Sebelum Memindai QR Code di Tempat Umum, Periks…

QR code kini ada di mana-mana: meja kasir, poster acara, kemasan produk, tiket, hingga pesan pribadi. Masalahnya, bentuk QR code tidak memberi tahu apakah isinya aman. Kode yang terlihat biasa saja bisa mengarahkan ke situs palsu, halaman login tiruan, aplikasi berbahaya, atau rekening pembayaran yang tidak sesuai tujuan.

Dalam konteks pembayaran, Bank Indonesia menyebut penipuan dengan QR code palsu sebagai salah satu risiko yang perlu diwaspadai. Ada pula istilah quishing, yaitu phishing yang memakai QR code sebagai pintu masuk. Karena pengguna sering langsung percaya pada hasil pemindaian, modus ini dapat melewati kewaspadaan yang biasanya muncul saat menerima tautan mencurigakan.

QR code bukan tanda otomatis bahwa sesuatu itu resmi

QR code hanyalah cara untuk menyimpan informasi dalam bentuk gambar. Informasi itu bisa berupa teks, nomor pembayaran, kontak, atau alamat situs. Siapa pun dapat membuat dan menempelkan QR code baru di atas kode lama, misalnya pada poster, meja kasir, atau papan pengumuman.

Itulah sebabnya, jangan menilai keamanan dari tampilan kode, logo, atau warna desainnya saja. Logo bank, dompet digital, maupun merek terkenal dapat disalin. Yang lebih penting adalah tujuan yang muncul setelah kode dipindai dan tindakan apa yang diminta berikutnya.

Lima pemeriksaan sebelum menekan tombol

1. Lihat sumber QR code

Tanyakan dari mana kode itu berasal. QR code di aplikasi resmi, kasir toko yang jelas, atau situs resmi biasanya lebih mudah diverifikasi. Sebaliknya, berhati-hatilah terhadap kode yang dikirim melalui pesan berantai, ditempel di tempat umum tanpa penjelasan, atau disertai ajakan mendesak seperti “scan sekarang agar hadiah tidak hangus”.

Untuk QR code yang ditempel di lokasi fisik, periksa apakah ada stiker tambahan yang tampak menutupi kode asli. Jika terlihat seperti ditempel di atas label pembayaran, tanyakan kepada kasir sebelum melanjutkan.

2. Periksa alamat situs setelah pemindaian

Jika QR code membuka browser, jangan langsung memasukkan nama pengguna, kata sandi, PIN, OTP, atau data kartu. Baca alamat situsnya secara perlahan. Penipu sering memakai alamat yang mirip dengan layanan resmi, tetapi memiliki tambahan kata, ejaan aneh, atau domain yang tidak biasa.

QR code yang mengarahkan ke halaman login patut diperlakukan seperti tautan login yang dikirim orang tidak dikenal. Jika memang ingin masuk ke akun, tutup halaman tersebut dan buka aplikasi atau alamat situs resmi melalui cara yang biasa Anda gunakan.

3. Cocokkan nama penerima sebelum membayar

Untuk pembayaran QRIS, aplikasi pembayaran biasanya menampilkan nama merchant atau penerima setelah kode dipindai. Nama tersebut harus cocok dengan toko, restoran, lembaga, atau orang yang memang ingin Anda bayar. Bank Indonesia juga menganjurkan konsumen memeriksa kecocokan nama merchant yang muncul di aplikasi dengan nama yang tercantum pada label QRIS.

Jika nama penerima berbeda, terlalu umum, atau tidak bisa dijelaskan oleh kasir, jangan meneruskan transaksi. Minta pihak merchant memeriksa kode yang digunakan. Kesalahan kecil sebelum pembayaran jauh lebih mudah diselesaikan daripada mengejar dana yang sudah terkirim.

4. Waspadai permintaan unduhan dan izin berlebihan

QR code tidak seharusnya memaksa Anda memasang aplikasi dari sumber yang tidak jelas. Jika halaman hasil pemindaian meminta unduhan file, profil konfigurasi, atau aplikasi di luar toko resmi, berhenti terlebih dahulu.

Permintaan izin juga perlu diperhatikan. Aplikasi untuk membaca menu atau tiket tidak membutuhkan akses penuh ke pesan, kontak, mikrofon, atau layanan aksesibilitas. Jangan memberikan izin hanya karena halaman tersebut mengklaim proses harus dilanjutkan.

5. Berhenti jika diminta data rahasia

PIN, password, OTP, dan kode pemulihan adalah informasi rahasia. Jangan masukkan atau kirimkan data tersebut melalui halaman yang dibuka dari QR code, terutama jika Anda tidak memulai prosesnya sendiri.

Bank atau penyedia layanan pembayaran tidak membutuhkan OTP untuk “membatalkan hadiah”, “mengamankan saldo”, atau “memverifikasi QRIS” melalui tautan acak. Bahasa yang mendesak sering digunakan agar korban tidak sempat memeriksa informasi.

Jika telanjur memindai QR code mencurigakan

Memindai kode belum tentu berarti akun atau uang langsung dicuri. Risiko bergantung pada apa yang dilakukan setelah pemindaian. Namun, lakukan pemeriksaan berikut:

Tutup halaman yang terbuka dan jangan mengunduh file atau aplikasi.
Jika sempat memasukkan password, segera ganti password dari aplikasi atau situs resmi.
Jika memasukkan PIN, OTP, atau data pembayaran, hubungi penyedia layanan melalui kanal resmi.
Periksa notifikasi login, perubahan akun, dan transaksi yang tidak dikenal.
Jika terjadi transaksi tidak sah, simpan tangkapan layar, waktu kejadian, detail penerima, dan segera laporkan kepada penyedia layanan pembayaran.

Jika Anda menggunakan QRIS dan mencurigai masalah transaksi, Bank Indonesia menyarankan konsumen menghubungi penyedia jasa pembayaran terkait. Jangan mencari nomor bantuan dari halaman mencurigakan; gunakan aplikasi resmi, kartu informasi bank, atau situs resmi yang diketik sendiri.

Apa artinya bagi kita?

Kebiasaan aman saat memakai QR code sebenarnya sederhana: scan, baca, cocokkan, baru lanjutkan. Jangan menganggap proses pemindaian sebagai tindakan sepele karena satu kode dapat membawa Anda ke transaksi atau halaman yang berbeda dari dugaan.

QR code tetap berguna dan tidak perlu dihindari. Yang perlu diubah adalah kebiasaan menekan tombol secara otomatis. Luangkan beberapa detik untuk memeriksa sumber, alamat tujuan, nama penerima, dan permintaan data. Dalam transaksi digital, jeda singkat sebelum menyetujui sering menjadi lapisan perlindungan yang paling murah dan paling mudah dilakukan.

Sumber & bacaan lebih lanjut

– Rio Yotto @rioyotto