QR Code Memudahkan Hidup, tetapi Bisa Menjadi Perangkap
QR Code kini menjadi bagian dari kehidupan sehari-hari. Kita menggunakannya untuk membuka menu restoran, melakukan pembayaran, mendapatkan tiket, mengakses promosi, hingga membuka halaman web tertentu.
Namun, kemudahan tersebut juga dimanfaatkan oleh pelaku kejahatan siber.
Salah satu modus yang semakin mendapat perhatian adalah quishing, istilah yang berasal dari QR Code phishing. Secara sederhana, quishing adalah teknik phishing yang memanfaatkan QR Code untuk mengarahkan seseorang menuju situs web berbahaya atau halaman palsu yang dirancang untuk mencuri informasi.
Federal Trade Commission (FTC) Amerika Serikat telah memperingatkan bahwa penipu dapat menyembunyikan tautan berbahaya di dalam QR Code. Kode tersebut dapat mengarahkan korban ke situs palsu untuk mencuri informasi pribadi maupun memasang malware pada perangkat.
Artinya, masalahnya bukan pada teknologi QR Code itu sendiri. Yang berbahaya adalah tujuan di balik QR Code tersebut.
Apa Itu Quishing?
Quishing merupakan bentuk phishing yang menggunakan QR Code sebagai media untuk menyembunyikan alamat internet atau URL.
Dalam phishing konvensional, korban biasanya menerima tautan melalui email, SMS, atau pesan instan. Pada quishing, tautan tersebut disamarkan dalam bentuk QR Code.
Cara kerjanya relatif sederhana:
-
Penipu membuat QR Code yang mengarah ke situs berbahaya.
-
QR Code disebarkan melalui email, pesan, poster, stiker, atau media lainnya.
-
Korban memindai QR Code menggunakan kamera ponsel.
-
Perangkat membuka alamat web yang terdapat di balik QR Code.
-
Situs tersebut dibuat menyerupai halaman resmi.
-
Korban memasukkan username, password, nomor kartu, data pribadi, atau informasi pembayaran.
-
Data tersebut kemudian dapat dimanfaatkan oleh pelaku.
Dalam skenario tertentu, QR Code juga dapat digunakan untuk mengarahkan korban ke halaman yang mencoba mengunduh perangkat lunak berbahaya.
Microsoft juga menjelaskan bahwa QR Code phishing menjadi teknik yang menarik bagi pelaku phishing karena QR Code berbentuk gambar dan dapat membantu mengarahkan korban dari perangkat yang digunakan untuk menerima email ke perangkat lain, seperti ponsel.
Mengapa Quishing Sulit Dikenali?
Salah satu masalah utama QR Code adalah manusia tidak dapat langsung membaca alamat yang tersimpan di dalam pola kotak-kotaknya.
Ketika melihat tautan mencurigakan dalam email, pengguna mungkin dapat memperhatikan alamat domain sebelum mengkliknya. QR Code tidak memberikan informasi tersebut secara langsung.
Akibatnya, seseorang dapat merasa sedang melakukan tindakan sederhana:
"Saya hanya memindai QR Code."
Padahal, tindakan berikutnya bisa membawa pengguna ke situs yang tidak pernah mereka maksudkan untuk dikunjungi.
Bagaimana Penipu Menjalankan Modus Quishing?
Quishing dapat dilakukan melalui berbagai saluran. Pelaku tidak harus selalu mengirimkan QR Code secara langsung kepada korban.
1. QR Code Palsu di Tempat Umum
Salah satu modus yang cukup sederhana adalah menempelkan QR Code palsu di atas QR Code asli.
Contohnya dapat terjadi pada fasilitas pembayaran atau informasi publik. FTC pernah memperingatkan mengenai kasus penipu yang menutupi QR Code asli pada meteran parkir dengan QR Code milik mereka sendiri.
Secara visual, korban mungkin mengira QR Code tersebut merupakan bagian resmi dari fasilitas.
Padahal setelah dipindai, korban dapat diarahkan ke halaman pembayaran palsu.
2. Quishing Melalui Email
Pelaku dapat mengirim email yang tampak seperti berasal dari bank, perusahaan teknologi, layanan pembayaran, marketplace, atau perusahaan pengiriman.
Pesan tersebut biasanya menggunakan alasan yang membuat korban merasa harus segera bertindak.
Misalnya:
-
pembayaran gagal;
-
akun perlu diverifikasi;
-
ada aktivitas mencurigakan;
-
paket tidak dapat dikirim;
-
rekening perlu diperbarui;
-
dokumen penting harus dikonfirmasi.
QR Code kemudian disisipkan di dalam email.
Microsoft melaporkan bahwa QR Code phishing mengalami peningkatan tajam pada kuartal pertama 2026. Menurut Microsoft Security, volume serangan yang terdeteksi meningkat dari sekitar 7,6 juta pada Januari menjadi 18,7 juta pada Maret 2026, atau naik sekitar 146 persen dalam periode tersebut.
Angka tersebut menunjukkan bahwa penggunaan QR Code sebagai bagian dari serangan phishing bukan sekadar teori, tetapi merupakan teknik yang terus berkembang.
3. QR Code pada Paket yang Tidak Pernah Dipesan
Modus lain adalah menyertakan QR Code di dalam paket yang tidak pernah dipesan.
FBI pada Juli 2025 memperingatkan mengenai skema yang menggunakan paket tidak diminta dan QR Code untuk mengarahkan korban agar memberikan informasi pribadi atau finansial, atau tanpa sadar mengunduh perangkat lunak berbahaya.
FTC juga kembali memperingatkan mengenai modus serupa pada Agustus 2026. Paket yang tidak dipesan dapat berisi catatan dengan QR Code yang meminta penerima memindainya untuk mengetahui pengirim atau memproses pengembalian barang.
Ini menjadi contoh bahwa penipu tidak selalu membutuhkan email atau SMS untuk melakukan quishing.
Apa yang Bisa Dicuri melalui Quishing?
Dampak quishing sangat bergantung pada tujuan situs atau perangkat lunak yang digunakan pelaku.
Data Login
Situs palsu dapat dibuat menyerupai halaman login bank, email, media sosial, marketplace, atau layanan digital.
Jika korban memasukkan username dan password, informasi tersebut dapat diterima oleh pelaku.
Masalahnya menjadi lebih serius apabila korban menggunakan password yang sama di berbagai layanan.
Informasi Keuangan
Halaman palsu juga dapat meminta:
-
nomor kartu;
-
tanggal kedaluwarsa;
-
kode keamanan;
-
informasi rekening;
-
data pembayaran;
-
atau informasi identitas lainnya.
Informasi tersebut dapat digunakan untuk berbagai bentuk penipuan.
Malware
Tidak semua quishing bertujuan mencuri password secara langsung.
QR Code dapat mengarahkan pengguna ke halaman yang mencoba membuat mereka mengunduh file atau aplikasi berbahaya.
FBI menjelaskan bahwa QR Code berbahaya dapat digunakan untuk mengarahkan korban ke portal pembayaran palsu atau menyebabkan malware masuk ke perangkat.
Karena itu, pengguna tidak seharusnya menganggap pemindaian QR Code sebagai tindakan yang selalu aman.
Ciri-Ciri QR Code yang Patut Dicurigai
Tidak ada satu ciri yang dapat menjamin sebuah QR Code adalah penipuan. Namun, beberapa tanda berikut patut membuat Anda berhenti sejenak.
QR Code Berasal dari Sumber Tidak Dikenal
Jangan langsung memindai QR Code yang diterima dari orang, email, pesan, atau paket yang tidak Anda kenal.
FBI secara eksplisit menyarankan masyarakat untuk tidak memindai QR Code dari sumber yang tidak dikenal.
Ada Tekanan untuk Segera Bertindak
Pesan seperti "akun akan diblokir hari ini", "pembayaran harus dikonfirmasi sekarang", atau "scan dalam 10 menit" patut dicurigai.
Tekanan waktu merupakan salah satu teknik klasik yang digunakan penipu agar korban tidak sempat melakukan verifikasi. FTC juga menyebut tekanan untuk segera bertindak sebagai salah satu tanda umum penipuan.
QR Code Tampak Seperti Stiker Tambahan
Jika QR Code di fasilitas umum terlihat seperti ditempel di atas kode lain, jangan langsung memindainya.
Perhatikan apakah terdapat tanda-tanda perubahan, lapisan stiker, kualitas cetakan yang berbeda, atau desain yang tidak sesuai dengan fasilitas di sekitarnya.
Cara Aman Memindai QR Code
Teknologi QR Code tetap sangat berguna. Yang perlu diperbaiki adalah kebiasaan pengguna ketika berinteraksi dengannya.
1. Periksa URL Setelah Memindai
Ini adalah salah satu kebiasaan paling penting.
Setelah QR Code dipindai, jangan langsung memasukkan informasi.
Perhatikan alamat situs yang terbuka.
Periksa:
-
nama domain;
-
kesalahan ejaan;
-
tambahan karakter yang aneh;
-
penggunaan domain yang tidak sesuai;
-
dan apakah alamat tersebut benar-benar milik organisasi yang dimaksud.
FTC secara khusus menyarankan pengguna memeriksa URL setelah memindai QR Code dan memperhatikan kesalahan ejaan atau perubahan huruf yang dapat digunakan untuk meniru situs asli.
2. Jangan Masukkan Password Hanya karena QR Code Memintanya
Jika QR Code mengarahkan Anda ke halaman login, berhenti dan pikirkan kembali.
Jika memang ingin masuk ke layanan tertentu, lebih aman membuka aplikasi resmi atau mengetik alamat situs yang sudah Anda kenal secara manual.
3. Untuk Pembayaran, Verifikasi Nama Penerima
Jangan hanya melihat bahwa halaman pembayaran terlihat profesional.
Sebelum menyelesaikan transaksi, periksa kembali informasi penerima, nominal, dan detail transaksi pada aplikasi resmi yang digunakan.
4. Hindari QR Code dari Email atau Pesan Tak Terduga
Jika menerima email yang meminta Anda memindai QR Code untuk memperbaiki akun, jangan langsung mengikuti instruksinya.
FTC menyarankan agar pengguna yang menerima permintaan mencurigakan menghubungi perusahaan melalui situs atau nomor telepon yang diketahui benar, bukan menggunakan informasi kontak yang diberikan dalam pesan tersebut.
5. Selalu Perbarui Sistem dan Aplikasi
Pembaruan sistem operasi dan aplikasi bukan hanya menghadirkan fitur baru.
Pembaruan juga dapat memperbaiki celah keamanan.
Gunakan pula autentikasi multifaktor (MFA) pada akun penting. FBI merekomendasikan MFA sebagai lapisan tambahan perlindungan untuk akun digital, termasuk akun finansial dan layanan penting lainnya.
Bagaimana Jika Terlanjur Memindai QR Code Mencurigakan?
Jangan langsung panik.
Risiko terbesar biasanya muncul apabila setelah pemindaian Anda melakukan tindakan tambahan seperti memasukkan data login, memberikan informasi keuangan, mengunduh aplikasi, atau memberikan izin tertentu.
Jika hanya memindai dan langsung menutup halaman tanpa memasukkan data atau mengunduh sesuatu, tetap lakukan pemeriksaan, tetapi jangan mengambil kesimpulan bahwa akun Anda pasti telah diretas.
Jika sudah memasukkan username dan password, segera ganti password dari situs atau aplikasi resmi. Jika password tersebut digunakan pada layanan lain, ubah juga di sana.
FTC menyarankan korban yang memberikan username dan password kepada penipu untuk segera membuat password baru yang kuat dan menggantinya di layanan lain apabila menggunakan password yang sama.
Jika informasi keuangan telah diberikan, segera hubungi bank atau penyedia layanan pembayaran melalui kanal resmi dan pantau transaksi.
Jika perangkat mengunduh sesuatu yang mencurigakan, jangan membukanya. Perbarui perangkat, jalankan pemeriksaan keamanan, dan pertimbangkan meminta bantuan profesional apabila terdapat indikasi malware.
Quishing Mengajarkan Kita untuk Tidak Terlalu Percaya pada QR Code
QR Code pada dasarnya hanyalah sebuah teknologi untuk menyimpan dan menyampaikan informasi secara cepat. QR Code bukan teknologi yang otomatis aman maupun otomatis berbahaya.
Masalah muncul ketika pengguna menganggap proses "scan" sebagai tindakan yang tidak memiliki risiko.
Padahal, QR Code dapat menjadi pintu menuju sebuah situs web. Dan seperti tautan lainnya, alamat tersebut dapat mengarah ke halaman yang aman maupun halaman yang dibuat untuk menipu.
Karena itu, kebiasaan sederhana dapat membuat perbedaan besar: scan bukan berarti langsung percaya.
Berhenti sejenak, periksa URL, verifikasi sumber, dan jangan memasukkan informasi sensitif apabila ada sesuatu yang terasa tidak masuk akal.
Kesimpulan
Quishing merupakan perkembangan dari teknik phishing yang memanfaatkan popularitas QR Code. Modusnya dapat muncul melalui email, pesan, poster, fasilitas publik, hingga paket yang tidak pernah dipesan.
FBI, FTC, dan Microsoft telah mendokumentasikan berbagai bentuk penyalahgunaan QR Code dalam penipuan dan serangan phishing. Bahkan, data Microsoft menunjukkan peningkatan besar volume QR Code phishing pada awal 2026.
Pelajaran terpenting bagi pengguna internet adalah sederhana: jangan menganggap QR Code aman hanya karena terlihat resmi.
Sebelum memasukkan password, data perbankan, nomor kartu, atau informasi pribadi setelah memindai QR Code, periksa terlebih dahulu alamat situs dan sumber kode tersebut.
Dalam keamanan digital, beberapa detik untuk memeriksa URL bisa jauh lebih berharga daripada beberapa detik yang dihemat dengan langsung mempercayai sebuah QR Code.
Ingat: scan boleh, tetapi tetap verifikasi.
