Penipuan QR code, yang sering disebut quishing, memakai QR code untuk mengarahkan Anda ke situs palsu yang mencuri kata sandi, data kartu atau uang. Karena QR code tidak bisa dibaca dengan mata, penipu menyembunyikan tautan berbahaya di dalamnya. Pertahanan terbaik sederhana: selalu periksa pratinjau tautan sebelum membuka atau membayar.
QR code memang praktis, dan justru itulah alasan penjahat menyukainya. Berikut cara kerja quishing dan cara mengenalinya.
Apa itu quishing?
Quishing adalah gabungan kata "QR" dan "phishing". Phishing adalah segala tipu daya yang berpura-pura menjadi organisasi tepercaya, seperti bank, perusahaan ekspedisi atau instansi pemerintah, agar Anda menyerahkan informasi sensitif. Quishing melakukan hal yang sama, tetapi tautan palsunya dikirim lewat QR code, bukan tautan yang bisa diklik.
Cara ini efektif bagi penipu karena beberapa alasan:
- Anda tidak bisa melihat tautannya. QR code terlihat sama saja, entah mengarah ke bank Anda atau ke tiruannya.
- Anda dipindahkan ke ponsel. Di layar kecil, lebih sulit memeriksa bilah alamat atau menyadari nama domain yang sedikit salah ejaan.
- Bisa lolos dari filter. Filter email dan pesan cukup pandai mendeteksi tautan mencurigakan dalam teks, tetapi tautan yang tersembunyi di dalam gambar lebih sulit ditangkap.
- Orang percaya pada QR code. Kita scan QR code di restoran dan toko setiap hari, sehingga jarang berhenti untuk berpikir.
Lembaga perlindungan konsumen dan bank di banyak negara telah memperingatkan masyarakat tentang penipuan QR code, terutama kode palsu di mesin parkir, papan pembayaran dan di email.
Di mana penipuan QR code muncul
Quishing bisa muncul hampir di mana saja orang biasa menemukan QR code. Tempat yang paling umum antara lain:
- Stiker di fasilitas umum. Kode palsu ditempel di atas kode asli pada mesin parkir, stasiun pengisian kendaraan listrik, tempat sewa sepeda atau halte.
- Kasir dan meja pembayaran. QR pembayaran di toko atau lapak pasar diganti sehingga uang masuk ke penipu, bukan ke pedagang.
- Email. Pesan yang mengklaim kata sandi Anda akan kedaluwarsa, ada dokumen yang harus ditandatangani atau akun Anda diblokir, lengkap dengan QR code untuk "memperbaikinya".
- Surat dan pemberitahuan paket. Kartu "paket gagal dikirim" palsu atau surat yang tampak resmi yang meminta Anda scan dan membayar biaya kecil.
- Brosur dan poster. Penawaran yang terlalu bagus untuk jadi kenyataan, seperti hadiah gratis atau diskon besar, yang mengarah ke toko palsu atau formulir pengumpul data.
- Media sosial dan pesan chat. Kode yang dibagikan di grup atau pesan pribadi, sering dengan nada mendesak.
Untuk skenario nyata yang lebih rinci, lihat panduan kami tentang modus penipuan QR code yang umum.
Tanda-tanda QR code palsu
Anda tidak perlu keahlian teknis untuk mengenali sebagian besar penipuan QR. Perhatikan tanda bahaya berikut:
- Stiker di atas kode lain. Raba kodenya dengan jari. Jika terasa menonjol, ujungnya mengelupas atau tampak lebih baru dari papan di sekitarnya, patut dicurigai.
- Tautan yang tidak cocok. Pratinjau menampilkan domain yang bukan milik organisasi aslinya, ejaannya aneh, atau berupa deretan karakter acak yang panjang.
- Desakan atau ancaman. "Akun Anda akan ditutup hari ini" atau "bayar dalam satu jam" adalah taktik menekan yang klasik.
- Permintaan login atau data kartu. Mesin parkir, menu atau pemberitahuan paket hampir tidak pernah memerlukan kata sandi m-banking Anda.
- Unduhan aplikasi yang tidak Anda harapkan. Sangat berhati-hatilah jika QR code meminta Anda memasang aplikasi, terutama dari luar toko aplikasi resmi.
- QR code di email yang meminta Anda login. Layanan yang sah biasanya membiarkan Anda masuk dengan membuka situs atau aplikasinya secara langsung.
- Nama penerima yang salah saat membayar. Jika nama yang muncul di aplikasi bank bukan toko yang Anda bayar, hentikan.
Cara melindungi diri dari penipuan QR code
Kebiasaan yang baik membuat quishing jauh kurang efektif. Berikut daftar periksa praktisnya:
- Baca pratinjau terlebih dahulu. Kamera menampilkan tautan sebelum membukanya. Luangkan dua detik untuk membaca domainnya.
- Buka langsung jika ragu. Daripada scan, ketik sendiri alamat situs perusahaan atau buka aplikasi resminya.
- Periksa penerima sebelum membayar. Aplikasi bank menampilkan siapa yang akan menerima uang. Pastikan cocok dengan usaha yang Anda bayar. Panduan kami tentang keamanan pembayaran QR membahasnya secara rinci.
- Jangan pernah memasukkan kata sandi setelah scan kode yang tidak dikenal. Jika sebuah halaman meminta Anda login, tutup dan masuklah melalui aplikasi resmi.
- Aktifkan verifikasi dua langkah. Bahkan jika kata sandi dicuri, aplikasi autentikator menambahkan penghalang kedua.
- Selalu perbarui ponsel. Pembaruan keamanan menambal celah yang mungkin dimanfaatkan halaman berbahaya.
- Gunakan pemindai yang menampilkan pratinjau dengan aman. Saat ragu, scan kode dengan alat yang menunjukkan tujuannya sebelum membuka apa pun.
Di QR-TH, setiap tautan pendek diperiksa dengan Google Safe Browsing saat dibuat dan diperiksa ulang setiap malam. Pengunjung juga bisa melihat halaman loading yang menunjukkan ke mana tautan mengarah sebelum dibuka. Alat seperti ini membantu, tetapi paling efektif bila digabungkan dengan kewaspadaan Anda sendiri.
Yang harus dilakukan jika terlanjur scan QR code palsu
Jika Anda sadar telah membuka halaman mencurigakan, bertindaklah cepat tetapi tenang:
- Tutup halaman dan jangan memasukkan apa pun lagi.
- Jika Anda sempat mengetik kata sandi, segera ganti di situs aslinya, dan di mana pun Anda memakai kata sandi yang sama.
- Jika Anda memasukkan data kartu atau rekening, segera hubungi bank melalui nomor di kartu atau di aplikasi resminya.
- Jika Anda memasang aplikasi, hapus aplikasi itu dan jalankan pemeriksaan keamanan ponsel.
- Laporkan kode tersebut ke pemilik usaha atau pengelola tempat agar bisa dicopot, dan ke pihak berwenang jika ada uang yang hilang.
Panduan langkah demi langkah kami tentang apa yang harus dilakukan setelah scan QR code berbahaya membahasnya lebih dalam.
Tips untuk pelaku usaha
Jika Anda memajang QR code, Anda bisa mempersulit penipu. Periksa kode cetak secara rutin untuk melihat adanya stiker, latih karyawan agar peka terhadap tanda manipulasi, dan gunakan QR code dinamis di domain yang Anda kendalikan agar bisa melihat statistik scan dan memperbarui tautan dengan cepat. Mencetak nama usaha di samping kode pembayaran juga membantu pelanggan memastikan mereka membayar ke pihak yang benar.
FAQ
Apakah scan QR code bisa membuat ponsel saya diretas?
Sekadar scan QR code tidak meretas ponsel Anda. Bahayanya datang dari langkah berikutnya: membuka situs palsu, memasukkan data atau memasang aplikasi. Selalu periksa tautan sebelum membukanya.
Bagaimana cara mengetahui QR code palsu?
Cari stiker yang ditempel di atas kode lain, baca pratinjau tautan dengan teliti, dan curigai halaman yang meminta kata sandi, data kartu atau pembayaran mendesak. Jika ragu, buka langsung situs resminya.
Apakah QR code di email aman?
Perlakukan dengan ekstra hati-hati. QR code di email yang meminta Anda login, memverifikasi akun atau membayar biaya adalah trik phishing yang umum. Buka layanannya secara langsung daripada scan.
Ke mana saya harus melaporkan penipuan QR code?
Beri tahu pemilik usaha atau pengelola tempat Anda menemukan kode itu, hubungi bank jika melibatkan uang atau data kartu, dan laporkan ke polisi atau lembaga perlindungan konsumen setempat.
Quishing mengandalkan orang yang scan tanpa berpikir. Jeda dua detik untuk membaca tautan sering kali sudah cukup untuk tetap aman. Lain kali Anda ragu terhadap sebuah kode, gunakan pemindai QR online QR-TH untuk melihat ke mana sebenarnya kode itu mengarah sebelum membukanya.