Jangan Sembarangan Scan! Quishing Mengintai di Setiap Sudut QR Code

Sulawesitoday - Ada kotak kecil. Hitam-putih. Penuh titik dan garis.

Ia tergantung di dinding restoran. Ditempel di poster acara. Dikirim lewat pesan WhatsApp. Tampak tidak berbahaya. Tampak sangat familiar.

Tapi di balik kotak kecil itu — ada yang sedang menunggumu.

Namanya quishing. Sebuah kata yang belum banyak dikenal, tapi dampaknya sudah dirasakan jutaan orang di seluruh dunia. Termasuk di Indonesia.

Kata itu lahir dari perkawinan dua istilah: QR code dan phishing. Phishing sudah lama dikenal — modus penipuan yang memancing korban agar menyerahkan data pribadinya secara sukarela, tanpa sadar sedang dijebak. Kini, phishing naik kelas. Ia menunggangi QR code.

Kotak Kecil yang Menyimpan Jebakan

Begini cara kerjanya.

Seseorang — katakanlah seorang pelaku kejahatan siber — membuat sebuah QR code. Proses pembuatannya tidak sulit. Tidak memerlukan keahlian khusus. Tidak memerlukan alat mahal. Cukup bermodal koneksi internet dan waktu beberapa menit, QR code sudah jadi.

QR code itu lalu disebarkan. Ditempel di tempat umum. Dikirim lewat email. Diselipkan dalam pesan pribadi. Dibungkus dengan narasi yang terkesan resmi: "Segera scan untuk verifikasi identitas Anda." "Akun Anda akan dihapus jika tidak memindai dalam 24 jam." "Dapatkan hadiah spesial hari ini!"

Panik. Penasaran. Tergiur.

Tiga emosi itulah yang diburu sang pelaku. Dan ketika korban akhirnya mengarahkan kamera ponselnya ke kotak kecil itu — permainan pun dimulai.

Setelah Scan, Apa yang Terjadi?

Setelah QR berhasil dipindai, korban akan diarahkan ke sebuah situs. Situs yang tampak sah. Tampak profesional. Mungkin menyerupai halaman login bank. Mungkin mirip portal pemerintah. Mungkin tampak seperti layanan e-commerce favorit.

Di sana, dua hal menunggu.

Pertama, korban diminta mengunduh sesuatu. Bisa berupa "aplikasi keamanan", "pembaruan sistem", atau "dokumen penting". Yang diunduh itu sebenarnya adalah malware — perangkat lunak jahat yang begitu masuk ke perangkat, akan bekerja diam-diam. Mencuri data. Merekam aktivitas. Mengakses akun-akun penting.

Kedua, korban diminta memasukkan kredensial. Nama pengguna. Kata sandi. Nomor PIN. Kode OTP. Data kartu kredit. Semua yang diketikkan di sana langsung masuk ke tangan pelaku.