Quishing telah menjadi salah satu ancaman yang paling cepat berkembang dalam phishing. Idenya sederhana: kode QR yang tampak tidak berbahaya menyembunyikan alamat palsu. Microsoft telah mengukur pertumbuhan ini: pada Maret 2026, mereka mendeteksi 18,7 juta serangan semacam itu , dibandingkan dengan 7,6 juta pada Januari, yang mewakili peningkatan 146% hanya dalam tiga bulan.
Masalahnya terletak pada tindakan yang telah menjadi bagian dari rutinitas harian kita. Melihat menu restoran, membayar parkir, mengunduh tiket, atau mencari informasi wisata telah menjadi hal biasa. Penjahat siber memanfaatkan kebiasaan ini. Para ahli dari Áudea, unit keamanan siber Logicalis Spanyol, menekankan bahwa alamat web tetap tersembunyi hingga tautan dibuka, sehingga mengurangi tanda-tanda peringatan yang mungkin dideteksi pengguna pada pandangan pertama.
Mengapa kode QR menyembunyikan penipuan dan berpindah dari komputer ke ponsel?
Tidak seperti tautan teks, kode QR tidak menampilkan URL sebelum dipindai. Andrés Cartes Guilarte, Konsultan Budaya Keamanan Siber di Áudea, menunjukkan bahwa ketidaktransparan ini adalah salah satu keuntungan terbesar bagi penyerang. Pengguna tidak dapat memverifikasi apakah tujuan tersebut sah, dan dalam banyak kasus, pemindaian dilakukan dari ponsel , yang memindahkan interaksi ke luar komputer perusahaan dan di luar kendali keamanan perusahaan.
Setelah tautan dibuka, korban mungkin akan diarahkan ke halaman yang meniru layanan perusahaan, platform perbankan, atau layar otentikasi. Tujuannya bergantung pada jenis penipuan, tetapi biasanya melibatkan perolehan kredensial, data pribadi, atau informasi keuangan . Peniruan identitas ini lebih meyakinkan ketika pesan tersebut datang dalam konteks yang familiar, seperti komunikasi internal atau pemberitahuan dari entitas yang biasa digunakan pengguna.
Microsoft juga mengidentifikasi sekitar 8.300 miliar ancaman phishing yang didistribusikan melalui email selama periode yang sama. Perusahaan tersebut menggambarkan quishing sebagai vektor serangan yang paling cepat berkembang selama waktu itu, sebuah tren yang sejalan dengan meluasnya penggunaan kode QR di semua jenis lingkungan.
PDF, email, dan dokumen Microsoft 365: saluran yang paling disukai.
Laporan Ancaman Email Barracuda 2026 mengungkapkan beberapa temuan yang mengejutkan. 70% dari PDF berbahaya yang dianalisis berisi kode QR yang mengarah ke halaman phishing. Dengan kata lain, dokumen tersebut bertindak sebagai penyamaran untuk menipu korban agar mempercayai file tersebut dan tidak mencurigai kode di dalamnya.
Laporan yang sama merinci bahwa 56% dokumen Microsoft 365 berbahaya menyertakan quishing. Lebih lanjut, kode yang disematkan langsung ke dalam isi email meningkat sebesar 336% pada Maret 2026. Penyerang tidak hanya membatasi diri pada lampiran: mereka juga menempatkan kode QR di dalam teks pesan itu sendiri untuk meningkatkan kemungkinan seseorang memindainya.
Laporan Ancaman ESET H1 2026 menunjukkan bahwa hingga 11% dari semua serangan phishing pada paruh pertama tahun ini dilakukan menggunakan metode quishing. Perusahaan tersebut memperingatkan bahwa teknik-teknik ini semakin canggih: beberapa kampanye bertujuan untuk mendapatkan token otentikasi multi-faktor, menginstal malware, menipu korban agar mengunduh aplikasi berbahaya, atau menggunakan aplikasi telepon yang sah sebagai bagian dari penipuan.
Josep Albors, Kepala Riset dan Kesadaran di ESET Spanyol, menjelaskan bahwa penyerang dapat lebih menyamarkan kode tersebut dengan menyematkannya dalam PDF, gambar JPEG, atau dokumen lain , atau dengan menggunakan layanan yang mempersingkat URL sebelum menghasilkan kode QR. Pada saat yang sama, pesan yang menyertai kode tersebut dapat berisi teks yang sangat sedikit, menghilangkan petunjuk klasik seperti kesalahan ejaan, tautan yang terlihat, atau domain yang tidak biasa.
Dari menu restoran hingga tempat parkir: risiko fisik dan langkah-langkah pencegahan.
Bahayanya tidak hanya berhenti di kotak masuk email Anda. Kode QR yang ditempatkan di restoran, toko, transportasi umum, tempat parkir, dan layanan wisata menghadirkan masalah yang sama: Anda tidak dapat memeriksa halaman mana yang akan ditampilkan sebelum memindainya. Lebih jauh lagi, di ruang publik, kode tersebut mungkin telah dimanipulasi atau diganti dengan kode palsu.
Pada bulan Agustus, INCIBE mendokumentasikan kasus nyata yang secara sempurna menggambarkan risiko tersebut. Seorang pengguna memindai kode QR menu restoran dan, setelah mengklik tautan dan menerima jendela pop-up, tanpa sengaja mengaktifkan langganan premium yang tidak diminta . Pelanggan lain di tempat yang sama mengalami situasi serupa, menunjukkan bahwa masalah tersebut bukanlah insiden terisolasi yang melibatkan satu individu.
Perkembangan teknologi ini menjelaskan sebagian dari fenomena tersebut. Menurut data yang dikumpulkan oleh QR TIGER, sekitar 75% restoran di seluruh dunia sudah menggunakan kode QR untuk mempermudah akses ke menu digital. Penggunaan alat ini dalam pemasaran dan periklanan meningkat sebesar 323% antara tahun 2021 dan 2023, angka yang membantu menjelaskan mengapa para penjahat memfokuskan perhatian pada hal tersebut.
Bagi perusahaan, ESET merekomendasikan untuk memasukkan teknik quishing (mengenali kode QR) dalam program kesadaran dan latihan simulasi agar karyawan belajar mengenali kode QR yang mencurigakan. ESET juga menyarankan untuk tidak memindai kode dalam email yang tidak diminta dan merekomendasikan untuk melaporkan pesan-pesan yang mencurigakan.
Ketika seorang karyawan yakin bahwa sebuah pesan berasal dari sumber yang dapat dipercaya, sebaiknya pesan tersebut diverifikasi melalui saluran independen , menggunakan informasi kontak yang tidak terdapat dalam email itu sendiri. Verifikasi ini mencegah konfirmasi yang bergantung pada informasi yang dikirim oleh penyerang potensial.
Perlindungan teknis juga penting. Di antara langkah-langkah yang disebutkan adalah solusi keamanan email, alat keamanan seluler, manajemen perangkat melalui MDM, otentikasi multi-faktor yang tahan terhadap phishing , prinsip hak akses minimal, akses tepat waktu, pembaruan berkala, dan pemantauan perilaku anomali. Selain itu, penting untuk menguji rencana respons insiden untuk memastikan respons cepat jika terjadi serangan.
- Keamanan email dan seluler untuk memblokir tautan dan kode berbahaya.
- Manajemen Perangkat MDM untuk menerapkan kebijakan minimum.
- MFA yang tahan phishing dan prinsip hak akses paling minimal.
- Pembaruan, akses tepat waktu dan pengawasan berkelanjutan.
Pola yang terungkap dari semua angka ini jelas: kode QR telah menemukan tempatnya dalam kehidupan sehari-hari karena praktis, cepat, dan ada di mana-mana. Keberadaannya yang meluas inilah yang membuatnya menjadi ancaman yang sulit dideteksi. Kuncinya adalah waspada terhadap hal-hal yang tidak terduga , memeriksa konteks sebelum memindai, dan menerapkan langkah-langkah keamanan yang menyertai pengguna mulai dari email hingga perangkat seluler, termasuk dokumen dan ruang fisik.
