Ancaman Baru! Serangan Phishing Kode QR Naik 5 Kali Lipat

Selasa, 6 Januari 2026 - 01:02 WIB

Oleh :

Olin Sianturi

Serangan phishing kode QR (Qishing)

Sumber :

Istimewa

Lonjakan serangan phishing kode QR tercatat naik hingga lima kali lipat hanya dalam periode tiga bulan, dari 46.969 kasus (Agustus) menjadi 249.723 kasus (November 2025).
Pelaku menyamarkan kode QR berbahaya dalam lampiran PDF, strategi ini berhasil melewati sistem keamanan email konvensional.
Target utama adalah kredensial karyawan yang memindai kode menggunakan perangkat seluler, di mana lapisan proteksi seringkali minimal.

Eksplosif: Mengapa Qishing Menjadi Taktik Favorit Penyerang

Strategi Penyembunyian Baru: Menargetkan Perangkat Mobile

Penyerang secara cerdik memodifikasi cara penyampaian kode QR. Mereka tidak lagi menempatkan kode tersebut langsung di badan email. Sebaliknya, mereka menyamarkannya di dalam lampiran berformat PDF. Strategi ini memaksa korban memindai kode menggunakan ponsel pintar.

Perangkat seluler seringkali memiliki lapisan proteksi lebih rendah dibandingkan komputer kerja di lingkungan korporasi. Penyerang memanfaatkan celah keamanan ini. Oleh karena itu, Qishing berhasil melewati sistem pertahanan perusahaan dan langsung menargetkan kredensial karyawan.

Tiga Pola Serangan Phishing Kode QR Paling Umum

Kaspersky mengidentifikasi bahwa kode QR berbahaya muncul dalam kampanye phishing massal maupun yang ditargetkan secara spesifik. Penyerang biasanya menyamarkan diri sebagai komunikasi bisnis yang sah, memanfaatkan rasa urgensi dan kepercayaan.

Pemalsuan Kredensial dan Rekayasa Sosial

Terdapat tiga pola utama yang sering digunakan pelaku untuk mencuri data pengguna dan melancarkan serangan phishing kode QR:

1. Formulir Login Palsu: Penyerang meniru halaman login untuk layanan populer, seperti akun Microsoft atau portal internal perusahaan. Kode QR mengarahkan korban ke situs fiktif tersebut, yang dirancang untuk mencuri nama pengguna dan kata sandi.

2. Notifikasi HR Fiktif: Korban menerima pemberitahuan palsu yang seolah-olah berasal dari departemen Sumber Daya Manusia (HR). Pesan ini mendesak karyawan untuk meninjau atau menandatangani dokumen mendesak, misalnya jadwal liburan atau daftar staf yang diberhentikan. Kode QR lantas mengarahkan mereka ke laman pencurian kredensial.

3. Faktur dan Konfirmasi Pembelian Palsu: Lampiran PDF berisi faktur atau konfirmasi pembelian fiktif. Taktik ini sering dikombinasikan dengan vishing (phishing suara). Korban didorong menghubungi nomor telepon yang tertera untuk membatalkan transaksi, sehingga penyerang memperluas serangan rekayasa sosial.

Mitigasi Ancaman dan Proyeksi Dampak Keamanan Korporat

Roman Dedenok menekankan risiko serius yang dihadapi organisasi akibat taktik penghindaran berbiaya rendah ini. Tanpa analisis gambar tingkat lanjut pada gateway email, serta edukasi praktik pemindaian yang aman, organisasi sangat rentan. Pencurian kredensial berpotensi berujung pada pengambilalihan akun, kebocoran data sensitif, dan kerugian finansial yang signifikan.

Merespons tren eksplosif serangan phishing kode QR, Kaspersky mendorong perusahaan segera memperkuat sistem pertahanan siber mereka. Organisasi wajib mengimplementasikan solusi proteksi email khusus yang terpercaya.

Solusi tersebut harus mampu menyediakan analisis gambar tingkat lanjut untuk menangkal spam, infeksi melalui email, kompromi email bisnis (BEC), serta semua bentuk phishing dan serangan berbasis kode QR. Edukasi karyawan menjadi lapisan pertahanan terakhir yang vital.