Saat QR Code Menjadi Perangkap Siber

Saat QR Code Menjadi Perangkap Siber – QR code kini menjadi bagian dari kehidupan sehari-hari. Kita menemukannya pada menu restoran, poster, mesin parkir, pembayaran, hingga berbagai layanan digital.

Karena sudah begitu familiar, sebagian besar orang tidak lagi menganggap QR code sebagai sesuatu yang perlu dicurigai.

Kondisi inilah yang dimanfaatkan pelaku kejahatan siber.

Dalam beberapa tahun terakhir, QR code semakin sering digunakan sebagai media untuk menyamarkan tautan berbahaya dalam serangan yang dikenal sebagai quishing, atau QR code phising.

Teknik ini pada dasarnya memanfaatkan QR code sebagai pengganti tautan atau lampiran berbahaya yang biasanya digunakan dalam serangan phishing.

Masalahnya, QR code bukan sekadar menyembunyikan alamat situs. Ketika korban memindainya menggunakan smartphone, interaksi juga berpindah dari komputer perusahaan yang biasanya dilindungi berbagai sistem keamanan ke perangkat mobile yang mungkin memiliki perlindungan jauh lebih terbatas.

Mengapa Quishing Berbahaya?

QR code merupakan barcode dua dimensi yang dapat menyimpan berbagai informasi, termasuk URL, detail pembayaran, informasi kontak, dan data lainnya. Kepraktisannya membuat pengguna terbiasa memindainya tanpa banyak berpikir.

Bagi penyerang, kebiasaan tersebut merupakan peluang.

Dalam serangan quishing, QR code berbahaya dapat ditempatkan di dalam email yang tampak berasal dari perusahaan atau layanan terpercaya.

Korban kemudian diminta memindai kode tersebut untuk melakukan autentikasi, memperbarui akun, mengonfirmasi informasi, atau menyelesaikan masalah keamanan.

Berbeda dengan tautan biasa, alamat tujuan tidak langsung terlihat. Pengguna hanya melihat pola visual berupa kotak-kotak hitam dan putih.

Kondisi ini juga menjadi tantangan bagi sistem keamanan email. Beberapa filter tradisional mungkin lebih sulit mendeteksi URL berbahaya ketika URL tersebut tidak ditampilkan sebagai teks, melainkan disembunyikan di dalam gambar QR code. Bahkan, QR code dapat disisipkan ke dalam lampiran PDF atau JPEG sehingga semakin sulit dikenali.

Setelah dipindai, korban kemudian diarahkan menggunakan smartphone menuju situs phising atau layanan lain yang dikendalikan penyerang.

Dengan demikian, quishing dapat menciptakan sebuah jembatan dari lingkungan perusahaan menuju perangkat pribadi pengguna.

Quishing Semakin Banyak Ditemukan

Quishing bukan lagi teknik yang bersifat sporadis.

Menurut ESET Threat Report H1 2026, QR code berbahaya ditemukan dalam sekitar 11% dari seluruh email phising pada paruh pertama 2026.

ESET mendeteksinya menggunakan mekanisme QRCode/Phising, yang dirancang untuk menemukan QR code pada berbagai jenis file.

Kemudian mendekode URL di dalamnya dan memeriksa alamat tersebut menggunakan sistem anti-phishing, anti-malware, dan anti-spam.

Angka tersebut menunjukkan bahwa QR code telah menjadi bagian penting dari arsenal pelaku phising.

Bagi penyerang, membuat QR code juga bukan pekerjaan sulit. Berbagai phising kit bahkan menyediakan generator QR code sehingga pelaku dapat dengan cepat mengubah URL berbahaya menjadi sebuah gambar yang kemudian ditempelkan pada email.

Tidak Selalu Berakhir di Situs Phising

Salah satu perkembangan yang perlu diperhatikan adalah bahwa quishing tidak selalu membawa korban langsung menuju halaman login palsu.

Pelaku dapat menggunakan QR code untuk berbagai tujuan.

Misalnya, korban dapat diarahkan langsung ke aplikasi yang sah, tetapi dengan tujuan yang telah dimanipulasi. Dalam skenario tertentu, hal ini dapat digunakan untuk mengambil alih akun ketika korban tanpa sadar memberikan autentikasi kepada pihak penyerang.

QR code juga dapat digunakan dalam penipuan finansial dengan mengarahkan korban ke aplikasi pembayaran yang sudah berisi informasi penerima tertentu.

Teknik lain dapat memanfaatkan aplikasi kontak atau kalender untuk memasukkan informasi berbahaya. QR code bahkan dapat digunakan untuk mengarahkan korban ke jaringan Wi-Fi palsu yang dikendalikan penyerang.

Artinya, risiko quishing tidak hanya berupa pencurian username dan password. Teknik ini dapat menjadi bagian dari rangkaian serangan yang lebih kompleks.

Dimanfaatkan Kelompok APT

Ancaman tersebut bahkan tidak hanya berasal dari kelompok kriminal siber biasa.

Pada Januari 2026, FBI memperingatkan mengenai penggunaan QR code dalam serangan spearphishing oleh kelompok Kimsuky yang dikaitkan dengan Korea Utara.

Targetnya mencakup lembaga think tank, institusi akademik, serta organisasi pemerintahan di Amerika Serikat dan negara lain.

Dalam kampanye tersebut, email berisi QR code yang diklaim dapat membawa korban menuju kuesioner, halaman registrasi, atau layanan penyimpanan dokumen yang aman.

Penggunaan teknik ini oleh kelompok APT menunjukkan bahwa quishing telah berkembang menjadi salah satu teknik yang cukup serius untuk diperhatikan oleh organisasi.

Mengapa Korban Mudah Tertipu?

Keberhasilan quishing tidak hanya bergantung pada teknologi, tetapi juga psikologi manusia.

Penyerang dapat menggunakan identitas dan tampilan merek yang familiar untuk membangun kepercayaan. Email seolah-olah berasal dari layanan yang biasa digunakan korban, kemudian disertai pesan yang menciptakan rasa urgensi.

Misalnya:

“Akun Anda akan dinonaktifkan. Scan QR code untuk melakukan verifikasi.”

Atau:

“Dokumen penting menunggu persetujuan Anda. Scan QR code untuk mengaksesnya.”

Ketika QR code dipindai, korban sering kali tidak lagi berinteraksi dengan komputer yang menerima email tersebut. Mereka menggunakan kamera smartphone untuk membuka alamat tujuan.

Di sinilah muncul persoalan keamanan yang cukup penting.

Perusahaan mungkin memiliki perlindungan email, web filtering, endpoint security, dan berbagai mekanisme keamanan lain pada komputer karyawan. Namun, perlindungan tersebut belum tentu memiliki tingkat visibilitas yang sama terhadap perangkat mobile pribadi.

Bagaimana Mengurangi Risiko Quishing?

Menghadapi quishing membutuhkan kombinasi antara kesadaran pengguna dan teknologi.

Pertama, organisasi perlu memasukkan quishing ke dalam program security awareness training. Karyawan harus memahami bahwa QR code dalam email tidak otomatis aman hanya karena tampilannya sederhana.

Beberapa kebiasaan sederhana juga dapat mengurangi risiko:

1. Jangan memindai QR code dari email yang tidak diharapkan.
2. Periksa alamat tujuan sebelum membuka situs yang ditawarkan QR code.
3. Jangan terburu-buru mengikuti instruksi yang menggunakan alasan darurat atau ancaman pemblokiran akun.
4. Jika email mengaku berasal dari perusahaan atau layanan tertentu, lakukan verifikasi melalui kanal resmi yang diperoleh secara terpisah.
5. Jangan memasukkan kredensial atau informasi sensitif hanya karena diminta setelah memindai QR code.
6. Laporkan email mencurigakan kepada tim IT atau keamanan informasi.

Dari sisi teknologi, organisasi dapat menggunakan solusi keamanan email yang mampu mendeteksi dan mendekode QR code sehingga URL yang tersembunyi di dalamnya dapat dianalisis.

Perangkat mobile juga perlu mendapatkan perlindungan yang memadai. Mobile security dan mobile device management dapat membantu memastikan perangkat yang digunakan untuk mengakses sumber daya perusahaan tetap mengikuti kebijakan keamanan.

Untuk akun penting, penggunaan phishing-resistant MFA juga sangat disarankan. Dengan demikian, ketika pengguna berhasil ditipu untuk memasukkan password, penyerang masih menghadapi lapisan perlindungan tambahan.

Selain itu, prinsip least privilege, pembatasan akses, pembaruan sistem operasi, pemantauan aktivitas mencurigakan, serta kesiapan prosedur respons insiden tetap menjadi bagian penting dari pertahanan.

Jangan Biarkan Familiaritas Menjadi Kelemahan

QR code pada awalnya merupakan teknologi praktis yang membantu manusia berpindah dengan cepat dari dunia fisik ke dunia digital.

Namun, kenyamanan tersebut kini dimanfaatkan sebagai senjata.

Quishing berhasil karena pengguna sudah terlalu familiar dengan QR code sehingga cenderung tidak lagi mempertanyakannya.

Padahal, QR code hanyalah sebuah cara untuk menyimpan informasi. Di balik pola visual tersebut bisa terdapat URL yang aman, tetapi bisa juga terdapat pintu masuk menuju serangan siber.

Karena itu, pendekatan yang tepat bukanlah berhenti menggunakan QR code.

Yang perlu diubah adalah cara kita memperlakukannya.

QR code dalam email harus diperlakukan seperti tautan atau lampiran: diperiksa sebelum digunakan, terutama ketika pesan datang tanpa diminta atau meminta tindakan yang berkaitan dengan akun, kredensial, pembayaran, maupun informasi sensitif.

Di era ketika serangan siber terus mencari cara baru untuk menghindari sistem keamanan, bahkan sesuatu yang terlihat sesederhana sebuah QR code dapat menjadi bagian dari serangan yang kompleks.

Jangan biarkan sesuatu yang sudah familiar membuat kita berhenti waspada.

Sumber berita:

WeLiveSecurity