Quishing (Phishing Kode QR)
Quishing adalah serangan phishing yang menyembunyikan tautan berbahaya di dalam kode QR untuk memancing korban membuka situs palsu atau memasang malware.
Definisi
Quishing, gabungan dari kata QR dan phishing, adalah serangan rekayasa sosial saat penyerang menanamkan URL berbahaya di dalam kode QR, bukan sebagai tautan teks yang bisa diklik. Ketika korban memindai kode itu dengan kamera ponsel, ia diarahkan ke situs palsu yang dirancang untuk mencuri kredensial, merekam data pembayaran, atau menyebarkan malware. Karena alamat tujuan dikodekan sebagai gambar dan bukan teks yang terbaca, quishing kerap lolos dari gerbang keamanan email dan alat pemindai tautan yang hanya memeriksa URL tertulis, sekaligus sengaja memindahkan korban ke perangkat seluler tempat alamat lengkapnya lebih sulit diperiksa.
Serangan quishing umumnya berawal dari kode QR yang dikirim lewat email, disisipkan dalam lampiran PDF atau gambar, dicetak pada poster atau surat fisik, atau ditempel sebagai stiker di atas kode asli di tempat umum. Kode itu mengarah ke halaman masuk tiruan, biasanya Microsoft 365, bank, atau portal parkir maupun pembayaran. Penyerang mengandalkan dua celah: pemindai tautan sulit membaca URL yang tersembunyi di dalam gambar, dan orang cenderung memercayai kode QR serta jarang mengintip alamat tujuan sebelum mengetuknya di ponsel.
Contoh yang sering terjadi antara lain email palsu pengaturan autentikasi multifaktor yang meminta karyawan memindai kode untuk mendaftarkan ulang akun, pemberitahuan pembayaran parkir atau dompet digital palsu dengan kode QR yang membuka halaman pencuri kredensial, serta stiker yang menutupi kode asli di meja restoran, pengisi daya kendaraan listrik, atau papan pengumuman pemerintah. Di Indonesia, ketika pembayaran QRIS sudah jadi bagian keseharian, kode pembayaran QR yang dipalsukan atau diubah menjadi umpan yang sangat meyakinkan.
Quishing penting diwaspadai karena melewati kontrol yang biasa diandalkan organisasi untuk tautan tertulis, dan karena memindahkan korban ke perangkat pribadi atau seluler yang sering berada di luar pemantauan dan proteksi endpoint perusahaan. Pertahanannya bersifat berlapis: latih orang untuk mewaspadai kode QR yang tak terduga sama seperti tautan yang tak terduga, intip dulu URL hasil pindaian sebelum membukanya, hindari memindai kode dari email atau lampiran yang tidak diminta, dan terapkan autentikasi multifaktor yang tahan phishing agar kata sandi yang dicuri saja tidak cukup untuk membuka akses.
Sekilas info
- Tingkat keparahan
- Tinggi
- Tingkat kejadian
- Tumbuh pesat
- Target utama
- Pengguna ponsel, karyawan yang menerima email terkait MFA atau pembayaran
- Juga dikenal sebagai
- Phishing kode QR
Cara kerjanya
- 1
Penyisipan: penyerang menyembunyikan URL berbahaya di dalam kode QR alih-alih tautan teks yang bisa diklik.
- 2
Pengiriman: kode dikirim lewat email, disisipkan dalam lampiran PDF atau gambar, dicetak pada poster, atau ditempel sebagai stiker di atas kode asli.
- 3
Pemindaian: korban memindai kode dengan kamera ponsel, memindahkan interaksi ke perangkat seluler tempat alamat lengkapnya sulit diperiksa.
- 4
Halaman menipu: kode mengarah ke halaman login atau pembayaran tiruan, umumnya meniru Microsoft 365, bank, atau portal parkir maupun dompet digital.
- 5
Penangkapan: kredensial atau detail pembayaran yang dimasukkan langsung ditangkap dan dipakai, sering melewati alat pemindai tautan yang dirancang untuk URL tertulis.
Tanda peringatan
- Kode QR tak terduga dalam email, lampiran, poster, atau brosur
- Stiker yang terlihat ditempel di atas kode QR yang sudah ada
- Kode QR yang tertaut ke permintaan mendesak, seperti pendaftaran ulang MFA atau pemberitahuan pembayaran
- Tautan hasil pindaian membuka halaman login atau pembayaran yang tidak Anda duga
- Permintaan memasukkan kredensial atau metode pembayaran segera setelah memindai
Cara bertahan
- Intip URL hasil decode sebelum membukanya; kebanyakan kamera ponsel menampilkan tujuannya lebih dulu
- Perlakukan kode QR tak terduga dengan kewaspadaan yang sama seperti tautan tak terduga
- Hindari memindai kode dari email atau lampiran yang tidak diminta
- Verifikasi kode QR pembayaran, seperti QRIS, langsung dengan merchant atau penyedia sebelum memindai
- Aktifkan autentikasi multifaktor yang tahan phishing agar kata sandi yang tertangkap saja tidak cukup
Contoh nyata
Seorang karyawan di perusahaan Jakarta menerima email yang meminta ia memindai kode QR untuk mendaftar ulang autentikasi multifaktor Microsoft 365 sebelum aksesnya ditangguhkan. Kode tersebut membuka halaman login Microsoft palsu yang meyakinkan, dan kredensial karyawan tersebut tertangkap tepat saat dimasukkan.
Bagaimana Claro membantu
Claro menjalankan simulasi quishing terkendali yang meniru umpan nyata, termasuk kode QR yang disisipkan dalam email dan lampiran serta penipuan pembayaran bergaya QRIS yang disesuaikan dengan konteks Indonesia, sehingga Anda bisa mengukur berapa banyak karyawan yang memindai dan menyerahkan kredensial, bukan sekadar menebak. Peristiwa pindai dan penyerahan data langsung masuk ke skor risiko manusia tiap pengguna, dan siapa pun yang terjebak simulasi akan otomatis mendapat micro-training tepat waktu yang mengajarkan cara mengintip tujuan kode QR dan memverifikasi kode pembayaran. Data yang sama terhimpun ke dalam pelaporan kepatuhan untuk OJK, BSSN, ISO 27001, dan UU PDP, memberi tim keamanan bukti yang kuat bahwa risiko rekayasa sosial berbasis QR benar-benar diukur dan ditekan dari waktu ke waktu.
Pertanyaan yang sering diajukan
Apa yang membuat quishing berbeda dari phishing biasa?
Quishing menyembunyikan tautan berbahaya di dalam gambar alih-alih teks yang bisa diklik, sehingga lolos dari alat keamanan email yang dirancang memindai URL tertulis, dan sengaja memindahkan korban ke perangkat seluler tempat alamat lengkapnya lebih sulit diperiksa.
Bisakah quishing melewati filter keamanan email?
Sering, ya. Karena tujuan dikodekan sebagai gambar dan bukan teks yang terlihat, banyak alat pemindai tautan yang memeriksa URL tertulis tidak pernah melihat alamat berbahaya tersebut sampai seseorang memindai kodenya.
Bagaimana saya memeriksa keamanan kode QR sebelum memindai?
Kebanyakan kamera ponsel menampilkan pratinjau URL hasil decode sebelum membukanya. Baca alamat itu dengan saksama, dan jika kodenya datang tak terduga lewat email atau tertempel di atas kode asli di tempat umum, jangan pindai sama sekali.
Apakah QRIS dan kode QR pembayaran lain berisiko?
Ya. Penyerang mengganti atau menempelkan kode QR pembayaran palsu di atas yang sah. Selalu verifikasi kode QR pembayaran langsung dengan merchant atau penyedia, jangan hanya memercayai kodenya.
Istilah terkait
Phishing
Phishing adalah serangan rekayasa sosial ketika pelaku menyamar sebagai pengirim tepercaya untuk menipu korban agar membocorkan kredensial, mengirim uang, atau memasang malware.
Smishing
Smishing adalah serangan phishing yang dilakukan lewat SMS atau pesan teks, di mana penyerang mengirim pesan palsu untuk mengelabui korban agar membocorkan data, mengklik tautan berbahaya, atau mengirim uang.
Pencurian Kredensial
Pencurian kredensial adalah pengambilan nama pengguna, kata sandi, dan data login lainnya, biasanya lewat halaman login palsu atau pesan yang mengelabui, agar penyerang bisa masuk ke akun dan sistem.
Pelatihan Kesadaran Keamanan
Pelatihan kesadaran keamanan adalah edukasi terstruktur yang melatih karyawan mengenali dan menanggapi ancaman siber seperti phishing, rekayasa sosial, dan penanganan data yang tidak aman.
Kurangi risiko manusia Anda
Claro mengukur dan menurunkan risiko yang dijelaskan istilah-istilah ini, dalam bahasa Inggris dan Bahasa Indonesia.
Minta demo