Mengapa Penipu Mulai Mengirimkan Anda Foto Tautan

Pemindai tautan adalah sesuatu yang sederhana dan tak kenal lelah. Ia membaca URL teks dalam email, membandingkannya dengan daftar domain yang diketahui berbahaya, mengikuti pengalihan, dan menandai yang mengarah ke tempat yang tidak baik. Ia pandai dalam pekerjaannya. Jadi penipu melakukan hal yang jelas: mereka berhenti mengirim tautan.

Mereka mulai mengirim gambar tautan.

Itulah trik di balik "quishing" — phishing kode QR. Kode QR adalah URL yang dikodekan sebagai gambar hitam putih, jadi tujuan seperti login-verify.example berhenti menjadi teks dalam badan pesan dan menjadi piksel. Intinya bukan bahwa alamatnya terenkripsi; kamera siapa pun bisa mendekodenya secara instan. Intinya adalah bahwa itu tidak lagi tertulis di mana pun Anda, atau pengurai teks, dapat membacanya sebelum Anda berkomitmen.

Apakah filter masih dapat membacanya bergantung sepenuhnya pada produknya. Pusat Keamanan Siber Nasional Inggris (UK's National Cyber Security Centre) meletakkan batasnya dalam kata-kata yang hati-hati dalam catatannya dari Februari 2024 tentang kode QR: "Tidak semua alat keamanan yang dirancang untuk mendeteksi email phishing akan memindai gambar." Perhatikan apa yang tidak dikatakan. Tidak mengatakan tidak ada yang melakukannya. Microsoft mempublikasikan sisi lain pada November 2024: Defender for Office 365, demikian tulisnya, "telah meningkatkan kemampuannya untuk mengekstrak URL dari kode QR," menggunakan pemrosesan gambar di awal aliran mail untuk "mengekstrak dan mencatat URL yang tersembunyi dalam kode QR," dan sekarang juga mengekstrak metadata QR dan mencari pola di sekitarnya — minimal body text, umpan merek, rantai pengalihan. Jadi "filter tidak bisa membacanya" benar untuk banyak produk untuk sementara waktu, masih benar untuk beberapa, dan bukan hukum alam. Jika Anda ingin tahu apakah itu benar untuk mail Anda sendiri, itu adalah pertanyaan tentang produk dan konfigurasi penyedia Anda, bukan tentang kode QR.

Angka yang dapat diperiksa berasal dari vendor yang sama, dan mereka layak dibaca dengan cakupan yang melekat. Posting Microsoft November 2024 mendeskripsikan lonjakan dengan "beberapa serangan meningkat dengan tingkat pertumbuhan 270% per bulan," mengatakan bahwa "pada puncaknya, Defender for Office 365 memblokir 3 juta percobaan setiap hari," dan bahwa setelah pekerjaan deteksi dikirim "kami telah melihat angka ini menyusut menjadi 200.000 upaya phishing kode QR setiap hari." Digital Defense Report 2026 Microsoft menetapkan total pada skala saat ini: 145+ juta serangan phishing kode QR yang dideteksi antara Juli 2025 dan Juni 2026 oleh Defender for Office 365. Semua angka tersebut adalah telemetri satu vendor untuk produknya sendiri, yang dilaporkan sendiri. Mereka bukan bagian dari semua phishing, dan mereka bukan total industri — versi sebelumnya dari artikel ini mengutip saham 25% yang tidak ada publikasi Microsoft yang tampak mendukung, dan angka itu telah dihapus daripada diganti.

Apa yang membuat teknik ini tahan lama adalah proses penyerahan, bukan pengkodean. Email mendarat di laptop, di mana filter perusahaan, browser terkelola, dan pengelola kata sandi berada. Kode dipindai di ponsel, yang biasanya merupakan perangkat pribadi. NCSC mencantumkan ini di antara alasan mengapa penjahat lebih suka metode: "Perangkat pribadi mungkin tidak memiliki perlindungan keamanan yang sama dengan komputer yang disediakan oleh pemberi kerja Anda." Di ponsel bilah alamat dipotong, URL lengkap sulit diperiksa, dan pengelola kata sandi yang akan menolak untuk isi otomatis di domain yang salah tidak terlibat sama sekali.

Temanya membosankan dan dapat diprediksi, yang merupakan sinyal dalam dirinya sendiri, dan mereka muncul dalam peringatan konsumen hampir kata per kata. Peringatan FTC dari Desember 2023 mendeskripsikan penipu yang menutupi kode QR asli di meter parkir dengan stiker mereka sendiri, dan memperingatkan dengan jelas: "Jangan pindai kode QR dalam email atau pesan teks yang tidak Anda harapkan," terutama yang mendorong Anda untuk bertindak segera. Pengumuman layanan publik IC3 FBI dari Januari 2022 mengatakan hal yang sama tentang gangguan — "Penjahat dunia maya mengganggu kode QR digital dan fisik untuk mengganti kode yang sah dengan kode jahat" — dan memberitahu orang untuk memeriksa kode fisik untuk "stiker yang ditempatkan di atas kode asli." Kode untuk mengaktifkan kembali autentikasi multi-faktor yang kedaluwarsa, permintaan tanda tangan yang tidak Anda harapkan, pemberitahuan pengiriman yang meminta Anda untuk mengonfirmasi pengiriman: tujuan desain selalu alasan kecil yang masuk akal untuk mengangkat ponsel sebelum apa pun diperiksa.

Jadi langkah defensif adalah yang membosankan, dan itu adalah yang benar-benar diterbitkan oleh agensi. Saran IC3, untuk pesan yang menginginkan pembayaran atau login setelah pemindaian: "hubungi perusahaan untuk memverifikasi," menggunakan "nomor telepon perusahaan melalui situs terpercaya daripada nomor yang disediakan dalam email," dan "hindari melakukan pembayaran melalui situs yang dinavigasi dari kode QR. Sebaliknya, masukkan secara manual URL yang diketahui dan terpercaya." Tidak ada dalam hal itu yang memerlukan Anda untuk menilai apakah persegi tertentu berbahaya — yang merupakan bagian yang tidak ada manusia yang bagus padanya.

Satu hal yang tidak pernah diberitahu kode QR dalam email adalah apakah pesan itu dipalsukan. Otentikasi domain menjawab pertanyaan yang sama sekali berbeda, dan spesifikasi DMARC saat ini secara eksplisit menempatkan "analisis konten" di luar cakupannya — itulah mengapa pesan yang sepenuhnya terotentikasi dapat membawa gambar berbahaya. Mekanisme itu layak dibaca sendiri, dan itu adalah subjek artikel pendamping dalam seri ini.

Koreksi, 20 Oktober 2026. Versi sebelumnya dari artikel ini mengatakan bahwa filter spam tidak dapat membaca kode QR dan bahwa pemindai buta terhadap alamat yang dikodekan. Itu benar untuk beberapa produk keamanan email dan tidak untuk yang lain: Microsoft mendokumentasikan ekstraksi URL dari kode QR di Defender for Office 365 pada November 2024, dan frasa NCSC adalah bahwa tidak semua alat memindai gambar. Artikel ini juga mengutip angka sekitar 25% dari phishing email menggunakan kode QR, yang dikaitkan dengan Microsoft; tidak ada publikasi Microsoft yang mendukung saham tersebut yang dapat ditemukan, jadi angka tersebut telah dihapus dan diganti dengan angka yang Microsoft terbitkan secara langsung, dengan produk dan periode mereka dinyatakan. Domain phishing demonstrasi yang telah ditampilkan sebagai tautan langsung telah diganti dengan contoh yang tidak dapat diklik di namespace .example yang disediakan, dan kutipan ke halaman beranda CISA telah diganti dengan penasihat IC3 dan FTC FBI yang spesifik.