Penipuan Quishing Kode QR 2026: Bagaimana Kode QR Palsu Membajak Pembayaran Anda dalam Hitungan Detik

Anda memarkir mobil, dan meteran parkir punya kode QR rapi yang menyuruh Anda memindai dan membayar lewat ponsel. Anda memindai, halaman pembayaran yang tampak familier terbuka, Anda mengetik nomor kartu, lalu pergi. Dua hari kemudian ada tagihan yang tidak pernah Anda lakukan. Kode itu adalah stiker, yang ditempel di atas kode asli oleh orang asing, dan Anda baru saja menyerahkan kartu Anda ke penipuan quishing kode QR. Ini adalah trik phishing yang tumbuh paling cepat saat ini: sebuah tautan berbahaya yang dilipat di dalam kotak berisi titik-titik yang bahkan tak pernah dilihat filter spam Anda.

Quishing berhasil karena ia memindahkan serangan dari saluran yang sudah kita pelajari untuk tidak dipercaya ke satu perangkat yang paling kita percaya. Gerbang email dan filter SMS dilatih untuk menangkap URL mencurigakan, tetapi kode QR adalah gambar, jadi alamat berbahaya itu masuk tanpa terbaca. Dalam satu periode 2025, email phishing berbasis QR melonjak dari sekitar 47.000 pada Agustus menjadi lebih dari 249.000 pada November, dan analisis awal 2025 mengidentifikasi lebih dari 4,2 juta ancaman phishing QR. FBI dan FTC sama-sama mengeluarkan peringatan konsumen agar tidak memindai kode QR yang belum diverifikasi dalam SMS, email, dan ruang publik.

Jawaban Singkat

Apa Itu Penipuan Quishing? (Dan Mengapa Kode QR Mengalahkan Filter Spam)

Penipuan quishing, singkatan dari phishing kode QR, mengirim serangan phishing melalui kode yang bisa dipindai alih-alih tautan tertulis. Penjahat mengkodekan alamat web berbahaya sebagai gambar QR dan menaruhnya di tempat yang kemungkinan Anda pindai: stiker cetak, pesan teks, email, selebaran, atau faktur palsu. Saat kamera Anda membaca kode itu, ponsel menawarkan untuk membuka alamatnya, yang memuat halaman yang dibuat agar tampak seperti bank, layanan kurir, otoritas tol, atau layar login. Semua setelah pemindaian adalah phishing biasa. Kode QR hanyalah pembungkusnya.

Pembungkus itulah keseluruhan keunggulannya. Alat keamanan yang melindungi kotak masuk dan pesan Anda memindai teks untuk URL yang buruk dan mencurigakan yang sudah dikenal, tetapi mereka tidak bisa membaca apa yang ada di dalam sebuah gambar tanpa usaha ekstra, jadi tautan yang disembunyikan dalam kode QR sering kali lolos begitu saja. Pemindaian juga melompatkan Anda dari komputer kerja yang terpantau ke ponsel pribadi, yang biasanya punya penyaringan lebih lemah dan layar kecil yang menyembunyikan tujuan sebenarnya. Untuk panduan lengkap memeriksa alamat apa pun, panduan kami tentang apakah sebuah situs web sah cocok dipasangkan dengan semua yang ada di sini.

6 Tempat Kode QR Palsu Menyerang Orang di 2026

Quishing muncul di mana pun kode QR sudah terasa normal. Menurut peringatan FBI dan FTC, inilah enam situasi yang mendorong laporan terbanyak di 2026:

• <strong>Meteran parkir dan stasiun bayar.</strong> Penipu menempelkan kode palsu di atas yang asli sehingga pembayaran Anda, dan detail kartu Anda, mengalir ke mereka.
• <strong>Menu restoran dan bar.</strong> Stiker meja yang dirusak mengirim Anda ke menu tiruan atau halaman "bayar tagihan Anda" yang memanen kartu Anda.
• <strong>SMS "pengiriman ulang" paket.</strong> Sebuah pesan mengklaim paket ditahan dan kode QR akan menjadwalkan ulang pengirimannya dengan biaya kecil. Halaman biaya itu mencuri kartu.
• <strong>Pemberitahuan tol belum dibayar.</strong> Sebuah SMS atau surat memperingatkan tol yang menunggak dan menyediakan kode QR untuk melunasinya, meniru otoritas tol asli.
• <strong>Faktur dan permintaan transfer.</strong> Faktur atau permintaan pembayaran palsu membawa kode QR yang mengarahkan uang dan login Anda ke penyerang.
• <strong>Tiket acara dan selebaran.</strong> Poster atau tiket yang dijual ulang memakai kode QR yang mengarah ke halaman pemanen kredensial atau checkout palsu.

Versi stiker fisik sangat mahal biayanya. Dalam satu kasus 2025, stiker QR palsu yang ditempel di atas kode sah di sekitar 200 lokasi toko menyebabkan penurunan 15% dalam pemindaian asli dan sekitar 2,3 juta dolar biaya pengendalian kerusakan. Sebuah stiker berharga beberapa sen, dan itu mengubah permukaan tepercaya menjadi jebakan pembayaran.

Bagaimana Tukar Stiker QR dan Quish Berbasis SMS Benar-benar Bekerja

Ada dua metode dominan, dan mengetahui keduanya adalah cara Anda tetap selangkah di depan mereka. Yang pertama adalah tukar stiker. Penyerang mencetak kode QR yang mengarah ke domain yang mereka kendalikan, sering kali salinan nyaris sempurna dari halaman pembayaran asli, lalu secara fisik menutupi kode sah di meteran, menu, atau poster. Karena tanda di sekitarnya asli, kewaspadaan Anda tetap rendah. Anda memindai, halaman palsu dimuat, dan Anda memasukkan detail kartu atau akun yang mengalir langsung ke penjahat.

Yang kedua adalah quish berbasis SMS, sepupu dari penipuan SMS smishing klasik. Di sini kode QR datang dalam pesan atau email, dibungkus urgensi: sebuah paket tidak bisa dikirim, sebuah tol menunggak, sebuah akun perlu diverifikasi. Gambar QR mengelak dari filter URL yang akan menandai tautan biasa, dan layar kecil ponsel menyembunyikan domain jelek dan salah eja yang sebenarnya ditunjuk oleh kode itu.

Tanda Bahaya: Cara Mengenali Kode QR Palsu Sebelum Anda Memindai

Salah satu dari ini saja sudah jadi alasan untuk berhenti. Dua atau lebih sekaligus berarti Anda hampir pasti sedang melihat penipuan quishing kode QR.

• <strong>Stiker di atas stiker.</strong> Tepi yang mengelupas, kode yang miring, atau label QR yang tidak cocok dengan tanda tempat ia menempel.
• <strong>Tuntutan pembayaran atau login yang tidak terduga.</strong> Sebuah hadiah, biaya paket, atau tol yang tidak Anda rencanakan untuk dibayar.
• <strong>Pratinjau URL yang tidak cocok.</strong> Setelah memindai, alamatnya adalah tautan yang dipendekkan, merek yang salah eja, atau domain yang tidak ada kaitannya dengan tempat atau perusahaan.
• <strong>Urgensi dan ancaman.</strong> "Pemberitahuan terakhir," "akun akan ditutup," atau hitung mundur yang mendesak Anda membayar sekarang juga.
• <strong>Kode yang dikirim lewat SMS, DM, atau email.</strong> Kurir dan otoritas tol asli biasanya tidak mengirimi Anda kode QR lewat SMS untuk menagih uang.
• <strong>Permintaan kode sekali pakai.</strong> Tidak ada halaman pembayaran sah yang meminta Anda membacakan kembali kode yang baru saja dikirim bank Anda lewat SMS.

Dapat kode QR atau tautan di SMS yang terasa janggal? Pindai di Truvizy sebelum Anda mengetuk atau membayar.

Bagaimana Truvizy Mendeteksi Penipuan Quishing Kode QR

Momen berbahaya dalam quishing adalah detik antara memindai kode dan mengetik kartu Anda, dan di situlah tepatnya Truvizy dibangun untuk membantu. Saat kode QR mengirim Anda ke halaman mencurigakan, atau saat SMS datang membawa kode dan cerita tentang paket atau tol, Anda bisa menyerahkan pesan atau tautan itu ke deteksi bertenaga AI Truvizy alih-alih memercayainya secara membabi buta. Analisis berlapis Truvizy menimbang tujuan dan pesan terhadap pola penipuan yang dikenal, jadi Anda mendapat putusan jelas sebelum ada detail yang meninggalkan ponsel Anda.

Pemeriksaan dini itulah intinya. Halaman quishing dirancang agar tampak identik dengan yang asli, dan layar kecil menyembunyikan petunjuk yang akan membongkarnya di desktop. Kirim pesan atau tautan mencurigakan di truvizy.app, dan Truvizy memberi tahu Anda apakah Anda sedang digiring ke halaman pembayaran atau login palsu selagi Anda masih bisa pergi tanpa kerugian. Di tahun ketika phishing QR menjadi salah satu ancaman daring yang tumbuh paling cepat, memverifikasi sebelum memindai adalah pembeda antara mengangkat bahu dan kartu yang dicuri.

Apa yang Harus Dilakukan Jika Anda Memindai Kode QR Palsu

Jika Anda hanya memindai kode dan menutup halaman tanpa memasukkan apa pun, Anda hampir pasti aman. Hapus pesan itu dan lanjutkan. Jika Anda memasukkan detail, bergerak cepat dan jangan menyalahkan diri sendiri, karena penipuan ini dirancang untuk mengalahkan orang yang hati-hati.

Segera telepon bank atau penerbit kartu Anda. Laporkan transaksi sebagai penipuan, sengketakan setiap tagihan termasuk "biaya" kecil, dan minta nomor kartu baru untuk menghentikan penagihan lebih lanjut. Hak tolak tagihan federal adalah perlindungan terkuat Anda di kartu kredit.

Amankan akun mana pun yang Anda masuki. Ubah kata sandi di situs asli, aktifkan autentikasi dua faktor, dan jangan pernah menyetujui perintah login atau membacakan kembali kode sekali pakai kepada siapa pun yang menelepon Anda sesudahnya mengaku ingin membantu.

Laporkan. Ajukan laporan ke FTC di reportfraud.ftc.gov dan Pusat Pengaduan Kejahatan Internet FBI di ic3.gov, yang mengisi basis data yang digunakan penyidik. Di Indonesia, laporkan juga ke BSSN (Badan Siber dan Sandi Negara). Jika stiker palsu ada di meteran atau menu umum, beri tahu bisnisnya agar mereka bisa menghapusnya dan melindungi orang berikutnya.

Catatan analisis pakar: Quishing telah berpindah dari trik ceruk menjadi saluran penipuan arus utama karena ia memanfaatkan celah yang tak pernah dirancang untuk ditutup oleh filter email dan SMS, sebuah alamat berbahaya yang disembunyikan di dalam gambar. Pertumbuhan meledaknya di 2025, kira-kira lima kali lipat, sejalan dengan perpindahan pembayaran sehari-hari ke ponsel, tempat layar kecil menyembunyikan tujuan dan kepercayaan tinggi. Peran Truvizy bersifat pencegahan: verifikasi kode atau pesan sebelum Anda memindai dan membayar, karena begitu nomor kartu diketik ke halaman palsu, kerugian biasanya sudah terjadi.

Pertanyaan yang Sering Diajukan

Apa itu quishing dan apa bedanya dengan phishing biasa?

Quishing adalah phishing yang dikirim melalui kode QR alih-alih tautan yang bisa diklik. Karena alamat berbahayanya dikodekan sebagai gambar, ia lolos dari filter spam dan tautan yang memindai email dan SMS untuk mencari URL buruk yang sudah dikenal. Saat Anda memindai kode itu, ponsel Anda membuka halaman pembayaran atau login palsu. Tujuannya sama dengan phishing, tetapi gambar QR adalah penyamaran yang membuatnya sampai ke hadapan Anda.

Apakah memindai kode QR benar-benar bisa mencuri informasi saya?

Memindai saja biasanya hanya membuka halaman web, tetapi halaman itulah jebakannya. Halaman quishing meniru situs bank, tol, atau kurir asli dan meminta nomor kartu, login, atau kode sekali pakai Anda. Begitu Anda mengetik detail itu, penjahat menangkapnya. Menurut FTC, penipu menyembunyikan tautan berbahaya dalam kode QR justru untuk mengirim Anda ke situs yang dibangun untuk mencuri informasi Anda.

Bagaimana saya tahu apakah kode QR di meteran parkir atau menu itu palsu?

Cari stiker yang ditempel di atas kode asli, tepi yang mengelupas, atau kode yang tidak cocok dengan branding tempat itu. Setelah memindai, periksa pratinjau URL sebelum dimuat: tautan parkir atau menu yang sah menggunakan domain resmi, bukan domain yang dipendekkan atau salah eja. Jika halaman itu langsung menuntut pembayaran atau login yang tidak Anda harapkan, tutup saja. Jika ragu, bayar di mesin atau minta tautan asli ke petugas.

Apakah SMS QR "pengiriman ulang paket" atau "tol belum dibayar" itu penipuan?

Hampir selalu, ya. Kurir dan otoritas tol yang sah tidak mengirim SMS berisi kode QR yang menuntut biaya kecil untuk melepaskan paket atau melunasi tagihan. Pesan-pesan ini memanfaatkan urgensi untuk mendesak Anda memindai dan membayar. FBI telah berulang kali memperingatkan tentang kode QR dalam SMS yang tidak terduga. Jangan memindainya. Langsung buka aplikasi atau situs resmi kurir atau otoritas tol untuk memeriksa.

Apa yang harus saya lakukan jika saya sudah memasukkan detail saya setelah memindai kode QR?

Bertindak cepat. Telepon bank atau penerbit kartu Anda, laporkan transaksi sebagai penipuan, sengketakan setiap tagihan, dan minta nomor kartu baru. Ubah kata sandi untuk akun mana pun yang Anda masuki di halaman palsu itu dan aktifkan autentikasi dua faktor. Waspadai telepon atau pesan penipuan lanjutan, dan laporkan penipuan ke FTC di reportfraud.ftc.gov dan FBI di ic3.gov. Di Indonesia, laporkan juga ke BSSN (Badan Siber dan Sandi Negara).

Penipuan Kode QR: Bagaimana Memindai Bisa Menguras Rekening Bank Anda — Lanskap penipuan kode QR yang lebih luas dan cara melindungi diri Anda

Penipuan SMS Smishing: Cara Mengenali Pesan Teks Palsu — Mengapa SMS penipuan berhasil dan tanda bahaya di setiap SMS mencurigakan

Apakah Situs Web Ini Sah? 7 Cara Gratis Memeriksa URL Apa Pun — Verifikasi tautan atau tujuan apa pun sebelum memasukkan detail Anda