Quishing atau QR code phishing adalah metode serangan siber yang menggunakan kode QR untuk menyembunyikan URL berbahaya, mengelabui filter keamanan email, dan mencuri data pribadi atau kredensial pengguna. Dalam konteks layanan email seperti Gmail, ancaman ini memanfaatkan gambar kode QR di dalam pesan untuk mengalihkan korban ke situs tiruan tanpa terdeteksi oleh pemindai tautan konvensional.
Meskipun Gmail dilengkapi dengan sistem pengelolaan pesan yang intuitif, efisien, serta fitur penekanan spam bawaan dengan kapasitas penyimpanan yang luas, penyerang terus mencari celah baru melalui media visual seperti kode QR. Serangan ini sangat lihai karena dapat menghindari sistem keamanan pesan berbasis teks yang umumnya diandalkan oleh banyak organisasi.
Bagaimana Cara Kerja Quishing di Gmail?
Serangan quishing dimulai ketika pengguna menerima email yang tampak sah, sering kali menyamar sebagai pemberitahuan penting dari layanan terpercaya, langganan, atau institusi resmi. Alih-alih menyertakan tautan teks (hyperlink) yang dapat dianalisis oleh filter keamanan Gmail, pesan tersebut melampirkan sebuah gambar atau menyematkan kode QR langsung di badan email.
Ketika korban memindai kode QR tersebut menggunakan perangkat seluler mereka—yang sering kali memiliki pertahanan keamanan lebih longgar dibandingkan komputer kerja—mereka diarahkan ke halaman login palsu. Halaman tersebut dirancang sedemikian rupa untuk mencuri kata sandi, token autentikasi, atau informasi sensitif lainnya.
| Aspek Serangan | Phishing Konvensional (Tautan Teks) | Quishing (Kode QR pada Email) |
|---|---|---|
| Media Utama | URL berbasis teks atau tombol tautan | Gambar berisi kode QR |
| Deteksi Filter Keamanan | Sangat mudah dideteksi oleh pemindai URL standar | Sering kali lolos karena filter tidak membaca teks di dalam gambar |
| Perangkat Target | Komputer desktop dan perangkat seluler | Umumnya menargetkan kamera dan pemindai di ponsel pintar |
| Tingkat Kewaspadaan Korban | Pengguna lebih mudah melihat pratinjau URL | Pengguna sulit mengetahui tujuan akhir sebelum memindai |
Mengapa Filter Email Sering Kecolongan?
Sebagian besar sistem keamanan email dirancang untuk menganalisis teks, domain, dan struktur kode HTML di dalam pesan. Ketika penyerang menyembunyikan tautan berbahaya di dalam gambar kode QR, pemindai otomatis tidak dapat "membaca" alamat tujuan secara langsung tanpa melakukan ekstraksi karakter optik (OCR) tingkat lanjut.
Selain itu, karena gambar tersebut sering kali di-host di platform pihak ketiga yang sah atau dikirim langsung sebagai lampiran gambar biasa, pesan tersebut berhasil melewati pertahanan awal spam blocker dan masuk ke kotak masuk utama pengguna.
Langkah Perlindungan dari Ancaman Quishing
Melindungi diri dan organisasi dari serangan quishing memerlukan kombinasi kesadaran pengguna serta penerapan kebijakan keamanan yang ketat:
- Hindari Memindai Kode QR Sembarangan: Jangan pernah memindai kode QR yang diterima dari sumber yang tidak dikenal, terutama yang mendesak tindakan cepat seperti verifikasi akun atau pembaruan data.
- Gunakan Aplikasi Pemindai yang Aman: Manfaatkan aplikasi pembaca kode QR yang memiliki fitur keamanan untuk menampilkan URL tujuan sebelum membukanya di peramban web.
- Periksa Pengirim Secara Teliti: Verifikasi keaslian alamat email pengirim, bahkan jika tampilannya menyerupai entitas resmi.
- Tingkatkan Kesadaran Keamanan: Lakukan pelatihan berkala bagi karyawan atau anggota organisasi untuk mengenali tren ancaman berbasis gambar ini.