Quishing adalah bentuk serangan siber baru yang menggabungkan teknik phishing tradisional dengan penggunaan kode QR (Quick Response). Penjahat siber menempelkan atau menyebarkan kode QR palsu di tempat umum, dokumen resmi, atau email phishing untuk mengarahkan korban ke situs web berbahaya, mengunduh malware, atau mencuri kredensial akun sensitif.
Ancaman quishing meningkat seiring tingginya adopsi pembayaran nirsentuh dan akses menu digital. Karena kode QR tidak dapat dibaca isinya secara visual oleh manusia sebelum dipindai, metode ini menjadi celah favorit bagi pelaku kejahatan untuk mengecoh pengguna smartphone tanpa disadari.
Anatomi Serangan Quishing dan Modus Operandi
Modus operandi quishing umumnya menyasar kelengahan pengguna melalui berbagai media fisik maupun digital. Pelaku memanfaatkan asumsi bahwa kode QR selalu aman karena sering digunakan untuk keperluan administratif yang sah.
| Media Penyebaran | Bentuk Modus Operandi | Tujuan Utama Pelaku |
|---|---|---|
| Stiker Fisik di Tempat Umum | Menimpa stiker QR code asli pada mesin parkir, meja restoran, atau brosur promosi dengan stiker palsu. | Mengarahkan korban ke situs web tiruan perbankan atau dompet digital untuk mencuri PIN dan OTP. |
| Email Phishing (Malicious Email) | Mengirimkan dokumen PDF atau gambar berisi QR code dengan dalih verifikasi akun, hadiah, atau tagihan pajak. | Menghindari deteksi filter spam berbasis teks yang biasa digunakan oleh layanan email. |
| Iklan Media Sosial Palsu | Menawarkan diskon atau investasi menarik yang mewajibkan pemindaian kode QR untuk klaim hadiah. | Menginstal aplikasi berbahaya (malware/APK) ke perangkat korban secara diam-diam. |
Langkah Teknis dan Tips Terhindar Dari Quishing
Melindungi diri dari serangan quishing memerlukan kehati-hatian ekstra setiap kali Anda hendak memindai kode QR. Terapkan langkah-langkah preventif berikut untuk meminimalisir risiko:
- Periksa Fisik Kode QR: Pastikan kode QR pada fasilitas umum (seperti tempat parkir atau restoran) tidak menggunakan stiker tambahan yang ditempel menimpa kode aslinya.
- Gunakan Pemindai yang Menampilkan URL: Selalu gunakan aplikasi kamera bawaan ponsel pintar atau aplikasi pemindai yang menampilkan pratinjau URL lengkap sebelum Anda membuka tautan tersebut.
- Analisis Domain Tujuan: Periksa ejaan domain pada tautan hasil pemindaian. Penjahat sering menggunakan domain tiruan yang mirip dengan merek resmi (misalnya menggunakan typosquatting).
- Jangan Masuk (Login) Melalui Tautan QR Sembarangan: Jika pemindaian mengarahkan Anda ke halaman login, pastikan Anda mengetik alamat situs web resminya secara manual di browser alih-alih melanjutkan dari tautan QR.
- Aktifkan Keamanan Tambahan: Gunakan perangkat lunak keamanan atau fitur proteksi tautan yang tersedia pada sistem operasi modern untuk memblokir situs berbahaya secara otomatis.
Mitigasi dan Tindakan Jika Telah Memindai QR Palsu
Jika Anda telanjur memindai kode QR yang mencurigakan atau memasukkan data pribadi pada situs web palsu, segera lakukan langkah darurat untuk mengamankan akun dan perangkat Anda:
- Putuskan sambungan internet perangkat (matikan data seluler dan Wi-Fi) untuk menghentikan komunikasi data dengan server penyerang.
- Ubah kata sandi akun penting (perbankan, email, media sosial) segera dari perangkat lain yang aman.
- Hubungi layanan darurat bank atau institusi terkait jika Anda mendapati transaksi yang tidak sah atau telah memasukkan data finansial.
- Lakukan pemindaian antivirus atau malware pada perangkat untuk memastikan tidak ada aplikasi berbahaya yang terunduh otomatis.