Kenali quishing, modus penipuan menggunakan QR Code yang dapat mengarahkan korban ke situs palsu. Simak ciri-ciri, risiko, dan cara melindungi diri.

QR Code Tidak Selalu Aman: Kenali Modus Quishing yang Bisa Menguras Data dan Akun Anda

QR Code sudah menjadi bagian dari kehidupan sehari-hari.

Kita menggunakannya untuk melakukan pembayaran, membuka menu restoran, mengakses tiket, mendapatkan informasi produk, bergabung ke jaringan Wi-Fi, hingga membuka halaman tertentu di internet.

Praktis memang.

Cukup arahkan kamera smartphone, pindai, lalu halaman tujuan muncul.

Karena sudah sangat terbiasa, banyak orang akhirnya menganggap QR Code sebagai sesuatu yang otomatis aman.

Padahal, QR Code hanyalah alat untuk menyimpan atau menyampaikan informasi.

Ia tidak bisa membedakan apakah alamat yang tersimpan di dalamnya aman atau berbahaya.

Di sinilah muncul modus yang dikenal sebagai quishing.

Istilah ini berasal dari gabungan kata QR dan phishing. Sederhananya, quishing adalah bentuk penipuan yang memanfaatkan QR Code untuk mengarahkan korban ke halaman atau aktivitas berbahaya.

Yang membuat modus ini menarik bagi penipu adalah korban sering kali tidak mengetahui tujuan QR Code sebelum memindainya.

Berbeda dengan tautan biasa yang alamatnya terkadang dapat dilihat sebelum diklik, QR Code menyembunyikan informasi tersebut di balik gambar berpola kotak.

Satu kali pemindaian dapat mengarahkan seseorang ke situs login palsu, halaman pembayaran palsu, formulir yang meminta informasi pribadi, atau konten lain yang dirancang untuk menipu.

Karena itu, mulai sekarang jangan lagi berpikir:

“Kalau bentuknya QR Code, berarti aman.”

Yang lebih tepat adalah:

“Saya perlu tahu QR Code ini membawa saya ke mana sebelum melakukan tindakan lebih lanjut.”

Apa Itu Quishing?

Quishing merupakan bentuk phishing yang menggunakan QR Code sebagai media untuk mengarahkan target menuju konten atau situs berbahaya.

Tujuannya dapat bermacam-macam.

Penipu mungkin ingin:

Mencuri username dan password.
Mendapatkan informasi kartu pembayaran.
Mengambil data pribadi.
Mengarahkan korban ke situs palsu.
Memancing korban mengunduh aplikasi berbahaya.
Menipu korban agar melakukan pembayaran.
Mengambil alih akun.
Memanfaatkan korban untuk memasukkan kode autentikasi.

Jadi, masalah utamanya bukan pada teknologi QR Code.

Masalahnya adalah konten yang disembunyikan di balik QR Code tersebut.

QR Code yang ditempel di restoran resmi dan mengarah ke menu perusahaan tentu berbeda dengan QR Code palsu yang ditempel seseorang di atas QR Code asli.

Secara visual, korban mungkin sulit membedakannya.

Mengapa Quishing Bisa Lebih Sulit Dikenali?

Phishing melalui email atau pesan biasanya menggunakan tautan.

Jika pengguna terbiasa memeriksa alamat situs, mereka memiliki kesempatan untuk melihat domain sebelum membuka halaman.

Pada QR Code, situasinya sedikit berbeda.

Pengguna melihat sebuah gambar.

Mereka mengarahkan kamera.

Kemudian smartphone membuka alamat tertentu.

Perhatian korban sering langsung tertuju pada halaman yang muncul, bukan pada alamat sebenarnya.

Padahal, alamat tersebut dapat menjadi petunjuk paling penting.

Misalnya, Anda berniat membuka situs resmi sebuah perusahaan.

Namun setelah memindai QR Code, browser justru membawa Anda ke alamat yang memiliki nama hampir sama dengan situs resmi.

Tampilan halaman dapat dibuat menyerupai situs asli.

Logo dibuat mirip.

Warna dibuat sama.

Bahkan formulir login dibuat seolah-olah resmi.

Jika pengguna tidak memperhatikan alamat situs, penipuan bisa terlihat sangat meyakinkan.

Bayangkan Skenario Sederhana Ini

Anda sedang berada di sebuah tempat umum.

Ada poster bertuliskan:

“Pindai QR Code untuk mendapatkan voucher belanja.”

Tawaran tersebut terlihat menarik.

Anda memindainya.

Browser kemudian membuka halaman yang meminta Anda login menggunakan akun tertentu.

Karena logo dan desainnya terlihat profesional, Anda memasukkan email dan password.

Padahal halaman tersebut bukan situs resmi.

Informasi yang Anda masukkan kemudian jatuh ke tangan penipu.

Inilah salah satu pola dasar yang dapat digunakan dalam quishing.

Yang berbahaya bukan tindakan memindai QR Code itu sendiri.

Risikonya muncul ketika pengguna mempercayai tujuan QR Code tanpa melakukan pemeriksaan.

QR Code di Tempat Umum Juga Perlu Diperhatikan

Salah satu bentuk modus yang cukup mudah dibayangkan adalah manipulasi QR Code fisik.

Penipu dapat menempelkan QR Code baru di atas QR Code asli.

Misalnya pada:

Poster.
Brosur.
Mesin pembayaran.
Papan informasi.
Tempat parkir.
Meja restoran.
Stiker promosi.

Dari jarak tertentu, QR Code pengganti bisa terlihat seperti bagian dari materi resmi.

Pengguna yang terburu-buru mungkin langsung memindainya.

Karena itu, ketika akan memindai QR Code pembayaran atau QR Code yang ditempel di tempat umum, perhatikan kondisi fisiknya.

Apakah ada stiker tambahan?

Apakah terdapat lapisan kertas yang tampak berbeda?

Apakah QR Code terlihat ditempel belakangan?

Jika sesuatu terlihat janggal, jangan langsung memindainya.

Jangan Langsung Percaya karena Ada Logo Perusahaan

Logo bukan bukti keaslian.

Begitu juga dengan warna, font, atau desain.

Semua elemen tersebut dapat ditiru.

Penipu bahkan dapat membuat halaman yang terlihat sangat profesional.

Karena itu, ketika QR Code membawa Anda ke halaman yang meminta informasi penting, jangan hanya bertanya:

“Apakah tampilannya resmi?”

Pertanyaan yang lebih penting adalah:

“Apakah alamat situsnya benar-benar milik layanan tersebut?”

Periksa domain dengan teliti.

Perbedaan satu karakter saja dapat menunjukkan bahwa Anda berada di situs yang berbeda.

Hati-Hati Jika QR Code Meminta Password

Memindai QR Code untuk membuka menu restoran tentu berbeda dengan memindai QR Code lalu diminta memasukkan password email.

Jika Anda tidak memahami mengapa sebuah layanan membutuhkan informasi tertentu, berhenti sejenak.

Jangan memasukkan data hanya karena halaman tersebut memintanya.

Terutama untuk informasi sensitif seperti:

Password.
PIN.
Kode OTP.
Nomor kartu.
CVV.
Kode pemulihan.
Informasi identitas.

Layanan yang sah juga dapat meminta autentikasi, tetapi konteksnya harus masuk akal dan alamat situsnya harus diperiksa.

OTP Bukan Kode untuk Dibagikan

Salah satu kesalahan paling berbahaya dalam penipuan digital adalah memberikan kode autentikasi kepada orang lain.

Misalnya setelah memasukkan data di situs palsu, Anda menerima OTP.

Kemudian muncul pesan:

“Masukkan kode yang dikirim ke nomor Anda untuk menyelesaikan proses.”

Korban mungkin menganggap kode tersebut merupakan bagian dari proses normal.

Padahal, kode tersebut bisa menjadi bagian dari upaya mengambil alih akun.

Prinsip sederhananya:

Jangan pernah memberikan kode autentikasi kepada orang lain.

Bahkan jika seseorang mengaku sebagai petugas bank, customer service, administrator, atau pihak resmi.

Jika Anda ragu, tutup halaman tersebut dan hubungi layanan melalui kanal resmi.

Quishing Tidak Hanya Terjadi pada Pembayaran

Ketika mendengar QR Code, banyak orang langsung memikirkan pembayaran.

Padahal penggunaannya jauh lebih luas.

Penipu dapat membuat QR Code yang mengarahkan ke:

Halaman login palsu.
Formulir survei palsu.
Situs hadiah.
Halaman investasi palsu.
Unduhan aplikasi.
Halaman verifikasi akun.
Situs layanan pelanggan palsu.
Promosi palsu.
Dokumen online palsu.

Artinya, jangan hanya berhati-hati ketika QR Code berhubungan dengan uang.

Data pribadi juga memiliki nilai bagi pelaku kejahatan digital.

Bagaimana Mengetahui QR Code Aman atau Tidak?

Tidak ada cara sederhana untuk melihat sebuah QR Code lalu memastikan 100 persen bahwa QR Code tersebut aman.

Karena itu, pendekatan yang lebih baik adalah memeriksa konteks dan tujuan akhirnya.

Sebelum melanjutkan, tanyakan:

Siapa yang memasang QR Code?
Mengapa saya diminta memindainya?
Dari mana QR Code tersebut berasal?
Ke mana browser mengarahkan saya?
Apakah alamat situs sesuai dengan layanan yang saya kenal?
Apakah halaman tersebut meminta data sensitif?
Apakah ada tekanan agar saya segera bertindak?

Semakin banyak hal yang terasa janggal, semakin baik jika Anda berhenti.

Jangan Terburu-buru karena Ada Kalimat “Segera”

Penipu sering menciptakan rasa mendesak.

Misalnya:

“Akun Anda akan ditutup hari ini.”

“Pembayaran harus dilakukan dalam 10 menit.”

“Voucher akan hangus jika tidak segera diklaim.”

“Verifikasi sekarang untuk menghindari pemblokiran.”

Tujuannya adalah membuat korban berpikir lebih sedikit.

Ketika panik, seseorang cenderung melewatkan pemeriksaan yang seharusnya dilakukan.

Karena itu, kalimat yang terlalu mendesak justru harus menjadi alasan untuk berhenti dan memeriksa kembali.

Periksa Alamat Situs Setelah Memindai

Ini salah satu kebiasaan paling berguna.

Setelah memindai QR Code, jangan langsung memasukkan informasi.

Lihat alamat situs pada browser.

Perhatikan:

Nama domain.
Ejaan.
Ekstensi domain.
Subdomain.
Karakter aneh.
Nama perusahaan yang tidak sesuai.

Jangan hanya melihat ikon gembok atau HTTPS.

HTTPS membantu melindungi koneksi antara browser dan situs, tetapi HTTPS tidak otomatis berarti situs tersebut adalah situs resmi atau tidak melakukan penipuan.

Situs palsu pun dapat menggunakan koneksi HTTPS.

Jangan Mengunduh Aplikasi dari QR Code Sembarangan

Ini bagian yang perlu mendapat perhatian khusus.

Jika QR Code mengarahkan Anda untuk mengunduh aplikasi, jangan langsung melakukannya.

Lebih aman mencari aplikasi tersebut melalui toko aplikasi resmi perangkat.

Kemudian periksa:

Nama pengembang.
Jumlah unduhan.
Ulasan.
Informasi aplikasi.
Situs resmi pengembang.

Jangan menginstal file aplikasi dari sumber yang tidak dikenal hanya karena ada QR Code yang mengarahkan ke sana.

Bagaimana Jika QR Code Mengarahkan ke Situs Bank?

Berhati-hatilah.

Untuk transaksi finansial, sebaiknya gunakan aplikasi resmi atau akses layanan melalui metode yang sudah Anda kenal.

Jangan mengandalkan QR Code acak dari pesan, poster, atau pihak yang tidak dapat diverifikasi.

Jika ada QR Code yang mengklaim berasal dari bank tetapi meminta Anda login melalui halaman yang mencurigakan, hentikan proses.

Hubungi bank melalui kanal resmi.

Jangan menggunakan nomor telepon yang diberikan oleh QR Code tersebut jika Anda tidak yakin sumbernya benar.

QR Code dari WhatsApp atau Email Juga Perlu Diperiksa

Quishing tidak harus terjadi dalam bentuk poster fisik.

Penipu dapat mengirim gambar QR Code melalui:

Email.
WhatsApp.
Telegram.
Media sosial.
Grup komunitas.
Forum online.

Misalnya, Anda menerima pesan:

“Pindai QR Code ini untuk mengaktifkan kembali akun Anda.”

Jangan langsung percaya.

Tanyakan:

Mengapa saya harus melakukan aktivasi melalui QR Code?

Kemudian akses layanan melalui aplikasi atau situs resminya secara manual.

Jika tidak ada pemberitahuan yang sesuai di kanal resmi, kemungkinan pesan tersebut patut dicurigai.

Bagaimana Jika Sudah Terlanjur Memindai?

Memindai QR Code saja belum tentu berarti akun Anda telah diretas.

Hal yang perlu dilakukan bergantung pada apa yang terjadi setelah pemindaian.

Jika QR Code hanya membuka halaman biasa dan Anda tidak melakukan tindakan apa pun, risikonya berbeda dibandingkan jika Anda:

Memasukkan password.
Memasukkan data kartu.
Memberikan OTP.
Mengunduh aplikasi.
Menginstal file.
Memberikan izin tertentu.
Melakukan pembayaran.

Jika Anda sudah memasukkan password pada situs yang ternyata palsu, segera ubah password melalui situs atau aplikasi resmi.

Jika password tersebut digunakan di layanan lain, ubah juga di layanan lainnya.

Jika data finansial terlibat, hubungi penyedia layanan keuangan secepatnya melalui kanal resmi.

Jika Terlanjur Mengunduh Aplikasi Mencurigakan

Jangan panik, tetapi jangan pula mengabaikannya.

Pertama, hentikan interaksi dengan aplikasi tersebut.

Jika aplikasi meminta izin yang tidak masuk akal, jangan berikan.

Gunakan perangkat lunak keamanan yang tersedia pada perangkat.

Hapus aplikasi jika memang teridentifikasi sebagai aplikasi mencurigakan.

Untuk akun penting yang digunakan pada perangkat tersebut, pertimbangkan mengganti kredensial dari perangkat yang dipercaya.

Jika melibatkan layanan keuangan atau akun penting, hubungi penyedia layanan.

Semakin cepat tindakan dilakukan, semakin besar peluang mengurangi dampak.

Lima Kebiasaan Sederhana untuk Menghindari Quishing

Anda tidak perlu menjadi pakar keamanan siber untuk mengurangi risiko.

Cukup mulai dengan lima kebiasaan.

1. Jangan Pindai QR Code Secara Refleks

Tanyakan dulu siapa yang membuat dan mengapa Anda harus memindainya.

2. Periksa Tujuan Setelah Pemindaian

Jangan langsung memasukkan data.

Lihat alamat situs.

3. Jangan Masukkan Informasi Sensitif ke Halaman yang Mencurigakan

Terutama password, PIN, OTP, dan data kartu.

4. Gunakan Aplikasi Resmi untuk Transaksi Penting

Jika Anda perlu melakukan transaksi keuangan, lebih baik membuka aplikasi resmi secara langsung.

5. Jangan Panik karena Pesan Mendesak

Tekanan untuk segera bertindak merupakan salah satu ciri yang sering digunakan dalam penipuan.

Berhenti.

Periksa.

Konfirmasi melalui kanal resmi.

Apakah QR Code Harus Dihindari?

Tidak.

QR Code sendiri merupakan teknologi yang sangat berguna.

Ia mempermudah berbagai aktivitas sehari-hari.

Masalahnya sama seperti teknologi lainnya: alat yang bermanfaat dapat disalahgunakan.

Kita tidak perlu berhenti menggunakan QR Code.

Kita hanya perlu berhenti menganggap bahwa semua QR Code otomatis aman.

Sama seperti kita tidak akan mengklik semua tautan yang dikirimkan orang asing, kita juga tidak seharusnya memindai semua QR Code tanpa berpikir.

Mengapa Literasi Digital Semakin Penting?

Teknologi membuat banyak aktivitas menjadi lebih cepat.

Pembayaran semakin praktis.

Informasi semakin mudah diperoleh.

Komunikasi semakin cepat.

Tetapi kecepatan juga memiliki sisi lain.

Semakin sedikit waktu yang kita gunakan untuk berpikir, semakin mudah kita melakukan kesalahan.

Karena itu, keamanan digital pada akhirnya bukan hanya masalah teknologi.

Ia juga masalah kebiasaan manusia.

Pengguna yang memahami risiko dapat menjadi lapisan pertahanan pertama.

Bahkan teknologi keamanan terbaik dapat kehilangan manfaatnya jika pengguna memberikan password, OTP, atau informasi pribadi kepada penipu.

Jangan Percaya pada Tampilan Saja

Dunia digital semakin pandai membuat sesuatu terlihat nyata.

Website palsu bisa terlihat profesional.

Pesan palsu bisa menggunakan bahasa yang meyakinkan.

Logo dapat disalin.

Nama perusahaan dapat ditiru.

QR Code dapat dibuat dalam hitungan detik.

Karena itu, kemampuan paling penting bukan sekadar mengenali tampilan.

Kita harus belajar memverifikasi sumber.

Tampilan bisa ditiru.

Alamat situs lebih sulit untuk dipalsukan secara sempurna.

Kanal resmi dapat menjadi tempat pembanding.

Dan jika ada sesuatu yang terasa terlalu mendesak atau terlalu bagus untuk menjadi kenyataan, berhenti sejenak.

Kesimpulan

Quishing menunjukkan bahwa teknologi yang sangat praktis seperti QR Code juga dapat dimanfaatkan untuk melakukan penipuan.

QR Code sendiri bukan sesuatu yang berbahaya.

Risiko muncul ketika QR Code digunakan untuk mengarahkan korban menuju situs palsu, formulir penipuan, unduhan berbahaya, atau aktivitas lain yang dapat merugikan.

Cara paling sederhana untuk melindungi diri bukanlah berhenti menggunakan QR Code.

Sebaliknya, biasakan diri untuk:

mengetahui sumber QR Code;
memeriksa alamat situs setelah pemindaian;
tidak sembarangan memasukkan password;
tidak pernah memberikan OTP;
menghindari unduhan dari sumber tidak dikenal;
menggunakan aplikasi resmi untuk transaksi penting;
dan tidak mengambil keputusan ketika sedang ditekan atau dibuat panik.

Di era ketika hampir semua hal bisa dibuka hanya dengan satu kali pemindaian, berhenti beberapa detik untuk memeriksa bisa menjadi keputusan yang sangat berharga.

Jadi, lain kali Anda melihat QR Code, jangan langsung bertanya:

“Bagaimana cara memindainya?”

Biasakan bertanya terlebih dahulu:

“QR Code ini sebenarnya membawa saya ke mana?”

Catatan: Artikel ini merupakan informasi edukasi umum mengenai keamanan digital. Jika Anda mengalami dugaan penipuan, pengambilalihan akun, atau transaksi tidak sah, segera hubungi penyedia layanan terkait melalui kanal resminya dan ikuti prosedur keamanan yang mereka sediakan.