Waspadai Quishing: Cara Menilai Kode QR sebelum Memindainya

Kode QR memudahkan kita membuka menu restoran, membayar tagihan, mengunduh aplikasi, atau mengakses formulir. Namun, kemudahan ini juga dapat dimanfaatkan untuk quishing, yaitu phishing yang memakai kode QR untuk mengarahkan korban ke situs, formulir, atau proses pembayaran berbahaya.

Masalah utamanya sederhana: manusia tidak dapat membaca tujuan kode QR hanya dengan melihat pola kotaknya. Karena itu, jangan menjadikan kemampuan kode untuk dipindai sebagai tanda bahwa kode tersebut aman. Nilailah konteks, tujuan, dan alamat yang muncul sebelum melanjutkan.

Apa Itu Quishing dan Bagaimana Cara Kerjanya?

Dalam serangan quishing, pelaku membuat kode QR yang mengarah ke tujuan pilihannya. Kode itu dapat ditempatkan dalam pesan elektronik, dokumen, poster, stiker, paket kiriman, atau halaman web. Korban kemudian diarahkan ke halaman yang meniru layanan resmi, meminta data pribadi, menawarkan unduhan, atau menampilkan instruksi pembayaran.

Quishing dapat terasa meyakinkan karena proses pemindaian sering berpindah dari komputer ke telepon. Korban mungkin lebih fokus pada kamera dan halaman yang baru terbuka daripada memeriksa alamat situs. Tampilan layar yang lebih kecil juga dapat membuat nama domain, parameter panjang, atau perbedaan ejaan lebih mudah terlewat.

Kode QR sendiri bukan penyebab bahaya. Risikonya terletak pada tujuan yang disimpan di dalam kode dan tindakan yang diminta setelah kode dipindai. Prinsip ini penting karena membantu kita menilai setiap kode secara rasional, bukan sekadar menganggap semua kode QR berbahaya atau semuanya aman.

Tanda yang Perlu Diperiksa sebelum Memindai

Perhatikan lokasi dan kondisi fisiknya

Pada kode QR yang ditempel di tempat umum, lihat apakah ada stiker lain di atas cetakan asli. Perhatikan tepi yang terangkat, warna kertas yang berbeda, posisi yang tidak sejajar, atau hasil cetak yang tampak baru dibandingkan media di sekitarnya. Stiker palsu dapat menutupi kode pembayaran, menu, atau informasi resmi.

Jika kode berada pada mesin pembayaran, meja restoran, loket, atau papan pengumuman, cocokkan dengan identitas penyelenggara. Bila kondisinya meragukan, tanyakan kepada petugas atau gunakan alamat situs yang tercetak dan dapat diperiksa secara manual.

Nilai cara kode tersebut diberikan

Waspadai kode QR yang datang tanpa diminta, terutama jika disertai tekanan untuk segera bertindak. Pesan seperti akun akan ditutup, paket gagal dikirim, pembayaran harus diulang, atau hadiah akan hangus dirancang untuk mendorong keputusan terburu-buru.

Periksa pula apakah permintaannya masuk akal. Sebuah layanan yang biasanya menyediakan pemberitahuan di dalam aplikasi seharusnya tidak langsung dipercaya ketika tiba-tiba meminta verifikasi melalui kode QR dalam lampiran.

Jangan mengandalkan logo atau desain

Logo, warna, nama perusahaan, dan susunan halaman dapat ditiru. Kualitas desain bukan bukti keaslian. Bahkan kode yang tercetak rapi pada dokumen bergaya resmi tetap perlu diperiksa berdasarkan sumber, alamat tujuan, serta tindakan yang diminta.

Anggap kode QR sebagai alamat yang belum terlihat. Buka pratinjaunya, baca tujuannya, lalu putuskan apakah Anda benar-benar perlu berkunjung.

Langkah Aman Saat Memindai Kode QR

1. Berhenti sejenak dan pahami tujuannya. Tanyakan mengapa Anda perlu memindai kode tersebut dan hasil apa yang seharusnya muncul. Kode untuk melihat menu tidak semestinya meminta kata sandi perbankan atau instalasi aplikasi.
2. Gunakan pemindai yang menampilkan pratinjau. Kamera bawaan pada banyak perangkat dapat memperlihatkan alamat sebelum halaman dibuka. Jangan langsung mengetuk notifikasi sebelum membaca alamat itu.
3. Periksa nama domain secara teliti. Cari salah eja, tambahan kata yang tidak wajar, susunan subdomain yang menyesatkan, atau domain yang sama sekali tidak berkaitan dengan organisasi. Fokus pada nama domain sebenarnya, bukan hanya kata merek yang muncul di awal alamat.
4. Hindari masuk melalui tautan yang meragukan. Jika halaman meminta login, tutup halaman lalu buka aplikasi resmi atau ketik alamat layanan secara manual. Dengan begitu, Anda tidak bergantung pada tujuan yang ditentukan oleh kode QR.
5. Periksa detail pembayaran. Sebelum menyetujui transaksi, cocokkan nama penerima, nominal, dan keterangan pembayaran. Batalkan proses apabila identitas penerima berbeda dari pihak yang seharusnya dibayar.
6. Tolak unduhan yang tidak diharapkan. Kode QR untuk informasi umum tidak seharusnya memaksa Anda memasang aplikasi, profil konfigurasi, atau berkas lain. Cari aplikasi melalui toko aplikasi resmi jika memang diperlukan.
7. Batasi izin yang diminta. Halaman hasil pemindaian tidak otomatis memerlukan akses ke kontak, lokasi, mikrofon, kamera, atau notifikasi. Berikan izin hanya jika fungsinya jelas dan relevan.

Contoh Penilaian dalam Situasi Sehari-hari

Kode QR pembayaran di tempat umum

Anda melihat kode pembayaran pada meja kasir, tetapi terdapat stiker yang tampak menutupi cetakan lain. Jangan membayar terlebih dahulu. Minta petugas memastikan kode yang benar, kemudian periksa nama penerima pada layar konfirmasi. Kesesuaian nama penerima lebih penting daripada tampilan stiker.

Kode QR dalam pesan pengiriman paket

Sebuah pesan menyatakan alamat pengiriman bermasalah dan meminta Anda memindai kode untuk membayar biaya tambahan. Alih-alih mengikuti kode, buka aplikasi atau situs resmi jasa pengiriman secara mandiri. Masukkan nomor pelacakan dari sumber yang sudah Anda miliki dan periksa status paket di sana.

Kode QR untuk login di komputer

Beberapa layanan memang memakai kode QR untuk menghubungkan perangkat. Sebelum memindainya, pastikan kode muncul setelah tindakan yang Anda mulai sendiri pada situs atau aplikasi resmi. Setelah dipindai, baca permintaan persetujuan di telepon dan pastikan perangkat, lokasi, atau sesi yang disebutkan sesuai.

Kode QR pada undangan atau promosi

Undangan dan promosi dapat mengarah ke formulir. Periksa apakah data yang diminta sebanding dengan keperluannya. Formulir pendaftaran acara mungkin membutuhkan nama dan alamat kontak, tetapi permintaan kata sandi, PIN, kode verifikasi, atau data kartu harus menimbulkan kecurigaan.

Data yang Tidak Boleh Diberikan Sembarangan

Setelah memindai, halaman palsu dapat memakai alasan verifikasi untuk meminta informasi sensitif. Jangan memasukkan data berikut tanpa memastikan tujuan dan keaslian layanan:

• Kata sandi akun.
• PIN transaksi atau PIN kartu.
• Kode verifikasi sekali pakai.
• Nomor kartu beserta kode keamanan.
• Frasa pemulihan akun atau dompet digital.
• Foto dokumen identitas yang tidak relevan dengan kebutuhan.

Waspadai pula instruksi untuk menyalin kode tertentu, mengaktifkan berbagi layar, atau menghubungi nomor yang tercantum pada halaman mencurigakan. Instruksi teknis yang tampak rinci tetap dapat menjadi bagian dari upaya pengambilalihan akun.

Apa yang Harus Dilakukan Jika Terlanjur Memindai?

Jika Anda hanya memindai dan belum membuka alamat atau memberikan izin, tutup pratinjau. Bila halaman sudah terbuka tetapi Anda belum memasukkan data, tutup tab dan hapus unduhan yang tidak dikenal tanpa membukanya.

Jika Anda telah memberikan kata sandi, buka layanan resmi melalui aplikasi atau alamat yang Anda ketik sendiri, lalu ganti kata sandi. Keluar dari sesi lain jika tersedia dan aktifkan autentikasi tambahan. Jangan memakai kembali kata sandi lama pada akun lain.

Apabila Anda telah memberikan kode verifikasi, data pembayaran, atau menyetujui transaksi, segera hubungi penyedia layanan melalui saluran resmi. Periksa aktivitas akun dan ikuti prosedur pengamanan atau pelaporan yang mereka sediakan. Jika perangkat memasang aplikasi atau profil yang tidak dikenal, putuskan koneksi sementara dan lakukan pemeriksaan keamanan sebelum kembali mengakses akun penting.

Kebiasaan Sederhana untuk Mengurangi Risiko

• Perbarui sistem operasi, peramban, dan aplikasi keamanan perangkat.
• Gunakan pengelola kata sandi; kegagalan pengisian otomatis pada domain asing dapat menjadi isyarat untuk memeriksa alamat.
• Aktifkan autentikasi tambahan pada akun penting.
• Buka layanan keuangan dari aplikasi resmi atau penanda halaman yang sudah diperiksa.
• Ajarkan anggota keluarga untuk membaca pratinjau alamat sebelum mengetuknya.
• Laporkan atau beri tahu pengelola lokasi ketika menemukan stiker QR yang mencurigakan.

Penutup

Perlindungan terbaik terhadap quishing bukanlah menghindari semua kode QR, melainkan memperlambat keputusan pada saat yang tepat. Periksa sumber kode, baca alamat tujuan, cocokkan permintaan dengan konteks, dan konfirmasi detail sebelum login, mengunduh, atau membayar.

Jika ada satu hal yang terasa tidak sesuai, tutup halaman dan akses layanan melalui jalur resmi yang Anda ketahui. Beberapa detik untuk memeriksa dapat mencegah data akun dan transaksi jatuh ke tujuan yang salah.