Kode QR Palsu dan Quishing: Cara Mengenalinya Sebelum Anda Memindai

Apa Itu Kode QR Palsu?

Kode QR palsu adalah kode QR yang dipasang penipu dan membuka halaman phishing, halaman pembayaran palsu, atau unduhan, bukan apa yang tersirat dari tempatnya. Polanya adalah kode QR biasa - tidak ada apa pun di dalam kotak-kotaknya yang menandainya sebagai palsu. Yang membuat sebuah kode palsu adalah di mana kode itu dipasang dan ke mana kode itu mengarah.

Kode QR menyimpan teks, dan di hampir setiap penipuan teks itu adalah alamat web, persis seperti yang disimpan sebuah kode QR URL. Memindai kode tidak menjalankan apa pun di ponsel; kamera membaca alamatnya dan menawarkan untuk membukanya. Kerugiannya dimulai di halaman yang terbuka: tiruan halaman pembayaran operator parkir, halaman login yang menyamar sebagai Microsoft 365, formulir pengiriman ulang paket yang meminta data kartu, atau ajakan untuk memasang aplikasi.

FBI memperingatkan hal ini dalam pengumuman layanan publik pada 18 Januari 2022, dengan menyebut bahwa para penjahat memanipulasi kode QR digital maupun fisik untuk mengalihkan korban ke situs berbahaya yang mencuri data login dan keuangan. FTC mengulangi peringatan itu dalam peringatan konsumen pada 6 Desember 2023.

Apa Itu Quishing?

Quishing adalah phishing yang dilakukan lewat kode QR alih-alih tautan yang bisa diklik, istilah yang dibentuk industri keamanan dari QR dan phishing. Kode QR-nya biasanya datang dalam email atau lampiran PDF yang meniru pengirim yang sudah dikenal - pengaturan ulang kata sandi, pemberitahuan autentikasi multifaktor, dokumen yang dibagikan, atau pengiriman paket - dan meminta Anda memindainya dengan ponsel.

Quishing lewat email berhasil karena dua alasan teknis. Pertama, tautannya ada di dalam gambar: National Cyber Security Centre Inggris mencatat pada Februari 2024 bahwa tidak semua alat keamanan email memindai gambar, sehingga tautan yang akan diblokir sebagai teks bisa lolos sebagai kode QR. Kedua, memindai memindahkan korban dari komputer kantor ke ponsel pribadi, yang menurut Cisco Talos pada Februari 2024 berada di luar sebagian besar pemantauan keamanan perusahaan.

Filter email mulai menyusul. Microsoft menyatakan pada November 2024 bahwa Defender for Office 365 kini bisa mengekstrak URL yang tersembunyi di gambar kode QR sejak awal alur email, sehingga URL itu diperiksa seperti tautan lainnya. Itu mempersempit celahnya tanpa menutupnya, karena kode yang sama bisa datang sebagai PDF, surat, atau pesan teks.

Satu tanda membedakan sebagian besar quishing dari email yang sah: layanan sungguhan jarang meminta Anda memindai kode QR dari email di komputer untuk masuk ke akun. Pesan yang menyuruh Anda mengambil ponsel dan memindai, segera, agar akun Anda tetap aktif adalah pola yang harus membuat Anda berhenti.

Di Mana Kode QR Palsu Muncul

Kode QR palsu muncul di mana pun orang berharap bisa membayar atau bertindak cepat dan tidak mudah memeriksa siapa yang memasang kode itu. Penilaian NCSC pada Februari 2024 adalah bahwa sebagian besar penipuan kode QR terjadi di ruang terbuka seperti stasiun dan tempat parkir. Kasus yang terdokumentasi berkumpul di beberapa situasi:

Beberapa pemerintah daerah menjawab penipuan parkir dengan menyatakan terang-terangan bahwa mereka tidak memakai kode QR. Kensington and Chelsea menyatakan pada Januari 2025 bahwa sistem parkirnya sama sekali tidak memakai kode QR, dan Hartlepool menyatakan pada Mei 2025 bahwa mesin pay-and-display-nya tidak akan pernah memakainya. Kode QR di mesin yang operatornya menyatakan demikian sudah pasti palsu.

Cara Mengenali Kode QR Palsu

Kenali kode QR palsu dengan memeriksa tiga hal sebelum membukanya: apakah kodenya berupa stiker yang menempel di atas sesuatu, apakah Anda memang mengharapkan ada kode di tempat itu, dan apakah domain di pratinjau ponsel milik organisasi yang Anda kira sedang Anda hadapi. Pemeriksaan domain menangkap paling banyak, karena itulah satu-satunya yang tidak bisa dipalsukan penipu.

Domain adalah nama situs web yang dibuka sebuah tautan, yaitu bagian antara https:// dan garis miring tunggal berikutnya. Pada https://parking.example-city.gov/pay domainnya adalah parking.example-city.gov; pada https://example-city.gov.pay-now.io domainnya adalah pay-now.io, apa pun bunyi bagian awalnya. Bacalah dari kanan: bagian tepat sebelum garis miring tunggal pertama itulah yang menentukan di mana Anda berada.

Gembok atau https di awal tautan tidak berarti halamannya asli. Itu hanya berarti koneksinya terenkripsi, dan halaman penipuan memakai https sama rutinnya dengan halaman asli.

Cara Memeriksa Kode QR Sebelum Membukanya

Periksa kode QR sebelum membukanya dengan membaca tautan yang ditampilkan ponsel, tanpa mengetuknya. Di iPhone atau iPad, petunjuk Apple adalah mengarahkan kamera ke kode lalu mengetuk tautannya untuk membuka - jeda di antara kedua langkah itulah saat Anda membacanya. Aplikasi kamera Android dan Google Lens biasanya menampilkan tautan sebagai tombol untuk diketuk, yang memberi Anda momen yang sama untuk membacanya.

1. Perhatikan Kodenya Sebelum Memindai. Rabalah tepi kodenya dengan jari. Stiker di atas kode cetak, kode di mesin yang punya pembaca kartu sendiri, atau kode di pemberitahuan tanpa nama organisasi adalah alasan untuk berhenti di sini.
2. Pindai dengan Kamera Bawaan Ponsel. Pakai aplikasi kamera atau Google Lens, bukan aplikasi pemindai yang diunduh. FBI dan NCSC sama-sama menyarankan memakai pemindai yang sudah ada di ponsel.
3. Baca Domain di Pratinjau. Sebelum mengetuk, baca domain yang ditampilkan ponsel. Domain itu harus domain milik organisasi itu sendiri, dieja dengan benar, tanpa tambahan aneh sesudahnya.
4. Dekode Fotonya Jika Pratinjau Tidak Jelas. Potret kodenya dan buka fotonya di pemindai kode QR berbasis peramban, yang menampilkan tautan lengkap sebagai teks tanpa membukanya.
5. Buka Sendiri Halaman Pembayaran dan Login. Jika kode mengarah ke pembayaran atau halaman masuk, tutup dan ketik sendiri alamat organisasinya atau buka aplikasi resminya. Saran FBI adalah menghindari membayar lewat situs yang dibuka kode QR.

Tautan lengkap layak dibaca ketika pratinjau hanya menampilkan sebagiannya. Unit 42, tim riset Palo Alto Networks, mencatat pada April 2025 bahwa aplikasi kamera ponsel hanya menampilkan domain, dan penipu memantulkan korban lewat pengalihan di situs web yang sah agar domain pertamanya tampak tidak berbahaya. KoloQR, generator kode QR gratis dengan kode QR bundar dan berbentuk khusus, punya pemindai kode QR yang membaca tangkapan layar atau foto di peramban Anda, tidak mengunggah apa pun, dan menampilkan seluruh tautan sebagai teks, termasuk parameter pengalihan di dalamnya. Untuk cara lain membaca kode dari gambar, lihat cara memindai kode QR dari gambar.

Apakah Kode QR Aman?

Kode QR seaman tautan atau tindakan di dalamnya. Memindai kode dengan kamera ponsel hanya membaca teksnya; risikonya dimulai saat Anda membuka tautannya, memasukkan data di halamannya, memasang aplikasi yang ditawarkannya, atau menyetujui tindakan seperti bergabung ke jaringan Wi-Fi atau memulai pembayaran. Kode yang Anda harapkan, dari organisasi yang Anda percaya, pada benda yang dicetaknya sendiri, berisiko rendah.

Ponsel sendiri pernah punya bug QR, dan itulah sebabnya memperbarui sistem ada dalam daftar FTC. Pada Maret 2018 seorang peneliti menunjukkan bahwa aplikasi Kamera iOS 11 bisa menampilkan satu situs web di pratinjaunya dan membuka situs lain; Apple memperbaikinya di iOS 11.3. Pratinjau yang bisa dipercaya bergantung pada ponsel yang mutakhir.

Muatan lain meminta sesuatu yang berbeda dari tautan. Kode QR Wi-Fi meminta untuk bergabung ke jaringan, kode kontak meminta untuk menyimpan kartu kontak, dan kode telepon atau SMS mengisikan panggilan atau pesan untuk Anda kirim. Baca apa yang diusulkan ponsel sebelum menerimanya, persis seperti Anda membaca tautan.

Aplikasi pemindai yang diunduh justru menambah risiko, bukan menguranginya. Pengumuman FBI tahun 2022 menyarankan agar tidak mengunduh aplikasi pemindai kode QR, karena sebagian besar ponsel sudah punya pemindai di kameranya. Pemindai terpisah adalah satu aplikasi lagi dengan izin di ponsel Anda, dan aplikasi itu tidak membaca kode lebih baik daripada kamera.

Yang Harus Dilakukan Jika Anda Memindai Kode QR Palsu

Jika Anda hanya memindai kode QR palsu lalu menutup halamannya, kemungkinan besar Anda aman: membaca tautan tidak memberikan data Anda kepada siapa pun. Jika Anda memasukkan sesuatu di halaman itu, bertindaklah pada hari yang sama, dengan urutan di bawah ini. Peringatan FTC pada Januari 2025 memberikan langkah yang sama bagi siapa pun yang mengetik informasi di halaman yang dibuka kode QR.

1. Data kartu atau rekening bank: hubungi nomor di balik kartu Anda dan minta bank memblokirnya serta memeriksa pembayaran terbaru.
2. Kata sandi: ganti di situs aslinya, dan di setiap situs lain tempat Anda memakai kata sandi yang sama. Aktifkan autentikasi dua faktor.
3. Aplikasi yang Anda pasang: hapus, lalu periksa pengaturan ponsel untuk profil manajemen perangkat atau izin apa pun yang ditambahkannya.
4. Data pribadi seperti alamat atau tanggal lahir: periksa laporan kredit Anda dan pantau rekening koran untuk akun baru.
5. Laporkan: ke operator parkir atau pemerintah daerah untuk stiker, ke penyedia email atau tim TI kantor untuk email, dan di AS ke IC3 milik FBI atau FTC, di Inggris ke Action Fraud.

Jika kodenya ada di meteran parkir, beri tahu operatornya agar stikernya dicopot sebelum pengemudi berikutnya memakainya, dan bayar parkir Anda lewat jalur resmi agar Anda tidak juga mendapat tilang sungguhan.

Cara Bisnis Melindungi Kode QR Cetaknya

Bisnis melindungi kode QR cetak terutama dengan membuat stiker yang ditempel di atasnya mudah terlihat dan tujuan aslinya mudah diverifikasi. Tidak ada standar resmi untuk ini; langkah-langkah di bawah adalah yang praktis, mengikuti cara kerja penipuan parkir, dan berlaku sama untuk menu, papan pembayaran, maupun poster.

• Cetak domain di bawah kode. Satu baris seperti "Membuka pay.yourshop.com" memberi pemindai sesuatu untuk dibandingkan dengan pratinjau. Stiker harus menutupi teks itu juga.
• Cetak kode menyatu dengan papan, bukan ditempel. Kode yang dicetak menyatu dengan artwork, dilaminasi, atau di balik kaca langsung memperlihatkan pengganti yang ditempel.
• Periksa papan tanpa penjagaan secara terjadwal. Sebagian pemerintah daerah di Inggris yang menemukan stiker palsu kini menugaskan petugas memeriksa mesin dan mencopotnya; papan pembayaran yang tidak terlihat dari meja kasir layak diperlakukan sama.
• Pakai domain Anda sendiri. Kode yang membuka yourshop.com lebih mudah dipercaya daripada kode yang membuka layanan tautan pendek, dan tetap berada dalam kendali Anda.
• Cantumkan nama penerima di papan pembayaran. Untuk kode QR Venmo atau kode QR PayPal, cetak nama penggunanya di samping kode agar pembayar bisa mencocokkannya dengan halaman yang terbuka.
• Beri tahu pelanggan apa yang tidak Anda pakai. Jika Anda tidak pernah menerima pembayaran lewat kode QR, tuliskan itu di mesinnya, seperti yang kini dilakukan sejumlah pemerintah daerah.

Kode statis lebih mudah diverifikasi, karena tautan yang tercetak di polanya adalah tujuan akhirnya. Kode dinamis mengirim setiap pindaian lewat pengalihan terlebih dahulu, yang berguna ketika tujuannya harus berubah tetapi berarti tautan yang terlihat bukanlah halaman yang terbuka. Kode QR statis vs dinamis menguraikan kapan masing-masing menjadi pilihan yang tepat.

Butuh Kode QR Palsu untuk Mockup atau Uji Coba?

Untuk mockup desain, properti, atau cetak uji, pakai kode QR sungguhan yang mengarah ke alamat cadangan yang tidak berbahaya seperti https://example.com. RFC 2606 mencadangkan example.com, example.net, dan example.org untuk dokumentasi, sehingga kodenya terpindai, membuka halaman pengganti, dan tidak akan pernah membawa siapa pun ke tempat yang tak terduga setelah domainnya berpindah tangan.

Hindari dua jalan pintas. Pola kotak acak yang bukan kode sah tampak janggal bagi siapa pun yang mengenal kode QR dan membuat pemindai macet. Kode yang mengarah ke situs sungguhan yang bukan milik Anda - atau ke penyingkat tautan yang kelak bisa dipakai ulang - bisa mengirim orang yang memindai mockup Anda ke halaman yang tidak pernah Anda lihat.

Generator KoloQR membuat kode pengganti dari alamat apa pun dalam beberapa detik, dengan bentuk dan warna desain akhirnya, sehingga mockup menampilkan ukuran dan tampilan yang sebenarnya. Ganti dengan tautan aslinya sebelum artwork masuk percetakan.