Kode QR ada di mana-mana: di meja restoran, di poster acara, di struk pembayaran, di papan pengumuman kantor pemerintah. Kemudahan dan kepercayaan yang kita berikan kepada kode QR inilah yang dieksploitasi oleh pelaku kejahatan siber melalui teknik yang disebut quishing — gabungan kata "QR code" dan "phishing".
Memahami quishing adalah langkah pertama untuk melindungi diri, keluarga, dan bisnis Anda dari salah satu ancaman siber yang paling berkembang saat ini.
Apa itu Quishing?
Quishing adalah serangan phishing yang menggunakan kode QR sebagai kendaraan untuk mengarahkan korban ke website palsu atau konten berbahaya. Alih-alih mengirim tautan mencurigakan melalui email (yang sudah dikenali banyak orang sebagai tanda phishing), pelaku menyematkan tautan berbahaya di dalam kode QR.
Kode QR itu sendiri terlihat persis sama dengan kode QR yang sah — tidak ada cara untuk membedakannya secara visual. Ini adalah keunggulan utama quishing dari perspektif pelaku kejahatan.
Bagaimana Quishing Bekerja
- Pelaku membuat kode QR yang mengarah ke website palsu (misalnya halaman login bank palsu atau toko online palsu)
- Kode QR tersebut dicetak dan ditempatkan di lokasi yang dilihat banyak orang, atau dibagikan melalui email, WhatsApp, atau media sosial
- Korban menscan kode QR tersebut karena mempercayai konteksnya (poster resmi, email dari "bank", dsb.)
- Browser membuka website palsu yang terlihat identik dengan website aslinya
- Korban memasukkan informasi sensitif (username, password, nomor rekening, OTP) yang langsung jatuh ke tangan pelaku
Mengapa Quishing Sangat Berbahaya
Melewati filter keamanan email: Banyak sistem keamanan email yang memindai tautan berbahaya di teks email. Kode QR dalam format gambar tidak mengandung tautan yang bisa dipindai — tautan tersembunyi di dalam gambar.
Memindahkan korban ke perangkat mobile: Serangan phishing sering lebih mudah berhasil di ponsel karena layar lebih kecil (URL sulit dilihat seluruhnya), antarmuka lebih terbatas, dan pengguna cenderung lebih terburu-buru.
Memanfaatkan kepercayaan kontekstual: Kode QR di meja kafe atau di poster resmi terlihat sah secara alami. Pelaku memanfaatkan kepercayaan yang sudah terbangun ini.
Modus Quishing yang Umum di Indonesia
Stiker QR Palsu di Atas Kode QR Pembayaran
Modus ini sangat berbahaya karena menargetkan transaksi keuangan langsung. Pelaku menempel stiker kode QR palsu di atas kode QR QRIS yang sah di warung, restoran, atau toko. Penjual tidak menyadarinya karena stiker tersebut terlihat sama persis.
Pembeli yang menscan menerima pembayaran ke rekening pelaku, bukan penjual. Kerugian ganda: pembeli membayar, penjual tidak menerima pembayaran.
Kode QR Palsu di Email Perbankan
Email yang berpura-pura dari bank (BCA, BRI, Mandiri, BNI, dll.) meminta penerima untuk menscan kode QR untuk "memverifikasi akun" atau "menghindari pemblokiran". Kode QR mengarah ke halaman login palsu yang mengambil kredensial perbankan korban.
Kode QR di Tempat Parkir dan Pembayaran Publik
Di beberapa negara, pelaku telah menempelkan kode QR palsu di mesin parkir dan area pembayaran publik. Kode QR tersebut mengarah ke halaman pembayaran palsu yang mengambil data kartu kredit korban.
Kode QR di Iklan Lowongan Kerja Palsu
Iklan lowongan kerja dengan kode QR yang mengarah ke formulir pendaftaran palsu yang meminta data pribadi lengkap termasuk nomor KTP, nomor rekening, dan bahkan foto selfie dengan KTP.
Kode QR di Hadiah dan Undian Palsu
"Selamat! Anda memenangkan hadiah. Scan kode QR ini untuk klaim hadiah Anda." Kode QR mengarah ke halaman yang meminta data pribadi atau bahkan meminta pembayaran "biaya administrasi" untuk hadiah yang tidak pernah ada.
Cara Mengenali Kode QR Berbahaya
Meskipun kode QR itu sendiri tidak bisa dibedakan secara visual, ada banyak tanda peringatan kontekstual yang bisa membantu Anda mengenali potensi quishing:
Periksa Konteks dan Sumber
Apakah kode QR ini ada karena alasan yang logis? Kode QR di menu restoran untuk melihat menu adalah masuk akal. Kode QR di pintu toilet umum yang meminta Anda "scan untuk mengakses toilet" tidak masuk akal.
Apakah sumber yang membagikan kode QR ini terpercaya? Email dari "bank" yang meminta Anda scan kode QR tanpa alasan yang jelas harus dicurigai.
Apakah ada tanda-tanda manipulasi fisik? Stiker yang menempel di atas kode QR yang sudah ada, kode QR yang terlihat ditempel ulang, atau kode QR yang sudut-sudutnya terangkat adalah tanda bahaya yang harus diperhatikan.
Gunakan Aplikasi QR Scanner yang Menampilkan URL Sebelum Membuka
Beberapa aplikasi kamera dan QR scanner menampilkan URL tujuan sebelum membukanya. Manfaatkan fitur ini. Periksa URL dengan teliti sebelum mengklik "Buka" atau "Kunjungi".
Verifikasi URL Setelah Scanning
Setelah scan, sebelum memasukkan informasi apapun, lihat URL di browser Anda dengan seksama:
- Apakah domain-nya benar? (bca.co.id bukan bca-secure.com atau bcaonline.net)
- Apakah ada kesalahan ejaan? (rnandiri.co.id yang menggunakan "rn" terlihat seperti "m")
- Apakah menggunakan HTTPS? (Meskipun HTTPS tidak menjamin keamanan, situs phishing tanpa HTTPS jelas mencurigakan)
Waspadai Urgency Buatan
Pesan yang menciptakan rasa urgensi palsu adalah ciri khas phishing dan quishing: "Akun Anda akan diblokir dalam 24 jam", "Scan sekarang atau kesempatan ini hilang", "Verifikasi segera untuk keamanan akun Anda". Institusi yang sah jarang menggunakan bahasa yang demikian mendesak.
Langkah-Langkah Keamanan Siber untuk Kode QR
Jangan Pernah Memasukkan Password atau OTP Setelah Scan
Jika sebuah kode QR membawa Anda ke halaman yang meminta username, password, atau kode OTP, berhenti. Tutup halaman tersebut dan buka langsung aplikasi atau website resmi melalui bookmark atau store resmi.
Aktifkan Autentikasi Dua Faktor (2FA)
Bahkan jika kredensial Anda berhasil dicuri melalui quishing, 2FA memberikan lapisan perlindungan tambahan. Pelaku tidak bisa masuk tanpa kode OTP yang hanya ada di ponsel Anda.
Periksa Rekening dan Akun Secara Berkala
Pantau transaksi rekening bank dan aktivitas akun penting secara rutin. Semakin cepat Anda mendeteksi aktivitas mencurigakan, semakin kecil kerugian yang terjadi.
Laporkan Kode QR Mencurigakan
Jika Anda menemukan kode QR yang mencurigakan di tempat umum (stiker di atas QRIS toko, misalnya), beritahu pemilik tempat dan laporkan ke:
- Badan Siber dan Sandi Negara (BSSN): bssn.go.id
- Aduan konten internet: aduankonten.id
- Layanan pengaduan OJK untuk penipuan keuangan
Cara Bisnis Melindungi Pelanggan dari Quishing
Jika Anda menggunakan kode QR dalam bisnis, Anda juga bertanggung jawab untuk melindungi pelanggan Anda:
Gunakan kode QR yang tertanam (tidak bisa ditimpa stiker): Cetak kode QR langsung pada permukaan yang tidak bisa ditimpa stiker dengan mudah, seperti akrilik tebal atau permukaan keramik.
Periksa kode QR Anda secara rutin: Scan kode QR bisnis Anda sendiri setiap hari untuk memastikan masih mengarah ke tujuan yang benar.
Edukasi pelanggan: Tambahkan teks di samping kode QR: "Kode QR ini hanya mengarah ke [domain resmi Anda]. Jangan scan jika kode QR terlihat ditempel atau tidak rapi."
Gunakan branding visual yang konsisten: Kode QR dengan logo dan warna brand Anda yang dicetak sebagai satu kesatuan lebih sulit untuk dimanipulasi daripada kode QR polos.
Tetap waspada adalah pertahanan terbaik terhadap quishing. Untuk membuat kode QR yang sah dan terpercaya bagi bisnis atau keperluan pribadi Anda, gunakan qrcito.com/id/ — 100% gratis, tanpa registrasi, dan bekerja sepenuhnya di browser Anda tanpa mengirim data ke server manapun.