Email phishing QR code meminta Anda scan sebuah kode, biasanya untuk "verifikasi ulang" akun, menandatangani dokumen atau mengatur ulang kata sandi. Penyerang memakai QR code karena filter email bisa kesulitan membaca tautan di dalam gambar, dan karena scan memindahkan Anda ke ponsel, tempat halaman login palsu lebih sulit dikenali.
Phishing sudah ada sejak email ada, tetapi varian QR code, yang sering disebut quishing, adalah modus yang lebih baru. Alih-alih tautan biru yang bisa Anda arahkan kursor untuk dicek, yang ada hanyalah gambar persegi. Panduan ini menjelaskan mengapa penyerang menyukai cara ini, seperti apa biasanya email tersebut, dan apa yang bisa dilakukan karyawan maupun perusahaan untuk melindungi diri.
Mengapa penyerang memasukkan QR code ke email
Dari sudut pandang penjahat, QR code menyelesaikan beberapa masalah sekaligus.
- Menyembunyikan tautan. Orang tidak bisa membaca QR code, jadi alamat web yang mencurigakan tidak terlihat sekilas.
- Bisa lolos dari filter. Banyak alat keamanan email mencocokkan tautan teks dengan daftar situs berbahaya yang sudah dikenal. Tautan di dalam gambar lebih sulit diperiksa, meski alat modern semakin banyak yang juga memindai gambar.
- Memindahkan Anda ke perangkat lain. Anda membaca email di laptop kantor yang dilindungi sistem keamanan perusahaan, tetapi scan dengan ponsel pribadi yang mungkin perlindungannya lebih sedikit.
- Layar kecil menyembunyikan detail. Di ponsel, kolom alamat pendek, dan halaman login palsu tampak sangat mirip dengan yang asli.
- Terkesan modern dan resmi. QR code dipakai bank, maskapai dan perusahaan, jadi kode di dalam email tidak otomatis menimbulkan curiga.
Seperti apa email phishing QR code
Isinya beragam, tetapi biasanya mengikuti pola yang mirip. Tema yang umum antara lain:
- "Kata sandi Anda kedaluwarsa hari ini. Scan untuk mempertahankan kata sandi saat ini."
- "Autentikasi multifaktor harus diaktifkan ulang. Scan dengan ponsel Anda."
- "Ada dokumen yang dibagikan kepada Anda. Scan untuk melihat."
- "Rincian gaji atau bonus Anda telah diperbarui."
- "Sebuah paket atau tagihan memerlukan konfirmasi Anda."
Tanda bahaya yang khas:
- Mendesak: tenggat waktu singkat atau ancaman akun akan diblokir.
- Pengirim janggal: nama tampilan bertuliskan "IT Support" atau merek terkenal, tetapi alamat emailnya tidak cocok.
- Sedikit teks, kode besar: pesan sebagian besar berupa gambar berisi QR code dan instruksi singkat.
- Sapaan umum alih-alih nama Anda.
- Halaman login setelah scan: kode mengarah ke halaman yang meminta email dan kata sandi kantor, atau kode OTP.
Poin terakhir paling penting. Divisi IT yang asli hampir tidak pernah meminta Anda login lewat QR code yang dikirim melalui email.
Apa yang harus dilakukan jika menerimanya
Jika Anda karyawan dan menerima email QR code yang mencurigakan:
- Jangan scan dengan ponsel Anda.
- Jangan teruskan ke rekan kerja untuk bertanya apakah asli, karena bisa saja ada yang men-scan-nya.
- Laporkan lewat tombol pelaporan phishing perusahaan atau hubungi IT melalui saluran yang sudah Anda kenal.
- Cek akun sendiri. Jika email menyebut kata sandi atau dokumen, buka layanannya langsung lewat alamat atau aplikasi yang biasa dipakai.
- Hapus setelah dilaporkan, jika prosedur perusahaan memintanya.
Jika Anda sudah terlanjur scan dan memasukkan data, bertindaklah cepat. Ganti kata sandi, segera beri tahu IT, dan ikuti langkah-langkah dalam panduan kami tentang apa yang harus dilakukan setelah terlanjur scan QR code berbahaya.
Di luar pekerjaan, kebiasaan yang sama berlaku. Jika Anda ingin tahu ke mana sebuah kode mengarah tanpa membukanya, pemindai yang menampilkan tujuan lebih dulu, seperti pemindai QR online QR-TH, memungkinkan Anda melihat sebelum mengklik.
Cara perusahaan melindungi karyawan
Tidak ada satu alat pun yang bisa menghentikan semua upaya phishing QR code. Perlindungan yang baik menggabungkan teknologi, proses dan manusia.
Email dan alat keamanan
- Gunakan keamanan email yang mampu mendeteksi QR code di gambar dan lampiran serta mengecek tautan di dalamnya
- Pastikan pengecekan tautan dan perlindungan safe browsing aktif di perangkat kantor dan, jika sesuai, di ponsel yang dikelola perusahaan
- Tandai dengan jelas email dari luar organisasi, terutama yang memakai nama yang terdengar seperti nama internal
Perlindungan login yang kuat
- Wajibkan autentikasi multifaktor untuk semua akun karyawan
- Utamakan metode yang tahan phishing, seperti passkey atau kunci keamanan, jika memungkinkan, karena kode OTP masih bisa dipancing keluar di halaman palsu
- Dorong penggunaan aplikasi autentikator dibanding SMS. Panduan kami tentang autentikasi dua faktor menjelaskan pilihannya.
- Pantau login yang tidak biasa, seperti login dari negara atau perangkat baru
Proses yang jelas
- Jadikan aturan yang diketahui semua orang bahwa IT tidak akan pernah meminta karyawan login lewat QR code di email
- Sediakan satu cara sederhana untuk melaporkan pesan mencurigakan, dan berterima kasihlah kepada yang memakainya
- Siapkan rencana untuk segera mengatur ulang kata sandi dan mengakhiri sesi saat ada yang melaporkan kesalahan
Pelatihan yang membekas
- Tunjukkan contoh email phishing QR code yang tampak nyata dalam pelatihan
- Ajarkan pertanyaan sederhana: "Mengapa ini perlu QR code?"
- Jalankan simulasi phishing yang menyertakan QR code, diikuti umpan balik yang ramah, bukan menyalahkan
Karyawan yang merasa aman melaporkan kesalahan akan melapor lebih cepat, sehingga kerugian bisa dibatasi.
QR code yang sah di email
Tidak semua QR code di email berbahaya. E-tiket acara, boarding pass dan sebagian proses penautan login memang memakainya. Bedanya biasanya ada pada konteks: Anda memang menunggu email itu, isinya berkaitan dengan sesuatu yang Anda lakukan, dan kodenya adalah sesuatu yang Anda tunjukkan atau pakai di aplikasi yang dikenal, bukan alasan untuk mengetik kata sandi di halaman asing.
Bisnis yang mengirim QR code asli bisa membantu dengan menjelaskan fungsi kode tersebut, menyertakan tautan yang mudah dikenali sebagai alternatif, dan memakai domain tepercaya.
FAQ
Mengapa email phishing memakai QR code, bukan tautan?
Karena tautannya tersembunyi dari manusia maupun sebagian filter, dan karena scan memindahkan korban ke ponsel, tempat kontrol keamanan dan petunjuk visual sering lebih lemah.
Bisakah penyedia email saya memblokir phishing QR code?
Banyak layanan keamanan email kini memindai gambar untuk mencari QR code dan mengecek tautannya, tetapi tidak ada yang bisa menangkap semuanya. Kewaspadaan Anda sendiri tetap menjadi lapisan perlindungan yang penting.
Apakah aman scan QR code di email dari bank saya?
Berhati-hatilah. Bank jarang meminta Anda login lewat QR code di email. Buka aplikasi resmi bank atau ketik sendiri alamat situsnya.
Apa yang harus saya lakukan jika sudah memasukkan kata sandi kantor setelah scan?
Segera ganti kata sandi, beri tahu tim IT atau keamanan, dan biarkan mereka memeriksa login yang mencurigakan. Kecepatan sangat menentukan.
Lihat dulu sebelum membuka
Phishing QR code berhasil ketika orang scan tanpa berpikir. Jadikan pengecekan sebagai kebiasaan: saat kode yang tidak terduga masuk, gunakan alat scan QR code online QR-TH untuk melihat tujuannya sebelum membuka apa pun.