Tanda-tanda bahaya yang harus diwaspadai
- Stiker yang menutupi kode lain: pada meteran parkir, poster jalanan, atau buku menu. Jika stiker terlihat bisa dikelupas, patut dicurigai.
- Pemendek URL yang tidak dikenal: menyembunyikan alamat asli situs. Perusahaan resmi mungkin menggunakan domain pendek milik sendiri, tetapi bukan pemendek URL acak gratisan.
- Domain dengan salah eja (typosquatting):
paypa1.com,bank-aman-verifikasi.com, atau subdomain panjang yang meniru merek terkenal. - Mendesak dan menakut-nakuti: kalimat seperti «akun Anda akan diblokir», «bayar dalam 10 menit», atau «verifikasi segera agar paket tidak hangus».
- Permintaan yang tidak masuk akal: kode QR di fasilitas umum jalanan yang meminta kata sandi rekening bank atau rincian kartu pembayaran.
Cara memeriksanya secara praktis
- Gunakan aplikasi pemindai yang menampilkan alamat URL lengkap dan tidak membukanya secara otomatis di peramban.
- Baca nama domain dari kanan ke kiri: bagian sebelum garis miring (slash) pertama adalah alamat domain sebenarnya yang krusial.
- Bandingkan dengan domain resmi yang sudah biasa Anda ketahui, bukan dengan nama yang tercetak pada poster.
- Jika halaman meminta Anda masuk akun (login), segera tutup dan buka layanan tersebut dengan mengetikkan alamat resminya secara manual.
- Jika terkait pembayaran, buka aplikasi perbankan Anda dan selesaikan dari dalam sistem mereka; jangan memindai QR kiriman orang asing dengan alasan untuk «menerima transfer».
Mengapa sertifikat HTTPS saja tidak cukup
Sertifikat keamanan hanya membuktikan bahwa jalur transfer data dienkripsi, bukan membuktikan siapa pemilik sah di balik situs tersebut. Siapa pun dapat membuat sertifikat gratis untuk domain baru yang dibuat untuk menipu. Pertanyaan yang tepat bukanlah «apakah ada tanda gemboknya?», melainkan «apakah nama domain ini benar-benar milik instansi atau perusahaan yang dimaksud?».
Peringatan penting: jika kode QR meminta Anda memasang aplikasi di luar toko resmi (Google Play Store atau App Store), meminta izin kendali layar ponsel, atau meminta transfer ke rekening yang tidak dikenal, segera hentikan prosesnya.
Langkah darurat jika terlanjur memindai
Tutup jendela peramban seketika tanpa menekan tombol apa pun atau mengisi formulir. Jika Anda terlanjur memasukkan data akun, segera ubah kata sandi dari situs resmi atau aplikasi asli dan aktifkan autentikasi dua faktor (2FA). Jika Anda memasukkan rincian kartu kredit atau rekening, segera hubungi pihak bank untuk memblokir kartu tersebut. Jika Anda mengunduh profil atau file aplikasi asing, hapus instalasinya dan periksa izin perangkat Anda. Simpan tangkapan layar kode QR dan posternya sebagai barang bukti laporan.
Laporkan temuan QR palsu tersebut kepada pengelola tempat dan, jika ditemukan di fasilitas umum perkotaan, laporkan kepada otoritas berwenang atau dinas terkait. Stiker QR palsu yang ditumpuk biasanya memakan banyak korban jika dibiarkan.
Pertanyaan umum
Apakah HTTPS selalu aman?
Hanya mengenkripsi data, tidak membuktikan identitas pemiliknya.
Bagaimana cara melihat tujuannya?
Gunakan pemindai yang menampilkan URL sebelum membuka tautan.
Bagaimana jika terlanjur dipindai?
Tutup, ganti kata sandi, dan hubungi bank jika mengisi data pembayaran.
Apakah QR di jalanan berbahaya?
Bisa, selalu periksa apakah ada stiker palsu yang ditumpuk di atasnya.