Mengenali Quishing, Penipuan Lewat QR Code

Kapan terakhir kamu membaca alamat situs sebelum membuka hasil pindaian QR code? Kebiasaan langsung membuka itulah yang dimanfaatkan quishing. Quishing (gabungan "QR" dan "phishing") adalah penipuan yang menyembunyikan alamat situs palsu di balik QR code, sehingga korban tidak sempat membaca tautannya sebelum terbuka.

Masalah utamanya sederhana: tautan biasa bisa kamu baca sebelum diklik, sedangkan QR code hanya kotak hitam putih. Ditambah lagi, QR code biasanya dipindai dengan HP, perangkat yang layarnya kecil dan sering tidak dilindungi filter keamanan seketat laptop kantor.

Seperti apa modus quishing yang sering muncul?

Polanya bisa dikelompokkan menurut tempat QR code itu muncul.

Lewat email. Pesan mengaku dari bagian IT, bank, atau layanan email, isinya meminta kamu "verifikasi akun" atau "aktifkan ulang autentikasi" dengan memindai QR code di lampiran PDF atau gambar. Karena tautannya berupa gambar, sebagian filter email tidak membacanya sebagai tautan. Setelah dipindai, HP membuka halaman login palsu yang meniru layanan aslinya.

Stiker di atas QRIS asli. Di kasir, kotak amal, atau tempat parkir, penipu menempelkan stiker QR code miliknya di atas QR code pedagang. Pembeli membayar dengan normal, tapi uangnya masuk ke rekening lain.

Selebaran parkir atau tilang palsu. Kertas di kaca mobil berisi pemberitahuan denda dan QR code "untuk membayar". Halaman yang terbuka meminta data kartu atau mengarahkan ke pembayaran ke pihak tak dikenal.

Dokumen yang tampak resmi. Contohnya QR code di surat berkop instansi atau formulir pendaftaran acara. Karena tampilannya rapi, korban mengira QR code-nya pasti sah. Padahal siapa pun bisa membuat QR code yang mengarah ke alamat mana saja dalam hitungan detik.

Variasi lain juga ada: QR code di poster promo, kemasan paket, atau pesan WhatsApp yang mengaku dari kurir.

Cara memeriksa QR code sebelum membuka tautannya

Langkah berikut berlaku untuk QR code berisi tautan situs. Untuk QR pembayaran, lihat bagian sesudahnya.

1. Lihat fisik dan konteksnya

Untuk QR code di tempat umum, raba permukaannya. Stiker yang menempel di atas cetakan asli sering terasa lebih tebal atau pinggirannya terkelupas. Untuk email, tanya dulu: apakah kamu memang sedang menunggu pesan itu? Layanan yang meminta kamu memindai QR demi "keamanan akun" secara mendadak patut dicurigai.

2. Pindai dengan kamera, jangan langsung buka

Kebanyakan kamera HP menampilkan pratinjau alamat sebelum membuka tautan. Berhenti di sini dan baca alamatnya.

3. Baca nama domain dengan teliti

Perhatikan bagian sebelum garis miring pertama. Yang perlu diwaspadai:

• Ejaan yang mirip tapi beda, misalnya huruf yang diganti angka.
• Nama merek yang ditempel di depan domain lain, seperti namabank.login-verifikasi.xyz.
• Pemendek tautan yang menyembunyikan tujuan akhir.
• Alamat berupa angka IP, bukan nama domain.

Kalau ragu, jangan buka. Ketik sendiri alamat resmi layanan tersebut di browser.

4. Jangan masukkan apa pun dari hasil pindaian

Halaman login, nomor kartu, PIN, atau kode OTP tidak perlu dimasukkan lewat QR code yang datang tiba-tiba. Layanan resmi bisa kamu buka lewat aplikasi atau alamat yang sudah kamu kenal.

5. Laporkan dan hapus

Email quishing di kantor sebaiknya dilaporkan ke tim IT agar pesan serupa bisa diblokir. Pola pengenalannya sama dengan phishing biasa, yang dibahas di cara mengenali phishing.

Bagaimana dengan QR pembayaran seperti QRIS?

QR pembayaran berbeda karena hasil pindaiannya langsung membuka aplikasi bank atau dompet digital, bukan situs. Jadi yang perlu dicek adalah nama penerima yang muncul di layar konfirmasi sebelum kamu menekan bayar.

Kalau nama penerima berbeda dari nama toko, atau berupa nama perorangan yang tidak dikenal, batalkan dan tanyakan ke kasir. Jangan juga memindai QR pembayaran yang dikirim lewat chat oleh orang yang mengaku petugas, kurir, atau lembaga.

Tips untuk pedagang yang memakai QR code

Pedagang justru sering tidak sadar QR-nya sudah ditimpa. Beberapa kebiasaan yang membantu:

• Cek QR code di meja kasir setiap pagi dan setelah keramaian, apakah masih yang asli.
• Pasang QR di dalam bingkai akrilik atau di balik kaca agar sulit ditempeli.
• Minta pembeli menunjukkan layar bukti bayar dengan nama tokomu sebagai penerima.
• Cocokkan mutasi masuk di aplikasi pedagang, bukan hanya melihat layar HP pembeli.
• Simpan berkas QR asli dari penyedia, sehingga bisa dicetak ulang bila rusak.

Untuk dasar pemakaian QRIS di toko, termasuk pendaftarannya, baca QRIS untuk UMKM.

Ringkasan modus dan cara mengatasinya

Sebelum memindai QR code berikutnya, ingat checklist singkat ini:

• Apakah QR-nya tempelan atau terlihat ditimpa?
• Apakah kamu memang menunggu pesan atau tagihan ini?
• Apakah domain di pratinjau persis milik layanan resmi?
• Untuk pembayaran, apakah nama penerima sama dengan nama toko?
• Apakah halaman meminta password, PIN, atau OTP? Kalau ya, berhenti.