Jika Anda terlanjur scan QR code berbahaya, jangan panik: dalam banyak kasus, scan saja tidak menimbulkan bahaya. Risiko sebenarnya datang dari apa yang terjadi sesudahnya. Tutup halamannya, lalu cek apakah Anda mengetik kata sandi, memasukkan data kartu, membayar, memasang aplikasi atau memberi izin, dan tangani masing-masing segera.
Pertama, pastikan apa yang sebenarnya terjadi
QR code hanyalah cara menyimpan teks, biasanya alamat web. Saat kamera membacanya, ponsel biasanya menampilkan tautannya dan menunggu Anda mengetuknya. Jadi pertanyaan pentingnya bukan "Apakah saya scan?" melainkan "Apa yang saya lakukan setelah scan?"
Ingat kembali dan jujurlah pada diri sendiri. Apakah Anda:
- Hanya melihat pratinjau, lalu menutupnya tanpa membuka apa pun?
- Membuka halaman web tetapi tidak memasukkan apa-apa?
- Mengetik nama pengguna, kata sandi atau kode OTP di halaman login?
- Memasukkan data kartu, data rekening atau data pribadi seperti NIK atau alamat?
- Membayar, misalnya lewat QR pembayaran atau halaman parkir maupun pengiriman paket palsu?
- Mengunduh dan memasang aplikasi atau "profil", atau mengizinkan notifikasi?
Setiap jawaban mengarah ke langkah berikutnya yang berbeda. Jika Anda hanya melihat pratinjau, hampir pasti Anda aman. Jika Anda hanya membuka halaman tanpa mengetik apa pun, risikonya rendah, tetapi tetap ada baiknya melakukan beberapa pengecekan singkat.
Langkah demi langkah: lakukan sekarang
Ikuti daftar ini dari atas. Lewati langkah yang tidak berlaku untuk Anda.
- Tutup halaman dan putuskan koneksi jika ada yang terasa janggal. Tutup tab browser. Jika ada unduhan yang berjalan atau ponsel berperilaku aneh, aktifkan mode pesawat selama Anda memeriksa.
- Ganti kata sandi yang Anda masukkan. Lakukan dari aplikasi resmi atau dengan mengetik sendiri alamat situs aslinya, jangan dari tautan di halaman mencurigakan itu. Jika kata sandi tersebut juga Anda pakai di tempat lain, ganti juga di sana.
- Aktifkan verifikasi dua langkah. Tambahkan aplikasi autentikator ke akun yang baru Anda amankan, sehingga kata sandi curian saja tidak lagi cukup. Panduan autentikasi dua faktor kami menjelaskan caranya.
- Hubungi bank jika Anda membagikan data keuangan atau sudah membayar. Gunakan nomor di balik kartu atau di aplikasi m-banking resmi. Minta mereka memblokir kartu, memantau transaksi yang tidak biasa, dan memberi tahu apakah pembayaran bisa disanggah atau ditarik kembali. Kecepatan sangat penting di sini.
- Hapus apa pun yang Anda pasang. Hapus aplikasi, profil konfigurasi atau ekstensi browser yang tidak dikenal. Di Android, pastikan tidak ada aplikasi asing yang punya akses aksesibilitas atau admin perangkat. Cabut izin notifikasi yang Anda berikan ke situs aneh di pengaturan browser.
- Keluar dari sesi lain. Banyak layanan, termasuk email dan media sosial, memungkinkan Anda melihat sesi aktif dan mengeluarkan semua perangkat lain. Lakukan ini setelah mengganti kata sandi.
- Perbarui ponsel dan jalankan pengecekan keamanan. Pasang pembaruan sistem yang tertunda. Di Android, jalankan Google Play Protect; di ponsel apa pun, periksa aplikasi yang baru dipasang.
- Laporkan. Beri tahu bank, layanan yang ditiru dan, bila perlu, polisi atau saluran pengaduan kejahatan siber maupun perlindungan konsumen resmi di negara Anda. Jika QR code itu ada di papan atau mesin fisik, beri tahu bisnis atau instansi pemiliknya agar bisa dicabut.
Jika Anda memasukkan kata sandi atau kode OTP
Halaman phishing di balik QR code biasanya meniru tampilan login yang sudah dikenal, seperti penyedia email, jasa kurir atau bank. Penyerang sering langsung mencoba data curian itu, kadang dalam hitungan menit.
Setelah mengganti kata sandi, periksa akun untuk mencari tanda-tanda diutak-atik:
- Aturan penerusan (forwarding) atau filter baru di email Anda
- Nomor telepon atau email pemulihan yang berubah
- Perangkat atau lokasi tak dikenal di riwayat keamanan atau login
- Pesan terkirim dari akun Anda yang tidak Anda tulis
Jika Anda mengetik kode OTP dari SMS atau aplikasi autentikator ke halaman palsu, anggap saja penyerang mungkin sudah memakainya untuk login. Ganti kata sandi, keluarkan semua sesi, dan segera periksa pengaturan pemulihan.
Jika Anda sudah membayar atau membagikan data kartu
Hubungi bank atau penyedia dompet digital Anda lewat saluran resmi secepat mungkin. Jelaskan bahwa Anda tertipu lewat QR code, sebutkan waktu dan nominalnya, lalu ikuti instruksi mereka. Simpan tangkapan layar bukti pembayaran, nama penerima yang tertera, dan halaman yang Anda buka.
Pantau juga mutasi rekening selama beberapa minggu berikutnya. Penipu kadang menguji kartu dengan transaksi kecil sebelum mencoba nominal yang lebih besar. Jika Anda membagikan NIK atau alamat, ekstra waspadalah terhadap telepon, pesan atau email yang seolah "mengenal" Anda, karena informasi itu bisa membuat penipuan berikutnya lebih meyakinkan.
Khusus untuk QR pembayaran seperti QRIS, baca cara bayar pakai QR code dengan aman, yang membahas cara mengecek nama penerima sebelum konfirmasi.
Jika Anda memasang aplikasi atau profil
Aplikasi yang dipasang dari luar toko aplikasi resmi, termasuk file APK yang dikirim lewat chat, dan profil konfigurasi di iPhone bisa dipakai untuk memata-matai aktivitas atau mencuri data. Hapus dulu, lalu periksa:
- Pengaturan manajemen perangkat atau profil dan hapus apa pun yang tidak Anda kenali
- Izin aksesibilitas dan admin perangkat di Android, yang sering diminta aplikasi jahat
- Izin notifikasi browser, yang dipakai situs penipuan untuk menampilkan peringatan palsu
Jika ada yang tidak bisa dihapus, atau ponsel terus menampilkan pop-up, cadangkan foto dan data penting lalu pertimbangkan reset ke setelan pabrik. Setelah itu, pasang kembali aplikasi hanya dari toko resmi.
Cara menghindarinya lain kali
Penipuan QR code berhasil karena kode menyembunyikan tujuannya. Beberapa kebiasaan ini menutup celah tersebut:
- Baca tautan pratinjau sebelum mengetuk. Periksa domainnya dengan teliti, cari salah eja atau kata tambahan.
- Curigai QR code yang ditempel di atas kode lain, terutama di mesin parkir, poster dan tempat pembayaran.
- Jangan pernah login atau membayar di halaman yang Anda buka dari QR code yang tidak Anda harapkan. Buka aplikasi resminya saja.
- Anggap desakan sebagai tanda bahaya. "Bayar sekarang agar tidak didenda" atau "paket Anda akan dikembalikan" adalah taktik tekanan klasik.
Jika ragu dengan sebuah kode, Anda bisa scan QR code online dengan QR-TH lebih dulu. Alat ini membaca kode di browser Anda dan menampilkan tujuannya sebelum apa pun terbuka, sehingga Anda bisa memutuskan dengan tenang. Untuk tanda bahaya lainnya, lihat panduan kami tentang penipuan QR code dan quishing.
FAQ
Bisakah scan QR code saja meretas ponsel saya?
Sangat kecil kemungkinannya. Pada ponsel yang sudah diperbarui, scan biasanya hanya menampilkan teks atau tautan. Kerugian biasanya muncul dari membuka halaman berbahaya lalu memasukkan data, membayar atau memasang sesuatu.
Saya membuka tautannya tetapi tidak mengetik apa pun. Apakah saya aman?
Risikonya rendah. Tutup halamannya, hapus izin situs itu jika Anda sempat mengizinkan sesuatu, dan pastikan ponsel serta browser tetap diperbarui. Jika ada yang terunduh, hapus tanpa membukanya.
Apakah saya perlu reset ponsel ke setelan pabrik?
Hanya jika Anda memasang sesuatu yang tidak bisa dihapus atau ponsel berperilaku tidak normal setelah dibersihkan. Untuk kata sandi atau data kartu yang dicuri, reset tidak membantu; mengganti kata sandi dan menghubungi bank yang membantu.
Ke mana saya harus melaporkan penipuan QR code?
Laporkan ke bank jika menyangkut uang, ke perusahaan yang ditiru, dan ke polisi setempat atau layanan pengaduan penipuan resmi. Jika kodenya ada di papan publik, beri tahu pemilik papan tersebut.
Scan yang mencurigakan memang bikin cemas, tetapi tindakan cepat membatasi kerugian di hampir semua kasus. Lain kali jika sebuah kode terlihat janggal, cek sebelum membukanya: coba pemindai online gratis QR-TH untuk melihat persis ke mana QR code mengarah.