Artikel
Penipuan kode QR: periksa sebelum mempercayainya
Tautan phishing mudah diperiksa: arahkan kursor ke atasnya dan alamat sebenarnya muncul di sudut layar. Kode QR menyembunyikan informasi yang sama itu di balik pola kotak-kotak hitam, sehingga memindainya lebih mirip mengklik tautan secara buta. Quishing, singkatan dari QR phishing, mengeksploitasi celah itu persis. Federal Bureau of Investigation dan Better Business Bureau sama-sama telah menerbitkan peringatan konsumen tentang ini, tanda baik bahwa ini layak diwaspadai beberapa detik.
Apa sebenarnya quishing itu
Quishing adalah phishing yang disampaikan melalui kode QR alih-alih tautan atau lampiran email. Kodenya sendiri bersifat pasif, ia hanyalah teks yang di-encode, biasanya sebuah URL, tetapi memindainya dan mengikuti ke mana ia mengarah dapat membawa Anda ke halaman login palsu yang dibuat untuk mencuri kata sandi, halaman pembayaran yang dirancang untuk mengambil uang dengan dalih palsu, atau permintaan untuk memasang sesuatu yang tidak Anda maksudkan. Penipuan ini sepenuhnya bergantung pada apa yang terjadi setelah pemindaian, bukan pada kodenya sebagai gambar statis.
Di mana ini muncul
Kasus umum yang dilaporkan FBI dan BBB mencakup stiker palsu yang ditempelkan di atas kode QR asli pada meteran parkir atau menu restoran, pemberitahuan pengiriman palsu dengan kode QR yang meminta "biaya pengiriman ulang" kecil, dan pamflet atau email cetak yang menggunakan kode alih-alih tautan tertulis secara khusus karena lebih sulit bagi pembaca untuk mempertanyakannya. Kode QR apa pun yang meminta pembayaran, kredensial login, atau detail pribadi di luar konteks yang Anda harapkan layak mendapat kecurigaan yang sama seperti tautan yang tidak terduga.
Mengapa ini berhasil
Memindai kode QR dan mengetuk "buka" telah menjadi kebiasaan yang cepat dan hampir otomatis bagi banyak orang, dengan cara yang jarang lagi dilakukan orang saat mengklik tautan setelah bertahun-tahun peringatan phishing. URL tujuannya sering dipendekkan atau tidak familier, sehingga bahkan seseorang yang memang memperhatikan tidak dapat dengan mudah mengetahui apakah itu mengarah ke bisnis asli atau domain tiruan. Beberapa aplikasi pemindai membuatnya lebih buruk dengan langsung membuka tautan, tanpa langkah konfirmasi, begitu kodenya dikenali.
Memeriksa kode QR sebelum mempercayainya
Pilih pemindai yang menampilkan teks atau URL hasil decode terlebih dahulu dan membiarkan Anda memutuskan, alih-alih yang langsung membuka tautan secara otomatis. Alat seperti Pemindai kode QR mendekode kode QR dari foto atau kamera Anda sepenuhnya di browser Anda, sehingga Anda dapat membaca tujuannya sebagai teks polos sebelum membuka apa pun, tanpa gambar atau hasilnya dikirim ke mana pun. Begitu Anda dapat melihat URL-nya, periksa domain sebenarnya alih-alih teks di sekitarnya, dan anggap urgensi, permintaan pembayaran, atau stiker yang tidak cocok di atas kode resmi sebagai alasan untuk berhenti.
Jika Anda sudah memindai kode yang buruk
Tutup tab tanpa memasukkan apa pun jika Anda belum melakukannya. Jika Anda memang mengetik kata sandi atau detail pembayaran pada halaman yang sekarang Anda curigai palsu, ganti kata sandi itu dan periksa aktivitas yang tidak familier pada akun atau kartu yang terdampak, langkah yang sama yang akan Anda ambil setelah mengklik tautan email yang buruk. Bertindak dalam beberapa menit pertama lebih penting daripada alat mana yang menandai masalahnya.
Alat dalam artikel ini
Pertanyaan yang sering diajukan
Apa itu quishing?
Quishing adalah serangan phishing yang disampaikan melalui kode QR alih-alih tautan atau email. Kode QR itu meng-encode sebuah tujuan, biasanya URL, yang mengarah ke halaman login palsu, permintaan pembayaran curang, atau unduhan yang tidak diinginkan. Kata ini gabungan dari "QR code" dan "phishing".
Bisakah memindai kode QR memasang malware dengan sendirinya, tanpa saya melakukan hal lain?
Kode QR itu sendiri hanyalah teks yang di-encode, paling sering sebuah URL; memindainya dengan decoder polos yang hanya menampilkan teks itu tidak menjalankan apa pun. Risikonya muncul dari apa yang terjadi selanjutnya: membuka tautan berbahaya, mengunduh file darinya, atau memasukkan kredensial di halaman palsu yang dituju. Memeriksa tujuan hasil decode sebelum membukanya menghilangkan sebagian besar bahayanya.
Bagaimana cara memeriksa apakah stiker kode QR fisik aman sebelum memindainya?
Perhatikan dengan saksama apakah ada stiker yang ditempelkan di atas kode lain, metode quishing yang umum pada meteran parkir dan menu. Untuk apa pun yang melibatkan pembayaran, verifikasi langsung dengan bisnisnya melalui saluran yang berbeda, seperti nomor telepon yang tercantum, alih-alih hanya mengandalkan kodenya. Jika memungkinkan, decode kodenya menjadi teks polos terlebih dahulu dan baca domain sebenarnya sebelum membukanya, sama seperti yang akan Anda lakukan untuk memeriksa tautan sebelum mengkliknya.