Jangan Sembarangan Scan! Quishing Mengintai di Setiap Sudut QR Code

Dalam hitungan menit — terkadang detik — identitas digital seseorang berpindah tangan.

Mengapa QR Code? Mengapa Sekarang?

Ada alasan mengapa para penjahat siber beralih ke QR code.

Pertama, kita semua sudah sangat terbiasa dengannya. Sejak pandemi meledak pada 2020, QR code merasuki hampir setiap aspek kehidupan. Menu restoran. Pembayaran digital. Boarding pass. Antrian puskesmas. Bahkan parkir motor pun pakai QR. Otak kita sudah dilatih untuk refleks scan — tanpa pikir panjang.

Kedua, tidak ada yang bisa membaca QR code dengan mata telanjang. Berbeda dengan link mencurigakan dalam email yang bisa dilihat ujungnya — "hm, ini bukan alamat resmi bank kami" — QR code menyembunyikan tujuannya hingga saat terakhir. Kita baru tahu diarahkan ke mana setelah kamera memindai.

Ketiga, dan ini yang paling mengkhawatirkan — QR code sangat mudah dibuat ulang. Siapa pun bisa membuat QR code baru yang tampak identik dengan yang asli, lalu menempelkannya di atas QR code resmi. Di mesin EDC toko. Di loket pembayaran SPBU. Di meja kasir warung makan.

Lima Cara Melindungi Diri dari Quishing

Tapi jangan putus asa. Kejahatan ini bisa dihindari.

Curigai QR di tempat umum dan dari orang tak dikenal. QR code yang ditempel di tempat umum — dinding, meja, tiang — sangat rentan diganti oleh pelaku. Sebelum scan, periksa apakah ada tanda-tanda stiker ditempel di atas stiker lain. Jika QR dikirim lewat pesan dari nomor atau akun yang tidak dikenal, abaikan saja.

Waspadai urgensi berlebihan. Modus quishing hampir selalu disertai tekanan waktu atau ancaman. "Verifikasi sekarang atau akun dihapus." "Scan dalam 30 menit atau hadiah hangus." Perusahaan dan lembaga resmi tidak pernah memaksa dengan cara seperti ini. Semakin besar tekanannya — semakin besar kecurigaan yang harus Anda tumbuhkan.

Periksa URL sebelum melanjutkan. Mayoritas aplikasi kamera modern menampilkan pratinjau URL sebelum membuka situs. Baca baik-baik. Apakah alamatnya masuk akal? Apakah ada huruf yang sengaja diubah — misalnya "g00gle.com" bukannya "google.com"? Jika ragu, jangan lanjutkan.

Aktifkan autentikasi dua faktor (2FA) di semua akun penting. Bahkan jika pelaku berhasil mendapatkan kata sandi Anda, 2FA menjadi tembok terakhir. Mereka tidak bisa masuk tanpa kode verifikasi yang dikirim ke perangkat Anda. Aktifkan fitur ini di media sosial, email, mobile banking, dan semua platform penting lainnya.

Selalu logout dari perangkat yang tidak lagi digunakan. Pernah login ke akun email di komputer kantor atau warnet? Pastikan selalu keluar setelah selesai. Perangkat yang masih terautentikasi adalah pintu terbuka bagi siapa saja yang menemukannya.

Bukan Paranoia, Tapi Kewaspadaan

Ada yang bilang: "Ah, lebay. Masa scan QR saja harus takut."

Boleh saja berpikir begitu. Tapi coba bayangkan — berapa kali dalam sehari Anda scan QR? Di jalan. Di kantor. Di warung kopi. Di toko swalayan. Berapa kali Anda benar-benar memeriksa ke mana QR itu membawa Anda?

Kejahatan siber modern tidak mengandalkan kekuatan. Ia mengandalkan kepercayaan. Ia mengandalkan kebiasaan. Ia mengandalkan satu detik kelengahan.