Apa bedanya quishing dengan phishing email biasa?

Metode pengirimannya adalah kode QR, bukan tautan dalam email atau pesan, sehingga dapat melewati banyak filter spam dan pemindaian keamanan email, sekaligus menghilangkan tanda visual (seperti tautan yang bisa diarahkan kursor) yang biasa digunakan orang untuk memeriksa URL sebelum mengklik.

Apakah semua kode QR untuk parkir atau pembayaran berbahaya?

Tidak, sebagian besar sah dan diterbitkan oleh vendor atau gedung yang sebenarnya. Risikonya muncul dari stiker yang ditambahkan atau diganti, sehingga pemeriksaan yang perlu dilakukan bukan soal kode QR secara umum, melainkan apakah kode tersebut sesuai dengan konteks fisiknya.

Saya sudah memindai kode dan memasukkan data kartu saya. Apa yang harus dilakukan?

Segera hubungi bank Anda untuk melaporkan kemungkinan penipuan dan pertimbangkan memblokir atau mengganti kartu, pantau mutasi rekening untuk transaksi tidak sah, dan laporkan lokasi kode QR fisik tersebut ke pengelola gedung atau tempat.

Bisakah quishing terjadi di restoran atau tempat sehari-hari lainnya, bukan hanya di area parkir?

Bisa, taktik yang sama muncul pada kode QR menu meja palsu, poster donasi amal palsu, dan prompt login WiFi publik palsu. Situasi mana pun yang membuat pemindaian kode dan pemberian informasi terasa rutin bisa menjadi sasaran.

QR / Quishing

Kode QR Parkir yang Berbahaya

Pelaku penipuan menempelkan kode QR palsu di papan parkir, notifikasi pembayaran, atau poster untuk mengalihkan hasil pindai ke halaman pencurian data alih-alih layanan yang sebenarnya dituju. Contoh ini bersifat fiktif dan ilustratif, dibuat khusus untuk keperluan pelatihan.

Skenario

Seorang karyawan memarkir kendaraannya di area tamu sebuah gedung dan melihat sebuah tanda cetak yang ditempelkan di atas terminal pembayaran parkir biasa: 'Parkir Nontunai, Pindai untuk Bayar Biaya Parkir Anda.' Sebuah kode QR terpasang di bawah instruksi tersebut, dengan gaya yang menyerupai papan tanda gedung pada umumnya.

Memindai kode tersebut membuka halaman peramban ponsel yang tampak seperti portal pembayaran e-wallet atau bank pada umumnya, menampilkan biaya parkir kecil (misalnya Rp 5.000) agar permintaan terasa rutin dan tidak berisiko alih-alih mencurigakan.

Halaman tersebut meminta pengunjung masuk menggunakan kredensial e-wallet atau mobile banking untuk 'menyelesaikan pembayaran', atau pada beberapa varian langsung meminta nomor kartu debit atau kredit, tanggal kedaluwarsa, dan CVV di halaman tersebut.

Setelah data dikirim, halaman menampilkan konfirmasi palsu 'Pembayaran Berhasil' dan bahkan bisa mengalihkan ke halaman utama e-wallet atau bank yang asli, sehingga korban pergi tanpa curiga sama sekali, sementara pelaku kini memiliki data login atau kartu yang valid, dan pada beberapa versi, diam-diam telah mendaftarkan tagihan berulang atau lebih besar.

Tanda-tanda yang perlu dikenali

Stiker kode QR ditempel di atas atau di samping papan tanda resmi

Kode yang terlihat sedikit tidak sejajar, dicetak di stiker terpisah, atau ditempelkan di atas papan tanda yang sudah ada seringkali ditambahkan secara fisik oleh pelaku, bukan diterbitkan oleh gedung atau vendor resmi.

Portal pembayaran meminta login perbankan penuh, bukan metode pembayaran tamu sekali pakai

Halaman pembayaran parkir atau vendor yang sah biasanya menggunakan alur pembayaran sekali pakai yang sederhana (QRIS atau input kartu melalui gerbang pembayaran yang dikenal), bukan meminta Anda masuk ke akun perbankan atau e-wallet penuh.

URL setelah dipindai tidak sesuai dengan domain resmi operator parkir atau gedung

Memeriksa bilah alamat setelah memindai adalah salah satu dari sedikit cara untuk menangkap upaya quishing sebelum memasukkan informasi apa pun, karena domain tujuan jarang sesuai dengan yang digunakan operator resmi.

Tidak ada petugas fisik, opsi struk, atau metode pembayaran alternatif di sekitar

Sistem parkir nontunai yang sah biasanya masih memiliki loket berpetugas, opsi berbasis aplikasi, atau identitas operator yang jelas. Kode QR sebagai satu-satunya metode pembayaran yang berdiri sendiri adalah pola quishing yang umum.

Nominal biaya terasa tidak wajar kecil atau tidak jelas, mendorong pembayaran cepat tanpa berpikir

Nominal kecil sengaja digunakan untuk menurunkan kewaspadaan pengunjung. Terasa terlalu sepele untuk menjadi penipuan, dan itulah efek psikologis yang justru diandalkan pelaku.

Pelajaran yang bisa diambil

Sebelum memindai kode QR di tempat umum mana pun, periksa apakah kode tersebut terlihat seperti stiker yang ditempelkan di atas papan tanda yang sudah ada, bukan bagian asli dari materi cetak. Setelah memindai, selalu periksa URL yang terbuka sebelum memasukkan informasi apa pun. Untuk pembayaran, utamakan aplikasi resmi yang terverifikasi (dibuka langsung, bukan lewat tautan hasil pindai) atau loket berpetugas dibandingkan halaman web asing yang diakses lewat QR. Jika halaman pembayaran berbasis QR meminta kredensial login akun penuh atau CVV kartu alih-alih alur pembayaran sekali pakai yang sederhana, berhentilah dan laporkan kode tersebut ke keamanan gedung atau operator parkir.

Ini adalah contoh ilustratif yang dibuat khusus untuk pelatihan, bukan pesan asli yang dikirim oleh Claro atau organisasi mana pun.

Jalankan simulasi ini dengan Claro

Pertanyaan yang sering diajukan

Metode pengirimannya adalah kode QR, bukan tautan dalam email atau pesan, sehingga dapat melewati banyak filter spam dan pemindaian keamanan email, sekaligus menghilangkan tanda visual (seperti tautan yang bisa diarahkan kursor) yang biasa digunakan orang untuk memeriksa URL sebelum mengklik.

Jalankan pola ini sebagai simulasi nyata

Claro mengubah setiap modus ini menjadi simulasi phishing yang lokal, terukur, dan aman untuk dipelajari tim Anda.

Minta demo