QR code kini ada di mana-mana: meja restoran, poster acara, kemasan produk, struk pembayaran, hingga pesan yang dikirim melalui aplikasi chat. Bentuknya sederhana dan prosesnya cepat—cukup arahkan kamera, lalu buka tautan yang muncul.
Masalahnya, QR code sendiri tidak memberi tahu apakah tujuan di baliknya aman. Kode tersebut hanya menyimpan informasi, biasanya berupa alamat situs. Jika alamat itu mengarah ke halaman palsu, memindai QR code bisa menjadi awal dari pencurian data atau penipuan.
Modus ini sering disebut quishing, gabungan dari QR dan phishing. Prinsipnya sama dengan phishing melalui email atau pesan: korban diarahkan ke situs yang tampak meyakinkan agar memasukkan informasi penting, mengunduh aplikasi, atau melakukan pembayaran.
QR code hanya pintu masuk, bukan tanda keamanan
Banyak orang menganggap QR code yang ditempel di tempat umum pasti resmi. Padahal, kode tersebut bisa ditimpa dengan stiker baru, dibuat ulang oleh pihak tidak bertanggung jawab, atau dibagikan melalui akun yang sudah diretas.
QR code juga sering menyembunyikan alamat situs sampai kamera membacanya. Inilah yang membuatnya berbeda dari tautan biasa. Saat menerima tautan dalam pesan, kita masih bisa melihat domain sebelum mengeklik. Pada QR code, pemeriksaan biasanya baru dilakukan setelah kode dipindai.
Karena itu, perlakukan QR code seperti tautan yang belum dikenal. Jangan langsung percaya hanya karena tampilannya rapi atau ditempel di lokasi yang terlihat resmi.
Risiko yang mungkin terjadi setelah memindai
- Situs login palsu. Anda diminta masuk ke akun email, media sosial, dompet digital, atau layanan lain. Data yang dimasukkan kemudian dikirim kepada penipu.
- Formulir pengumpulan data. Halaman meminta nama lengkap, nomor telepon, alamat, tanggal lahir, atau informasi lain dengan alasan verifikasi.
- Pembayaran ke rekening yang salah. QR code pembayaran dapat mengarahkan transaksi ke penerima yang berbeda dari yang Anda kira.
- Unduhan aplikasi berbahaya. Situs meminta Anda memasang file atau aplikasi dengan alasan memperbarui keamanan, melihat dokumen, atau melanjutkan proses.
- Penyalahgunaan sesi login. Pada kasus tertentu, korban diarahkan ke halaman yang mencoba menghubungkan akun atau menyetujui permintaan tanpa memahami akibatnya.
Periksa alamat sebelum membuka halaman
Setelah memindai QR code, jangan langsung mengetuk tombol untuk membuka situs. Lihat dulu alamat yang muncul di notifikasi atau pratinjau kamera.
Perhatikan nama domain, yaitu alamat utama sebuah situs. Penipu sering membuat alamat yang menyerupai layanan asli dengan tambahan kata, tanda hubung, atau perubahan satu-dua huruf. Misalnya, alamat resmi bisa ditiru dengan susunan kata yang hampir sama, tetapi menggunakan ekstensi atau domain berbeda.
Jangan hanya melihat apakah alamat diawali https://. HTTPS membantu mengenkripsi koneksi, tetapi tidak membuktikan bahwa situs tersebut milik perusahaan yang benar. Situs palsu juga dapat menggunakan HTTPS.
Jika alamat terlihat panjang, penuh karakter acak, atau menggunakan layanan pemendek tautan tanpa alasan jelas, lebih baik tutup halaman dan cari situs resmi secara manual melalui aplikasi atau mesin pencari.
Untuk pembayaran, cocokkan nama penerima
QR code pembayaran membutuhkan perhatian ekstra karena kesalahan kecil bisa langsung berkaitan dengan uang. Sebelum menekan tombol bayar, periksa nama penerima, nominal, dan keterangan transaksi.
Nama penerima yang muncul harus sesuai dengan toko, organisasi, atau orang yang memang Anda tuju. Jika nama tersebut berbeda, terlalu umum, atau tidak muncul dengan jelas, hentikan transaksi. Jangan menganggap kesalahan nama sebagai masalah teknis yang bisa diabaikan.
Di tempat umum, periksa apakah QR code terlihat seperti bagian asli dari materi promosi atau hanya berupa stiker yang ditempel di atas kode sebelumnya. Jika ragu, tanyakan kepada petugas atau gunakan metode pembayaran lain.
Waspadai halaman yang meminta tindakan mendesak
Penipuan biasanya memanfaatkan rasa buru-buru. Setelah memindai, Anda mungkin melihat pesan seperti “akun akan diblokir”, “hadiah harus diklaim sekarang”, atau “pembayaran gagal, lakukan verifikasi ulang”. Kalimat semacam ini dirancang agar Anda bertindak sebelum sempat memeriksa.
Berhenti sejenak dan tanyakan tiga hal:
- Apakah saya memang sedang menunggu transaksi atau layanan ini?
- Apakah QR code berasal dari sumber yang bisa saya verifikasi?
- Apakah halaman meminta informasi yang tidak masuk akal untuk kebutuhan tersebut?
Restoran tidak membutuhkan kata sandi email untuk menerima pembayaran. Panitia acara tidak semestinya meminta PIN dompet digital. Layanan pelanggan yang sah juga tidak meminta kode OTP melalui formulir yang mencurigakan.
Jangan pernah membagikan PIN, OTP, dan kata sandi
QR code yang aman sekalipun tidak mengubah aturan dasar keamanan akun. Jangan memasukkan PIN, kode OTP, kata sandi, atau kode pemulihan ke halaman yang dibuka melalui QR code tanpa memastikan alamat dan keasliannya.
OTP adalah kode sekali pakai untuk mengonfirmasi tindakan tertentu. Jika Anda memberikannya kepada orang lain, mereka mungkin dapat menyelesaikan login atau transaksi yang sedang berlangsung. Pihak resmi biasanya tidak meminta kode tersebut melalui chat atau telepon.
Jika sebuah halaman meminta Anda mengetikkan data rahasia, tutup halaman tersebut. Buka aplikasi resminya secara langsung dan periksa apakah ada pemberitahuan yang sama di dalam aplikasi.
Jika sudah terlanjur memindai QR code
Memindai QR code saja belum tentu berarti akun atau perangkat sudah diretas. Risiko meningkat jika Anda memasukkan data, menyetujui permintaan, mengunduh aplikasi, atau melakukan pembayaran.
Jika hanya membuka halaman, tutup tab dan jangan mengunduh apa pun. Bila sempat memasukkan kata sandi, segera ganti melalui situs atau aplikasi resmi. Gunakan kata sandi baru yang tidak dipakai di layanan lain dan keluarkan sesi login dari perangkat yang tidak dikenal.
Jika Anda memberikan OTP, PIN, atau melakukan transaksi, hubungi penyedia layanan atau bank secepatnya melalui kanal resmi. Simpan bukti percakapan, alamat situs, waktu kejadian, dan detail transaksi. Informasi ini dapat membantu proses pemblokiran atau pelaporan.
Kebiasaan sederhana sebelum memindai
- Pastikan Anda tahu siapa yang memasang atau mengirim QR code tersebut.
- Pratinjau alamat situs sebelum membukanya.
- Periksa nama penerima dan nominal sebelum membayar.
- Jangan memasukkan kata sandi, PIN, atau OTP ke halaman yang mencurigakan.
- Hindari mengunduh aplikasi dari tautan QR code yang tidak diverifikasi.
- Jika terasa mendesak atau terlalu bagus untuk menjadi kenyataan, berhenti dan periksa melalui kanal resmi.
Intinya: QR code bukan berbahaya dengan sendirinya, tetapi juga bukan jaminan bahwa tujuan di baliknya aman. Perlakukan setiap kode sebagai pintu menuju sebuah tautan. Periksa alamatnya, cocokkan konteksnya, dan jangan biarkan kenyamanan membuat Anda melewati pemeriksaan penting.
– Rio Yotto @rioyotto