang berubah fungsi menjadi media promosi judi online. Dari hasil penyelidikan, pelaku diketahui memanfaatkan celah keamanan pada sistem elektronik milik korban untuk mengambil alih lalu lintas data website.
"Tersangka memanfaatkan kelemahan website milik instansi, sekolah maupun perguruan tinggi. Setelah sistem keamanannya rusak, data lalu lintas internet dikuasai tersangka lalu dijual melalui platform SX Market sehingga domain maupun subdomain tersebut digunakan untuk promosi perjudian," kata Bimo.
Polisi menyita satu unit telepon seluler, akun dompet digital DANA, rekening Bank Danamon dan Bank Mandiri, serta akun Facebook, WhatsApp, dan tiga akun Telegram yang diduga digunakan menjalankan bisnis ilegal tersebut.
AHK kini ditahan dan dijerat Pasal 32 ayat (1) dan/atau Pasal 33 juncto Pasal 48 dan/atau Pasal 49 Undang-Undang Nomor 1 Tahun 2024 tentang Informasi dan Transaksi Elektronik (ITE) dengan ancaman hukuman maksimal lima tahun penjara.