Stiker kode QR di mesin parkir itu tampak resmi: ukurannya pas, warnanya senada, bahkan ada logo kecil di tengahnya. Satu-satunya yang membedakan adalah ia ditempel di atas kode aslinya, dan salah satu sudutnya sedikit terangkat. Pengemudi yang memindainya diarahkan ke halaman pembayaran tiruan, mengetik nomor kartu, dan baru sadar sepekan kemudian. Modus ini punya nama sendiri, quishing, dan yang membuatnya berhasil bukan kecanggihan teknis melainkan kebiasaan kita mengarahkan kamera tanpa berpikir.
Kenapa satu gambar bisa lolos dari filter yang membaca teks
Penyaring email dibangun untuk membaca teks. Ia memeriksa alamat pengirim, menimbang reputasi domain, membongkar tautan, mencocokkan pola kalimat yang biasa dipakai penipu. Kode QR tidak menyediakan satu pun dari itu. Yang sampai ke penyaring hanyalah kotak hitam-putih, dan tujuan sebenarnya baru terbentuk setelah kamera Anda menerjemahkannya. Sebagian gerbang email modern kini mencoba memindai gambar di dalam pesan, tetapi banyak yang belum, dan penipu tahu betul celah itu.
Faktor kedua justru kesederhanaan pesannya. Email quishing biasanya sangat pendek: satu kalimat, satu gambar, satu tenggat. Tidak ada lampiran mencurigakan, tidak ada tautan aneh, tidak ada blok teks panjang untuk dianalisis. Sinyal yang biasanya dipakai untuk mengenali email phishing dalam hitungan detik sengaja dipangkas habis, sehingga penilaian akhirnya berpindah ke mata Anda, di layar ponsel, sambil terburu-buru.
Di mana quishing muncul dalam keseharian
Bentuk fisiknya paling sering berupa stiker: di mesin parkir, di pengisi daya kendaraan listrik, di meja restoran, kadang di papan donasi. Bentuk digitalnya lebih beragam. Ada pemberitahuan pengiriman paket yang meminta biaya bea cukai kecil, biasanya di bawah lima puluh ribu, karena jumlah kecil lebih mudah dibayar daripada dipertanyakan. Ada pula PDF berjudul faktur yang isinya nyaris kosong kecuali satu kode QR di tengah halaman, trik untuk menyembunyikan tujuan di dalam lampiran yang terlihat biasa.
Yang paling banyak menjerat pekerja kantor adalah surat yang mengaku dari bagian TI: pendaftaran ulang autentikasi dua faktor katanya wajib dilakukan sebelum akhir pekan, dan di bawahnya ada kode untuk dipindai dengan ponsel. Permintaan itu terdengar wajar karena memang pernah terjadi sungguhan di banyak kantor. Ponsel juga sasaran empuk: bilah alamatnya sempit sehingga bagian penting URL terpotong, email kerja sering dibuka di perangkat pribadi tanpa penyaringan perusahaan.
Kebiasaan kecil yang membantu di sini adalah memisahkan lalu lintas. Untuk pendaftaran remeh seperti mengunduh berkas, mencoba layanan, atau mengambil wifi hotel, pakai kotak masuk sementara saja. Alamat utama Anda jadi hanya berisi hal yang benar-benar penting, dan surat mengejutkan yang mendarat di sana langsung terasa janggal karena Anda tahu persis siapa yang punya alamat itu.
Membaca alamat sebelum jempol Anda mengetuk
Hampir semua aplikasi kamera bawaan menampilkan pratinjau alamat tujuan sebelum membukanya. Itu jendela paling berharga yang Anda punya, dan biasanya dilewati dalam setengah detik. Berhenti di situ, lalu baca satu bagian saja: nama domain yang berada tepat di sebelah kiri garis miring tunggal pertama. Pada alamat seperti bank-anda.verifikasi-akun.co/login/aman, domain yang sesungguhnya adalah verifikasi-akun.co, sedangkan bank-anda hanyalah subdomain yang bisa dibuat siapa pun dalam lima menit.
Kata-kata meyakinkan setelah garis miring tidak berarti apa-apa; itu wilayah yang sepenuhnya dikendalikan pemilik domain. Waspadai juga huruf yang mirip di layar kecil, misalnya r dan n yang berdempetan menyerupai m, atau angka nol yang menyamar jadi huruf O. Deretan subdomain yang panjang biasanya sengaja dibuat agar bagian akhirnya terpotong di ponsel. Pemendek tautan menyembunyikan tujuan sepenuhnya, jadi di dalam kode QR ia pantas dianggap mencurigakan sampai terbukti sebaliknya.
Kalau pesannya mengaku berasal dari sebuah perusahaan, alamat pengirimnya juga bisa Anda uji. Menjalankannya lewat pemeriksa alamat email menunjukkan apakah domain itu benar-benar ada dan punya server surat yang aktif, sesuatu yang sering gagal dipenuhi domain yang baru didaftarkan seminggu untuk sekali pakai.
Saat halaman meminta kata sandi sekaligus kode 2FA
Ini bagian yang paling penting untuk dipahami. Halaman palsu yang meminta kata sandi lalu langsung meminta kode enam digit hampir selalu berarti ada relai waktu nyata di belakangnya: apa pun yang Anda ketik diteruskan detik itu juga ke situs asli, dan yang dicuri bukan sekadar kata sandi melainkan sesi yang sudah masuk. Konsekuensinya melawan intuisi. Kalau setelah kode dimasukkan halaman itu benar-benar terbuka, itu bukan bukti halamannya asli. Justru sebaliknya, itu bukti relainya bekerja.
Kode TOTP memang rapuh dalam skenario ini karena sifatnya. Ia cuma angka berumur tiga puluh detik yang dihitung dari kunci bersama, dan bisa dibuat di perangkat apa pun, termasuk lewat generator kode 2FA di browser. Karena tidak terikat pada situs tertentu, ia tidak punya cara untuk mengetahui sedang diserahkan ke halaman yang keliru.
Yang benar-benar tahan terhadap serangan semacam ini adalah passkey dan kunci keamanan perangkat keras, sebab keduanya terikat pada domain aslinya. Kalau alamat situsnya bukan yang terdaftar, prosesnya berhenti sendiri tanpa perlu Anda memutuskan apa-apa. Untuk akun yang belum mendukungnya, aplikasi autentikator tetap jauh lebih baik daripada SMS; perbandingan lengkapnya ada di ulasan aplikasi autentikator dibanding 2FA lewat SMS.
Sudah telanjur memindai dan mengetik: urutan langkahnya
Kecepatan lebih menentukan daripada rasa malu. Gunakan perangkat lain yang Anda yakini bersih, lalu kerjakan berurutan.
- Ganti kata sandi akun tersebut, dan akun mana pun yang memakai kata sandi serupa.
- Keluarkan semua sesi aktif dari setelan keamanan, karena mengganti kata sandi saja tidak selalu memutus sesi yang sudah dicuri.
- Periksa alamat pemulihan, nomor telepon, aturan penerusan surat, dan sandi aplikasi yang mungkin ditambahkan penyerang.
- Beri tahu bagian TI atau pengelola akun, meski Anda merasa serangannya gagal.
Aturan penerusan adalah yang paling sering luput. Penyerang menambahkan aturan diam-diam agar salinan surat masuk tetap mengalir ke mereka lama setelah kata sandi diganti. Kalau Anda menemukan alamat asing di sana, catat dulu sebelum dihapus, dan mengujinya dengan alat pemeriksa alamat email bisa membantu tim keamanan memahami ke mana surat Anda dialirkan.
Untuk kode fisik, ada satu pemeriksaan sederhana yang jarang gagal: kode pembayaran yang sah biasanya dicetak menyatu dengan papan atau bodi mesin, bukan ditempel di atasnya. Raba tepinya. Kalau terasa ada lapisan tambahan, sudutnya terkelupas, atau kodenya menutupi sebagian tulisan di bawahnya, jangan dipindai. Laporkan stikernya kepada pengelola tempat.
Pertanyaan yang sering muncul
Apakah memindai kode QR berbahaya langsung membuat ponsel terinfeksi?
Umumnya tidak. Kode QR hanya berisi teks, biasanya sebuah alamat, dan bahayanya baru muncul setelah Anda membuka halaman itu lalu mengetikkan sesuatu di sana. Karena itu memindai lalu berhenti di layar pratinjau relatif aman, asalkan Anda benar-benar berhenti dan membaca domainnya.
Bagaimana membedakan kode QR asli dan palsu di tempat parkir?
Perhatikan wujud fisiknya lebih dulu: kode yang sah biasanya tercetak langsung pada mesin atau papan, sementara kode palsu berupa stiker yang menempel di atas permukaan. Periksa apakah ada lapisan ganda atau sudut yang terangkat. Kalau ragu, bayar melalui aplikasi resmi operator parkir.
Saya sudah memasukkan kode 2FA di halaman palsu, apakah ganti kata sandi sudah cukup?
Belum tentu. Serangan semacam ini mencuri sesi yang sudah masuk, sehingga penyerang bisa tetap berada di dalam akun meski kata sandinya berubah. Setelah mengganti kata sandi, keluarkan semua sesi aktif, periksa perangkat yang tercatat masuk, dan telusuri aturan penerusan atau alamat pemulihan yang mungkin ditambahkan.
