Hacker Gunakan Kode QR Teks untuk Kelabuhi Email Security, Ini Cara Kerjanya

Suara.com - Para peneliti keamanan siber dari Kaspersky baru saja mengungkap taktik licik para hacker yang menggunakan kode QR berbasis teks (grafik ASCII), bukan lagi gambar biasa, untuk menguras data sensitif korbannya.

Sepanjang paruh kedua tahun 2025, serangan phishing melalui kode QR atau yang kini dikenal dengan istilah "Quishing" dilaporkan melonjak drastis hingga lima kali lipat.

Namun, temuan terbaru ini lebih mengkhawatirkan karena mampu menembus sistem keamanan email paling canggih sekalipun.

Jika biasanya kode QR berupa file gambar (JPG atau PNG), kali ini penjahat siber kembali ke teknologi lawas. Mereka menyusun kode QR menggunakan karakter teks atau simbol Unicode (grafik ASCII).

Metode ini sangat cerdas karena banyak solusi keamanan email saat ini hanya berfokus memindai tautan (URL) atau menganalisis file gambar.

Karena kode QR ini dianggap sebagai "teks biasa" oleh sistem, ia seringkali lolos dari filter keamanan dan mendarat mulus di kotak masuk (inbox) pengguna.

Skema yang ditemukan mengikuti pola yang sangat rapi. Korban biasanya menerima email yang seolah-olah berasal dari mitra bisnis tepercaya atau layanan resmi seperti DocuSign.

Email tersebut mengklaim adanya "dokumen rahasia" yang perlu segera ditandatangani. Alih-alih melampirkan file, email tersebut meminta pengguna memindai kode QR berbasis teks untuk mengakses dokumen.

Saat dipindai, korban akan diarahkan ke situs web palsu yang sangat mirip dengan aslinya, di mana mereka diminta memasukkan kredensial atau login perusahaan.

Pakar Anti-Spam di Kaspersky, Roman Dedenok, menegaskan bahwa penggunaan teknik ini hanya memiliki satu tujuan utama: bypassing atau melewati sistem keamanan.

“Sebelumnya kita telah melihat pelaku phishing mencoba menghindari pemindaian tautan dengan menyembunyikan URL dalam gambar," ujarnya dalam keterangan resminya, Sabtu (30/5/2026).

Sekarang mereka mencoba menghindari pemindaian berbasis gambar dengan kembali ke teks, kali ini untuk menampilkan kode QR.

Lebih lanjut, Roman memberikan peringatan keras kepada seluruh pengguna perangkat seluler agar tidak lengah terhadap format baru ini.

"Setiap kejadian di mana kode QR meminta seseorang untuk memasukkan kredensial perusahaan pada perangkat seluler harus segera menimbulkan kecurigaan. Ketika kode QR dibentuk menggunakan seni ASCII tekstual, hampir pasti itu adalah upaya phishing atau umpan ke URL berbahaya," tegasnya.