Quishing (gabungan dari kata QR code dan phishing) adalah bentuk serangan siber di mana pelaku menggunakan kode QR palsu untuk mengelabui korban agar mengakses situs web berbahaya atau mengunduh aplikasi tiruan. Tujuannya sama dengan phishing konvensional: mencuri kredensial login, data pribadi, atau informasi finansial korban.
Modus ini memanfaatkan kebiasaan pengguna smartphone yang memindai kode QR tanpa memeriksa URL tujuan terlebih dahulu. Karena bentuknya berupa matriks hitam-putih, isi tautan di dalam kode QR tidak dapat dibaca secara visual oleh mata telanjang, menjadikannya vektor serangan yang sangat efektif bagi penjahat siber.
Bagaimana Cara Kerja Quishing di Lapangan?
Pelaku kejahatan menyebarkan kode QR palsu melalui berbagai media fisik maupun digital. Di dunia nyata, stiker kode QR palsu sering kali ditempel menimpa stiker asli pada mesin parkir resmi, brosur restoran, atau poster promosi di tempat umum. Ketika dipindai, kamera ponsel mengarahkan korban ke situs tiruan yang menyerupai halaman login bank, dompet digital, atau portal pembayaran.
Di ranah digital, quishing sering disusupkan ke dalam lampiran email phising berupa file PDF atau gambar. Korban diminta memindai kode tersebut untuk memverifikasi akun, mengklaim hadiah, atau menyelesaikan transaksi mendesak. Seringkali, situs tujuan menggunakan domain yang mirip (typosquatting) dengan domain asli sehingga korban tidak menyadari bahwa mereka telah masuk ke jebakan.
Matriks Perbandingan: Phishing Konvensional vs Quishing
| Parameter | Phishing Konvensional (Email/SMS) | Quishing (QR Code Phishing) |
|---|---|---|
| Media Utama | Tautan teks (URL) langsung pada email atau SMS. | Kode matriks visual (QR Code) pada fisik atau digital. |
| Deteksi Visual | Pengguna dapat melihat URL mencurigakan jika menyorot teks tautan. | URL tersembunyi di dalam pola gambar, tidak terlihat mata telanjang. |
| Perangkat Target | Komputer desktop dan laptop (umumnya), serta smartphone. | Hampir 100% menargetkan pengguna smartphone atau tablet berkamera. |
| Titik Sebar | Kotak masuk email (inbox), SMS, aplikasi perpesanan instan. | Stiker fisik di tempat umum, dokumen PDF, selebaran, poster. |
Ciri-Ciri Utama Serangan Quishing
Mengenali tanda-tanda quishing sangat penting untuk menghindari pencurian data akun dan kerugian finansial. Berikut adalah indikator utama yang harus diwaspadai:
- Stiker Timpa (Overlay): Kode QR di fasilitas publik tampak seperti stiker tempelan yang menutupi cetakan asli di bawahnya.
- Urgensi Palsu: Pesan pengantar menuntut tindakan cepat, seperti ancaman pemblokiran akun jika tidak segera dipindai.
- Domain Aneh: Setelah dipindai, pratinjau URL menunjukkan alamat web yang tidak lazim, menggunakan ekstensi aneh, atau salah eja dari nama merek resmi.
- Permintaan Izin Berlebihan: Situs web yang terbuka meminta akses sensitif ke galeri, kontak, atau kredensial perbankan tanpa alasan jelas.
Langkah Teknis Mencegah dan Menghindari Quishing
Melindungi diri dari quishing menuntut kebiasaan digital yang lebih teliti sebelum melakukan tindakan pemindaian:
- Gunakan Pemindai dengan Fitur Pratinjau: Pastikan aplikasi pembaca kode QR di ponsel Anda menampilkan pratinjau URL lengkap sebelum tombol buka tautan ditekan.
- Periksa Fisik QR Code: Jika berada di tempat umum seperti restoran atau tempat parkir, pastikan kode QR tercetak langsung pada media resmi dan bukan berupa stiker tempelan.
- Jangan Asal Login: Jika pemindaian mengarahkan ke halaman login, ketik alamat situs web resmi secara manual di browser alih-alih melanjutkan dari tautan QR.
- Aktifkan Keamanan Tambahan: Gunakan autentikasi dua faktor (2FA) pada semua akun penting untuk mencegah akses tidak sah meskipun kredensial berhasil dicuri.
Mitos vs Fakta Seputar Quishing
| Mitos di Masyarakat | Fakta Lapangan |
|---|---|
| Memindai QR code secara otomatis mengunduh virus ke ponsel. | Pemindaian hanya membuka tautan web. Infeksi terjadi jika pengguna mengunduh file atau memasukkan data di situs berbahaya. |
| QR code memiliki sistem keamanan bawaan yang terverifikasi. | Siapa pun dapat membuat kode QR gratis dalam hitungan detik untuk mengarahkan ke URL apa pun tanpa verifikasi identitas. |
| Quishing hanya menyerang transaksi perbankan. | Serangan ini juga menargetkan kredensial media sosial, akun email korporat, hingga akses sistem internal perusahaan. |