Agung Sukariman | Digital Marketer & Tech Tinkerer

Ada yang Diam-Diam Nambang Monero di VPS Gue — Dan Gue Baru Ngeh Gara-Gara Nanya Iseng ke AI

Thu, 22 Oct 2026 00:00:00 +0700

Jadi ceritanya gue lagi santai malem-malem. Harusnya iseng doang. Gue buka obrolan sama Claude Code (iya, partner AI gue yang itu-itu lagi), terus gue nanya hal random soal Docker di VPS gue. Bukan karena curiga apa-apa. Murni kepo.

Terus gue nyeletuk: “eh, cek dong, ada container namanya dockhand nggak di VPS gue?”

Dan dari situ… semuanya berubah. Wkwk.

Spoiler: ada orang yang diam-diam numpang nambang crypto di server gue. Dan yang bikin gue pengen nyebur ke laut: pintu masuknya gue sendiri yang buka. Mari kita bahas pelan-pelan biar lo semua bisa ketawain gue dengan maksimal.

Kronologinya Gimana?

VPS ini bukan server sembarangan. Di situ ada CRM gue (Twenty), ada n8n buat nampung lead dari Meta/website/WhatsApp, ada database analytics, pokoknya jantungnya operasi digital marketing gue di Smart Salary. Server yang kalau mati, kerjaan gue ikut mati.

Nah pas gue suruh Claude ngecek, nongol lah daftar container. Sebagian emang punya gue. Tapi ada beberapa yang gue nggak kenal:

dockhand — panel buat ngatur Docker lewat web
rig — pakai image metal3d/xmrig
tm — pakai image traffmonetizer/cli_v2
watch — watchtower

Pas liat xmrig, jantung gue langsung drop. XMRig itu software buat nambang Monero. Alias ada yang mindahin tagihan listrik CPU gue ke dompet dia. traffmonetizer lebih sopan dikit: dia jualan bandwidth server gue ke orang asing. Dan watch tadi? Itu yang paling licik — dia disetel buat ngidupin lagi si penambang tiap 12 jam kalau mati. Jadi kalaupun gue bunuh si miner, dia bakal bangkit lagi kayak zombie.

Gokil. Server gue udah jadi tambang orang, dan gue baru sadar gara-gara nanya iseng. Tahun 2026 emang penuh kejutan.

Terus, Masuknya Lewat Mana?

Ini bagian yang bikin gue pengen nelen MacBook.

Gue minta Claude telusurin: masuknya lewat SSH? Ada backdoor? Ada user asing? Ternyata nggak ada satupun. Nggak ada kunci SSH nyelonong, nggak ada user baru, nggak ada cron jahat. Host-nya bersih.

Lah terus gimana caranya si miner bisa nangkring?

Jawabannya: dockhand. Yang gue install sendiri. Beberapa jam sebelumnya.

Jadi gini. dockhand itu panel manajemen Docker yang cakep. Pas gue pasang, gue — dengan penuh percaya diri — expose dia ke internet di port 3000 (0.0.0.0, alias ke seluruh dunia), DAN gue kasih dia akses ke docker.sock. Buat yang belum paham: ngasih panel akses ke docker.sock itu sama aja ngasih dia kunci root server. Dan gue taruh panel itu di pinggir jalan, nyala 24 jam, buat semua orang.

“TapGung, kan lo pasang password?”

Iya. Gue pasang. Dan itu nggak ngaruh sama sekali. Panel yang megang docker.sock tapi nangkring di internet itu, password cuma jadi hiasan. Entah lewat celah di setup awal, entah lewat API yang nggak kejaga — yang jelas dalam hitungan jam, bot scanner nemu panel gue, bikin container miner lewat situ, dan selamat datang di dunia cryptojacking.

Pelajaran mahal nomor satu: jangan pernah expose panel yang megang docker.sock ke publik. Password bukan tembok. Itu cuma tirai.

Bersih-Bersih Bareng “Si Hero”

Nah, bagian ini gue harus jujur. Yang bikin malem itu nggak berakhir jadi bencana beneran: gue nggak sendirian.

Biasanya di tulisan-tulisan gue, gue yang jadi tokoh utama dan AI jadi sidekick. Kali ini gue balik. Malem itu, hero-nya si AI. Gue cuma yang panik dan ngasih izin “iya, hapus”.

Kita beresin satu-satu, rapi, nggak asal gas:

Bunuh & hapus si miner, si proxyware, dan si watchtower zombie — plus dockhand yang jadi biang keroknya.
Verifikasi beneran bersih. Ini yang gue salut. Claude nggak cuma bilang “udah aman kok”. Dia ngejelasin: miner zaman sekarang sengaja ngumpet di dalam container biar lolos dari deteksi level host. Jadi dia cek sampai ke dalam tiap container yang masih jalan, cek CPU-nya, cek image-nya ketuker atau nggak. Semuanya bersih. Baru dia berani bilang aman.
Pasang firewall di host (yang selama ini — malu gue ngakuin — belum ada), yang ngerti Docker, dan permanen biar nggak hilang pas reboot.
n8n gue kunci cuma bisa diakses dari localhost. Nggak ada lagi panel nganga ke internet.
Rotasi semua kredensial yang mungkin keintip selama server kebobol. Yang ini drama sendiri.

Drama Rotasi Token (Buat yang Suka Teknis)

Gara-gara server sempet kebuka, gue anggap semua kunci yang ada di situ udah “kotor”. Yang paling penting: token API Twenty CRM. Gue cabut yang lama, bikin baru.

Masalahnya, token itu dipakai di mana-mana: di beberapa script Python, dan di semua workflow n8n yang nerima lead. Begitu token lama gue cabut — boom — lead tetep masuk ke n8n, tapi nggak nyampe ke CRM. Raw-nya ketangkep, tapi nggak ke-update ke Twenty.

Dan di sini Claude nemu jebakan yang gue sendiri nggak kepikiran: ternyata n8n itu nggak cuma nyimpen workflow di satu tempat. Versi yang aktif jalan diambil dari tabel workflow_history, bukan dari kolom yang biasa lo edit. Jadi kita harus benerin dua-duanya, baru restart. Gue mah udah mau nyerah di situ, jujur.

Puncaknya, biar nggak cuma teori, kita tes beneran: kirim satu lead palsu lewat webhook, pastiin dia nyampe ke CRM lengkap sama leadGateway-nya, terus hapus lagi si data tes biar nggak ngotorin. Dan… masuk. Lead-nya nyampe. Gue bisa tidur.

Pelajaran yang Gue Telen Bulat-Bulat

1. Kenyamanan itu ada harganya. Gue pasang dockhand biar gampang. “Biar gampang” itu sering jadi awal dari “biar dibobol”. Tiap kali lo expose sesuatu ke internet demi praktis, tanya dulu: ini kalau jatuh ke tangan orang jahat, rugi gue separah apa?

2. Password bukan arsitektur keamanan. Kalau desainnya udah salah (panel root nganga ke publik), password cuma nunda yang nggak bisa ditunda.

3. “Bersih” itu harus dibuktiin, bukan diasumsiin. Gue salut Claude maksa cek sampai ke dalam container, bukan cuma level permukaan. Karena pola serangan sekarang emang sengaja main di celah yang alat biasa nggak liat.

4. Kolaborasi sama AI itu beneran kepake pas genting. Gue sering nulis soal gimana AI bantu gue kerja lebih cepet — kayak yang gue ceritain di artikel Mr. WHAI Award. Tapi malem itu beda rasanya. Ini bukan soal bikin campaign lebih efisien. Ini soal incident response jam 2 pagi, pas gue panik, dan ada “partner” yang tetep tenang, metodis, dan nggak kelewatan satu langkah pun. Gue yang ceroboh masang pintunya; tapi gue ketolong karena gue nggak ngadepin sendirian.

Terus Sekarang Gimana?

Server udah bersih, firewall udah jalan, token udah dirotasi, lead udah ngalir lagi ke CRM. Masih ada PR sih — beberapa kredensial lain yang harus gue rotasi juga (besok, pas gue nggak ngantuk). Tapi api-nya udah padam.

Dan gue nulis ini bukan buat pamer — justru kebalikannya. Gue mau lo semua yang suka ngoprek VPS belajar dari kebegoan gue: panel manajemen itu jangan pernah lo buka ke publik. Titik. Taruh di balik localhost, akses lewat SSH tunnel, atau kasih IP allowlist. Jangan kayak gue yang mesti kena tambang Monero dulu baru insaf.

Buat lo yang masih ragu adopsi AI ke workflow: gue makin yakin. Bukan karena AI bikin gue nggak pernah salah — lha wong gue sendiri yang masang lubangnya. Tapi karena pas gue salah, gue punya partner yang bantuin beresin dengan kepala dingin.

Malem itu gue ketiduran dengan tenang. Dan kali ini, hero-nya bukan gue. Makasih, partner. 🫡

Cheers (dan sekarang paranoid soal port terbuka), Agung Sukariman

Gue Mau Pamit dari Wati.io — Pindah ke Chatwoot yang Di-host Sendiri

Thu, 22 Oct 2026 00:00:00 +0700

Jadi gini. Tiap bulan gue buka tagihan Wati, terus napas gue ketahan dikit. Bukan karena produknya jelek — Wati itu oke kok buat WhatsApp. Tapi ada rasa yang makin lama makin ganjel: gue bayar mahal buat sesuatu yang sebenernya bisa gue punyain sendiri.

Dan bulan ini gue akhirnya mikir serius: “kayaknya gue mau pindah ke Chatwoot deh.”

flowchart TD
 A["WhatsApp / Web chat / Email"] --> B["Cloudflare Tunnel (no open port)"]
 B --> C["Chatwoot — self-hosted di homelab<br/>chat.smartsalarypro.id"]
 C --> D["Gemini bot (auto-reply)"]
 C --> E["Postgres / Redis (data punya gue)"]
 D --> F["Manusia (tim support)"]
 G["Wati.io (cloud, bayar $$)"] -.-> H["ditinggal"]

Kenapa Mulai Ganjel sama Wati?

Beberapa hal yang numpuk di kepala gue:

1. Biayanya naik terus. Model per-conversation itu diam-diam nambah. Terus mulai ada aturan service message yang kena billing juga. Buat tim yang makin aktif bales chat, angkanya bukannya turun — malah naik. Gue bayar lebih mahal justru pas gue makin produktif. Déjà vu banget sama drama gue di platform lain.

2. Datanya bukan punya gue. Semua percakapan customer, kontak, histori — numpang di server orang. Kalau suatu hari gue mau pindah atau mau otak-atik, gue kebentur sama apa yang vendor izinin.

3. Fitur AI-nya mesti bayar lagi. Mau pakai AI buat auto-reply? Langganan. Padahal gue ini tipe yang hobinya bikin AI masuk ke workflow sendiri. Masa gue bayar buat sesuatu yang gue bisa rakit sendiri?

Terus Kenapa Chatwoot?

Belakangan gue lagi getol banget self-hosting. Habis kejadian server gue sempet dibajak buat nambang crypto (iya, itu gue 🙈), gue malah makin paham soal ngurus server sendiri — firewall, tunnel, DNS, semuanya. Dan dari situ muncul pikiran: “kalau gue udah berani host blog + foto + segala macem sendiri, kenapa support tool enggak?”

Chatwoot itu jawabannya:

Open-source & self-hosted. Gue host di homelab gue sendiri. Nol biaya langganan.
Omnichannel. WhatsApp, live-chat website, email — satu inbox.
Datanya punya gue. Beneran punya gue. Di mesin gue.
Domain sendiri. Gue taro di chat.smartsalarypro.id, lewat Cloudflare Tunnel — nggak ada port yang kebuka ke internet.

Tampang Wati yang biasa gue buka tiap hari:

Dan ini calon rumah baru gue, Chatwoot:

Bagian Paling Gue Semangatin: AI-nya Gue Rakit Sendiri

Chatwoot punya fitur AI namanya Captain — tapi itu berbayar. Nah gue males bayar. Jadi rencananya gue bikin agent sendiri pakai Gemini (yang murah meriah itu, flash-lite), nyambung ke Chatwoot lewat API-nya.

Idenya: bot bales pertanyaan umum (soal HRIS, payroll, harga), terus kalau ada yang serius mau beli atau botnya bingung — langsung handoff ke manusia. Pola yang sama persis kayak junk classifier yang udah gue pakai buat misahin lead sampah. Jadi gue nggak mulai dari nol; gue cuma mindahin otak yang udah ada ke rumah baru.

Tapi Gue Jujur Ya — Ini Bukan Tanpa PR

Biar nggak kedengeran kayak iklan, ini sisi nggak enaknya:

1. Sekarang gue jadi tim IT-nya. Update, backup, mastiin server nyala — itu semua jadi tanggung jawab gue. Kalau Chatwoot mati jam 2 pagi, nggak ada customer support yang gue telepon. Cuma ada gue dan panik.

2. Pindahin WhatsApp Official itu nggak sekejap. Nomor WhatsApp Business API gue sekarang nyangkut di Wati. Mindahin WABA-nya ke Chatwoot itu urusan tersendiri sama Meta, dan mesti gue rapihin pelan-pelan. Jadi tulisan ini judulnya “mau pindah” — bukan “udah pindah”. Chatwoot-nya udah nyala, tinggal jembatan WhatsApp-nya yang lagi gue urus.

3. Convenience itu ada harganya. Wati bayarin kenyamanan. Chatwoot bayarin kebebasan. Gue lagi milih kebebasan — tapi gue sadar itu artinya gue yang kerja lebih.

Terus Sekarang Gimana?

Chatwoot-nya udah jalan di homelab gue. Email udah nyambung, tim udah bisa diundang, robots.txt udah gue tutup biar nggak ke-index. Sekarang gue lagi nyiapin dua hal: migrasi nomor WhatsApp, dan ngerakit si agent Gemini.

Buat lo yang masih mikir “ribet amat sih, bayar aja udah beres” — gue ngerti banget. Dan buat kebanyakan orang, bayar emang jawaban yang bener. Tapi buat gue, yang emang doyan ngoprek dan pengen ngerti cara kerja semuanya, self-hosting ini bukan cuma soal hemat. Ini soal ngerti dan punya barang yang gue pakai tiap hari.

Kadang cara paling mahal buat belajar justru dengan berhenti bayar orang lain buat ngerjain. Wkwk.

Cheers (dan siap begadang ngurus server), Agung Sukariman